Многие из нас впервые попробовали ChatGPT всего 12 месяцев назад. Затем кто-то нажал на кнопку мультипликатора скорости, и вот уже заканчивается 2023 — год прорыва генеративного искусственного интеллекта (GenAI). Он был одновременно захватывающим и тревожным для специалистов по кибербезопасности, которые понимают, что технологические изменения и киберриски неразрывны.

Между тем драматические изменения в физическом мире изменили ландшафт угроз, переориентировали стратегии кибербезопасности и вызвали регуляторные реформы. Однако кое-что осталось неизменным, например, неустанное стремление злоумышленников получить доступ к персональным данным и проверенные способы их похищения и использования.

Команда CyberArk собралась вместе, чтобы обсудить, как тенденции 2023 года повлияют на 2024 год и далее. Предлагаем вам ознакомиться с ежегодными прогнозами, основанными на исследованиях CyberArk, взаимодействии с клиентами и партнерами, а также на сотрудничестве с другими отраслями.

В 2024 году ожидается, что...

Перехват сеансов будет играть все более заметную роль в атаках…

Еще больше организаций перейдут на беспарольное управление доступом, от ключей до MFA, чтобы предотвратить атаки. Злоумышленники будут развивать свою тактику, чтобы обманывать корпоративных и сторонних пользователей, похищать сессионные файлы cookie и обходить надежные механизмы аутентификации.

Их изобретательность принесет дивиденды: к 2024 году на перехват сеансов будет приходиться 40% всех кибератак.

Постоянная бдительность в защите, мониторинге и реагировании на злоупотребление/компрометацию сеансов пользователей и файлов cookie критически важна — особенно учитывая обнадеживающее обещание Google уничтожить файлы cookie навсегда, никогда не стоит недооценивать инновационные идеи злоумышленников. Они найдут другой способ.

... однако 30% организаций заплатят за слабую защиту паролями

Обычная кража учетных данных станет менее распространенной, когда беспарольный доступ станет общепринятым и будет использоваться правильно. Но эта проблема никуда не исчезнет.

Организациям, которые внедряют беспарольную аутентификацию, может понадобиться резервный фактор, и многие компании вернутся к опасной опции - паролям.

Пока команды безопасности будут бороться с новыми пожарами, злоумышленники воспользуются слабой защитой паролей, и 30% организаций столкнутся с увеличением количества инцидентов утечки данных, связанных с кражей учетных данных.

55% предприятий ускорят технологическую консолидацию для упрощения безопасности

Среды ИТ и безопасности большинства организаций уже слишком разветвлены, сложны и трудны в управлении. Команды редко владеют всеми инструментами, которые им приходится сочетать с другими, что заставляет их нанимать или привлекать внешних экспертов.

Поскольку каждая платформа фокусируется на конкретных вещах и пересекается с другими, командам трудно увидеть — не говоря уже о том, чтобы понять — каждую потенциальную уязвимость и угрозу в их средах, ориентированных на облако.

Несоблюдение соглашений об уровне обслуживания, увеличение накладных расходов и опасный дрейф безопасности подтолкнут 55% предприятий к ускорению технологической консолидации. Они будут стремиться упростить операции и максимизировать имеющиеся ресурсы, работая с меньшим количеством поставщиков и систем.

В течение 2025 года ожидается, что...

Незащищенные механизмы безопасности, управляемые ИИ, будут питать порочный круг киберрисков

Организации используют GenAI для усиления киберзащиты. Несмотря на это, 80% из них не смогут защитить те же модели безопасности на основе ИИ, что подпитывает порочный круг киберрисков.

Чтобы получить преимущество перед злоумышленниками, нужно и мыслить, как они. А именно, привлекать обучение моделей GenAI с использованием как наступательных, так и защитных образцов, принять гарантии качества моделей и регулярного стресс-тестирования (включая создание "красных команд" и пробное тестирование) и многое другое. Не менее важным будет размещение этих моделей ИИ в высокозащищенных средах с высоким уровнем защиты доступа.

Правительства выпустят дальновидные гайдлайны в этой сфере, но организации не могут ждать кодифицированных стандартов, которые могут быстро устареть. Внедрять GenAI в безопасность продуктов нужно уже сейчас.

Под давлением обстоятельств ИТ-директора будут выступать за своевременное и прозрачное раскрытие информации о нарушениях

Ответственность за кибербезопасность становится личным вопросом.

Сначала руководителя службы безопасности Uber обвинили в том, что он не сообщил федеральным регуляторам об утечке данных в 2016 году. Этой осенью Комиссия по ценным бумагам и биржам США обвинила компанию SolarWinds и ее директора по информационным технологиям в мошенничестве и сбоях в системе внутреннего контроля. А это уже стало знаковым событием после решения агентства об ужесточении требований к раскрытию информации о кибербезопасности.

Лидеры безопасности во всем мире внимательно следят за развитием событий. К 2025 году 60% директоров по информационной безопасности компаний из списка Fortune 2000 будут выступать за прозрачное и быстрое раскрытие информации — не только из-за политики, но и потому, что на кону стоят их карьеры и репутация. 

А в 2026 можно ожидать, что...

Почти половина советов директоров компаний из списка Fortune 500 будут искать руководителя службы безопасности ИИ.

Кибербезопасность — это основа устойчивости бизнеса и доверия заинтересованных сторон, а не вопрос ИT.

Большинство организаций из списка Fortune 500 осознают высокие ставки и повышают квалификацию по кибербезопасности на уровне корпоративных директоров. Новые риски, связанные с искусственным интеллектом, вызывают еще большее ощущение неотложности.

К 2026 году 45% этих предприятий наймут и будут работать над тем, чтобы назначить в совет директоров руководителя по вопросам безопасности ИИ. Этот руководитель будет обладать как техническими знаниями, так и деловой хваткой, играя влиятельную роль в продвижении инноваций в сфере ИИ, управлении рисками и защите моделей безопасности, основанных на ИИ. Он будет глубоко погружен в стратегию кибербезопасности и расширит механизмы надзора и отчетности, чтобы лучше измерять и совершенствовать инициативы по безопасности, оценки рисков и планы реагирования на инциденты.

Многонациональные организации столкнутся с регуляторной ответственностью

Шестьдесят процентов всех регулируемых глобальных организаций будут прилагать значительные усилия, чтобы соответствовать постоянно растущим требованиям по защите данных и раскрытию информации о нарушениях. Особенно по мере того, как будут расширяться сферы использования GenAI. Все больше организаций столкнутся со штрафными санкциями за несоблюдение требований, поскольку регуляторные органы будут наступать на те же грабли, что и они.

Учтите, что сегодня несоблюдение только GDPR Европейского Союза может стоить организациям до 20 миллионов евро или 4% годового мирового оборота, в зависимости от того, какая сумма будет больше. И без того высокие штрафы будут продолжать расти, что может привести к разрушительным последствиям. 

Ведущие мировые государства будут призывать к заключению Женевской конвенции по кибербезопасности

Сложные атаки на государственные объекты, особенно нацеленные на критически важную инфраструктуру, могут привести к широкомасштабным сбоям, опасным для жизни отключениям и волнообразным повреждениям в цепях поставок ПО.

Обеспокоенность эскалацией до обычной войны побудит ведущие мировые державы принять решительные меры для повышения киберустойчивости, укрепления правовой базы и международного сотрудничества. В рамках этого процесса эти страны будут настаивать на создании Женевской конвенции по кибербезопасности, чтобы сдерживать атаки со стороны национальных государств и привлекать виновных к ответственности.

2023 год подбросил несколько серьезных неожиданностей. Но он также напоминает нам, что мощные программы кибербезопасности не останавливаются на достигнутом и не реагируют на угрозы. Они достаточно гибкие, чтобы оставаться в игре, постоянно совершенствуя практики, делая стратегические инвестиции с учетом рисков и проактивно готовясь к тому, что может произойти дальше.