Zespoły ds. cyberbezpieczeństwa potrzebują nowych umiejętności, nawet jeśli mają trudności z zarządzaniem starszymi systemami

Już teraz borykając się z niedoborem talentów zespoły ds. cyberbezpieczeństwa będą potrzebowały nowych umiejętności, aby poradzić sobie z rosnącym przyjęciem generatywnej sztucznej inteligencji, jednocześnie utrzymując starsze systemy, z których ich organizacje nie chcą rezygnować.

Zespoły ds. cyberbezpieczeństwa, które już teraz borykają się z niedoborem talentów, potrzebują teraz dodatkowych umiejętności, aby poradzić sobie z rosnącym zastosowaniem generatywnej sztucznej inteligencji (AI) i uczenia maszynowego. Sytuację dodatkowo komplikuje krajobraz zagrożeń, który stale ewoluuje, oraz rosnąca powierzchnia ataków wymagająca ochrony, w tym starszych systemów, z których organizacjom trudno się rozstać.

W tej chwili mają trudności z zatrudnieniem wystarczającej liczby talentów w dziedzinie cyberbezpieczeństwa.

Chociaż liczba specjalistów ds. cyberbezpieczeństwa w regionie Azji i Pacyfiku wzrosła o 11,8% rok do roku do nieco poniżej 1 miliona w 2023 r., regionowi nadal potrzebne są kolejne 2,67 mln, aby odpowiednio zabezpieczyć zasoby cyfrowe. Jak wynika z badania ISC2 Cybersecurity Workforce Study z 2023 r., w którym wzięło udział 14 865 respondentów, w tym 3685 z regionu Azji i Pacyfiku, luka w zakresie siły roboczej w zakresie cyberbezpieczeństwa jest rekordowo wysoka w regionie i zwiększa się o 23,4%.

Według szacunków ISC2 (International Information Systems Security Certification Consortium), stowarzyszenia non-profit zrzeszającego certyfikowanych specjalistów ds. cyberbezpieczeństwa, na całym świecie różnica wzrosła o 12,6% od 2022 r. do prawie 4 milionów specjalistów ds. cyberbezpieczeństwa.

Liczba pracowników zajmujących się cyberbezpieczeństwem na całym świecie wynosi obecnie 5,45 mln, co oznacza wzrost o 8,7% w porównaniu z 2022 r. i będzie musiało wzrosnąć prawie dwukrotnie, aby osiągnąć pełną wydajność, twierdzi ISC2.

CISO stowarzyszenia Jon France powiedział ZDNET, że największa luka występuje w regionie Azji i Pacyfiku, ale istnieją obiecujące oznaki wskazujące, że ta różnica się zmniejsza. Na przykład Singapur zmniejszył w tym roku lukę kadrową w zakresie cyberbezpieczeństwa o 34%. Aby zapewnić wystarczającą ochronę zasobów cyfrowych w projektach ISC2, potrzebnych jest kolejnych 4000 specjalistów w branży.

Z badania wynika, że na całym świecie 92% specjalistów ds. cyberbezpieczeństwa uważa, że w ich organizacji brakuje umiejętności w co najmniej jednym obszarze, w tym w umiejętnościach technicznych, takich jak testy penetracyjne i wdrażanie zerowego zaufania. Bezpieczeństwo w chmurze oraz sztuczna inteligencja i uczenie maszynowe znajdują się na szczycie listy umiejętności, których brakuje firmom (odpowiednio 35% i 32%).

Zapotrzebowanie to będzie nadal rosło, w miarę jak organizacje będą włączać sztuczną inteligencję do większej liczby procesów, co jeszcze bardziej zwiększy zapotrzebowanie na przetwarzanie w chmurze i zapotrzebowanie na oba zestawy umiejętności - zauważyła Francja. Oznacza to, że specjaliści ds. cyberbezpieczeństwa będą musieli zrozumieć, w jaki sposób sztuczna inteligencja jest zintegrowana, oraz zabezpieczyć aplikacje i przepływy pracy, które obsługuje, powiedział.

Pozostawione bez prądu luki w umiejętnościach i personelu w zakresie cyberbezpieczeństwa spowodują przeciążenie zespołów, co może prowadzić do niedopatrzeń w eliminowaniu luk w zabezpieczeniach - przestrzegł. Dodał, że błędna konfiguracja i niezastosowanie poprawek bezpieczeństwa to najczęstsze błędy, które mogą prowadzić do włamań.

Wdrożenie sztucznej inteligencji powoduje zapotrzebowanie na nowe umiejętności

Sprawa prawdopodobnie stanie się bardziej skomplikowana wraz z pojawieniem się generatywnej sztucznej inteligencji.

Narzędzia takie jak ChatGPT i Stable Diffusion umożliwiły atakującym zwiększenie wiarygodności wiadomości i obrazów, co ułatwia oszukanie celów. To znacznie poprawia jakość wiadomości e-mail i witryn internetowych phishingowych, stwierdził Jess Burn, główny analityk w firmie Forrester, który bierze udział w badaniach firmy analitycznej na temat roli CISO i zarządzania talentami w zakresie bezpieczeństwa.

I choć narzędzia te pomagają złym aktorom tworzyć i przeprowadzać ataki na większą skalę, Burn zauważył, że nie zmienia to sposobu, w jaki obrońcy reagują na takie zagrożenia. „Spodziewamy się wzrostu liczby cyberataków, tak jak miało to miejsce od lat, [ale] same zagrożenia nie są nowe” - powiedziała w wywiadzie e-mailowym. „Praktycy zajmujący się bezpieczeństwem już wiedzą, jak je identyfikować, rozwiązywać i łagodzić”.

Aby jednak pozostać na czele, liderzy ds. bezpieczeństwa powinni zapewnić swoim zespołom szybkie szkolenia inżynieryjne, aby mogli lepiej zrozumieć, w jaki sposób działają generatywne podpowiedzi AI - stwierdził analityk.

Podkreśliła również, że testerzy penetracji i zespoły czerwone muszą uwzględniać szybkie zaangażowanie w ocenę rozwiązań opartych na generatywnej sztucznej inteligencji i dużych modelach językowych.

Muszą rozwinąć ofensywne umiejętności w zakresie bezpieczeństwa sztucznej inteligencji, aby mieć pewność, że cyberprzestępcy poszukujący własności intelektualnej nie skażą ani nie ukradną modeli. Muszą także dopilnować, aby wrażliwe dane wykorzystywane do szkolenia tych modeli nie zostały ujawnione ani wyciekły - dodała.

Oprócz możliwości pisania bardziej przekonujących wiadomości e-mail phishingowych, narzędzia generatywnej sztucznej inteligencji można manipulować w celu pisania złośliwego oprogramowania pomimo ograniczeń wprowadzonych, aby temu zapobiec, zauważył Jeremy Pizzala, lider doradztwa ds. cyberbezpieczeństwa w regionie Azji i Pacyfiku w firmie EY. Zauważył, że badaczom, w tym jemu samemu, udało się ominąć ograniczenia etyczne, które kierują platformami takimi jak ChatGPT i skłaniają je do pisania złośliwego oprogramowania.

Ugrupowania cyberprzestępcze mają również potencjał do budowania własnych, dużych modeli językowych, szkolonych na zbiorach danych zawierających znane exploity i złośliwe oprogramowanie, a także do tworzenia „super odmiany” złośliwego oprogramowania, przed którą trudniej się obronić, stwierdziła Pizzala w wywiadzie dla ZDNET.

Prowadzi to do szerszej debaty na temat sztucznej inteligencji i związanych z nią zagrożeń biznesowych, w której wiele dużych modeli językowych i sztucznej inteligencji ma nieodłączne i wbudowane uprzedzenia. Hakerzy również mogą obierać za cel algorytmy sztucznej inteligencji, usuwać wytyczne dotyczące etyki i manipulować nimi w celu robienia rzeczy, do których nie są zaprogramowani, powiedział, odnosząc się do ryzyka zatrucia algorytmów.

Wszystkie te ryzyka podkreślają potrzebę posiadania przez organizacje planu zarządzania obejmującego zabezpieczenia i zasady zarządzania ryzykiem, które będą wyznaczać kierunki wykorzystania sztucznej inteligencji, stwierdziła Pizzala. Powinny one również dotyczyć takich kwestii, jak halucynacje.

Zauważył, że mając odpowiednie zabezpieczenia, generatywna sztuczna inteligencja może przynieść korzyści samym cyberobrońcom. Na przykład chatboty wdrożone w centrum operacji bezpieczeństwa (SOC) mogą szybciej dostarczać wgląd w zdarzenia związane z bezpieczeństwem, udzielając odpowiedzi na pytania zadawane prostym językiem. Bez generatywnej sztucznej inteligencji wymagałoby to serii złożonych zapytań i odpowiedzi, których rozszyfrowanie potrzebowało zespoły ds. bezpieczeństwa.

Sztuczna inteligencja obniża poziom podstawowych umiejętności w zakresie cyberbezpieczeństwa. Bez pomocy generatywnej sztucznej inteligencji organizacje potrzebowałyby specjalistycznego doświadczenia, aby interpretować dane generowane przez tradycyjne narzędzia monitorowania i wykrywania w SOC - stwierdził. Zauważył, że niektóre organizacje rozpoczęły szkolenia i zatrudnianie w oparciu o ten model zarządzania.

Powtarzając uwagi Burna na temat potrzeby posiadania wiedzy o generatywnej sztucznej inteligencji, Pizzala nalegała również, aby przedsiębiorstwa rozwijały odpowiednie umiejętności techniczne i wiedzę na temat leżących u ich podstaw algorytmów. Choć kodowanie na potrzeby modeli uczenia maszynowego i sztucznej inteligencji nie jest niczym nowym, nadal brakuje takich podstawowych umiejętności - stwierdził.

Rosnące wykorzystanie generatywnej sztucznej inteligencji wymaga również innego spojrzenia z punktu widzenia cyberbezpieczeństwa - dodał, zauważając, że istnieją naukowcy zajmujący się danymi, którzy specjalizują się w bezpieczeństwie. Takie zestawy umiejętności będą musiały ewoluować i nadal być podnoszone, powiedział.

W regionie Azji i Pacyfiku 44% również wskazuje na niewystarczający budżet na cyberbezpieczeństwo jako największe wyzwanie w porównaniu ze średnią światową wynoszącą 36%, stwierdziła Pizzala, cytując badanie EY 2023 Global Cybersecurity Leadership.

Najczęściej cytowanym wyzwaniem wewnętrznym jest coraz większa powierzchnia ataku, wynikająca z przyjęcia na dużą skalę chmury obliczeniowej i Internetu rzeczy (IoT). Ponieważ sztuczna inteligencja wytycza obecnie nowe sposoby infiltracji systemów, a ataki na łańcuch dostaw stron trzecich nadal stanowią problem, konsultant EY stwierdził, że wszystko to składa się na stale rosnącą powierzchnię ataku.

Burn zauważył dalej: „Większość organizacji nie była przygotowana na szybką migrację do środowisk chmurowych kilka lat temu i od tego czasu starały się zdobyć umiejętności w zakresie bezpieczeństwa chmury, często decydując się na współpracę z dostawcami usług MDR (zarządzanego wykrywania i reagowania), aby wypełnić te luki.

„Konieczna jest również większa biegłość w zakresie zabezpieczeń interfejsów API, biorąc pod uwagę ich wszechobecność, liczbę systemów, które łączą i ilość danych przepływających przez nie” - stwierdził analityk Forrester.

Aby sprostać tym wymaganiom, stwierdziła, że organizacje wykorzystują wiedzę, jaką na temat infrastruktury posiadają zespoły zajmujące się bezpieczeństwem, rozwojem oprogramowania lub bezpieczeństwem produktów, i dostosowują ją do nowych środowisk. „Chodzi więc o znalezienie odpowiednich zasobów szkoleniowych i podnoszenia kwalifikacji oraz zapewnienie zespołom czasu na szkolenie” - dodała.

„Posiadanie niedostatecznie wykwalifikowanego zespołu może być równie ryzykowne, jak posiadanie niedoboru personelu” - stwierdziła. Cytując ankietę Forrester Business Technographics 2022 dotyczącą bezpieczeństwa danych, stwierdziła, że firmy, które w zeszłym roku doświadczyły sześciu lub więcej naruszeń bezpieczeństwa danych, częściej zgłaszały niedostępność pracowników ds. bezpieczeństwa posiadających odpowiednie umiejętności jako jedno z największych wyzwań związanych z bezpieczeństwem IT w ciągu ostatnich 12 lat. miesiące.

Stosy technologiczne wymagają uproszczenia, aby ułatwić zarządzanie bezpieczeństwem

Jeśli organizacje angażują dostawców zarządzanych usług bezpieczeństwa w celu uzupełnienia luk, Pizzala zaleca, aby robili to, pozostając zaangażowani. Podobnie jak w przypadku strategii zarządzania chmurą, powinna istnieć wspólna odpowiedzialność, a firmy powinny przeprowadzać własne kontrole i skanowanie, powiedział.

Poparł także potrzebę ponownej oceny swoich dotychczasowych systemów przez firmy i pracy nad uproszczeniem stosu technologii. Dodał, że posiadanie zbyt wielu narzędzi cyberbezpieczeństwa samo w sobie stanowi ryzyko.

Zwłaszcza sektory technologii operacyjnych (OT) mają znaczące starsze systemy - stwierdziła Francja.

W obliczu rosnącej powierzchni ataków oraz złożonego krajobrazu cyfrowego i zagrożeń wyraził obawy, że firmy nie chcą porzucić swoich dotychczasowych aktywów, nawet w przypadku przyjęcia nowej technologii. Zwiększa to obciążenie ich zespołów ds. cyberbezpieczeństwa, które muszą w dalszym ciągu monitorować i chronić stare zestawy narzędzi wraz z nowo nabytymi systemami.

Aby załatać lukę w zasobach, Curtis Simpson, CISO dostawcy zabezpieczeń Armis, zalecał potrzebę przyjrzenia się technologiom, takim jak automatyzacja i orkiestracja. Wiele z nich będzie napędzanych przez sztuczną inteligencję, powiedział.

„Ludzie nie pomogą nam wypełnić tej luki. Technologia tak” - powiedział Simpson w wywiadzie wideo.

Zauważył, że ataki będą opierać się na sztucznej inteligencji i będą nadal ewoluować, co jeszcze bardziej podkreśla potrzebę orkiestracji i automatyzacji, aby firmy mogły działać wystarczająco szybko, aby móc reagować na potencjalne zagrożenia.

Dogłębna obrona pozostaje kluczowa, co oznacza, że organizacje muszą mieć pełną widoczność i zrozumienie całego swojego środowiska i narażenia na ryzyko. Dzięki temu mogą mieć niezbędny plan mediacji i zminimalizować skutki cyberataku, gdy do niego dojdzie, powiedział Simpson.

Oznacza to również, że dotychczasowe zdolności obronne okażą się katastrofalne w obliczu współczesnych ataków opartych na sztucznej inteligencji - dodał.

Podkreślając, że zespoły ds. bezpieczeństwa potrzebują zasadniczej przejrzystości, zauważył: „Jeśli widzisz tylko połowę swojego otoczenia, nie wiesz, czy postępujesz dobrze, czy źle”.

Na przykład połowa singapurskich firm twierdzi, że brakuje im pełnej widoczności posiadanych i zarządzanych aktywów w swoim otoczeniu, stwierdził, cytując najnowsze badania przeprowadzone przez Armis. Firmy te nie są w stanie uwzględnić 39% atrybutów swoich aktywów, takich jak lokalizacja aktywów oraz sposób i sposób ich obsługi.

W rzeczywistości respondenci z Singapuru jako główne wyzwania wymieniają bezpieczeństwo Internetu Rzeczy i obawy związane z przestarzałą infrastrukturą.

Simpson zauważył, że takie problemy często pogłębiają się z powodu braku z czasem środków finansowych ułatwiających wysiłki firmy w zakresie transformacji cyfrowej.

Zazwyczaj planuje się stopniowe zwalnianie funduszy wraz z oczekiwaniami, że dotychczasowa infrastruktura będzie z czasem ulegać zmniejszeniu w miarę przenoszenia mikrousług i przepływów pracy do chmury.

Wyjaśnił jednak, że zamknięcie starszych systemów zajęłoby więcej czasu, niż oczekiwano, ponieważ firmy nie rozumieją, w jaki sposób te zasoby są nadal wykorzystywane w całej organizacji.

„Ogólne stanowisko jest takie, że należy wycofać starsze rozwiązania, ale rzeczywistość jest taka, że systemy te działają w różnych regionach i u różnych klientów. Zamówienia są nadal przetwarzane w [starszych] systemach zaplecza” - powiedział, dodając, że brak widoczności utrudnia aby zidentyfikować, którzy klienci korzystają ze starszych systemów i aplikacji działających na tych zasobach.

Zauważył, że większość z nich stara się zamknąć przestarzałą infrastrukturę lub pozbyć się długu technicznego, co uniemożliwia im odzyskanie kosztów oprogramowania i konserwacji.

Ich krajobraz ryzyka składa się zatem z usług w chmurze, a także starszych systemów, z których te ostatnie przenoszą dane do nowoczesnej architektury i obciążeń chmurowych. Prawdopodobnie wprowadzą także luki w całym łańcuchu, otwierając nowe porty i integrację, dodał Simpson.

Ich zespoły ds. IT i bezpieczeństwa dysponują także większą liczbą rozwiązań do zarządzania danymi wywiadowczymi zebranymi z różnych źródeł i zagrożeniami, które należy rozszyfrować, często ręcznie.

Niewiele organizacji, jeśli nie dysponuje niezbędnymi możliwościami, ma zbiorowy pogląd na to mieszane środowisko nowoczesnych i starszych systemów, powiedział.

„Nowe technologie mają przynosić korzyści przedsiębiorstwom, ale pozostawione bez monitorowania i zarządzania mogą stać się niebezpiecznym dodatkiem na powierzchni ataku organizacji” - zauważył. „Napastnicy będą starali się wykorzystać każdą możliwą słabość, aby uzyskać dostęp do sieci organizacji. Na organizacjach spoczywa odpowiedzialność za zapewnienie niezbędnego nadzoru, aby móc widzieć, chronić i zarządzać wszystkimi zasobami fizycznymi i cyfrowymi w oparciu o to, co jest najważniejsze dla ich działalności. "