От обилия данных к актуальности данных: как ИИ меняет будущее безопасности

• Отделы безопасности завалены данными, но им не хватает понимания. Современные угрозы остаются незамеченными не из-за недостатка информации, а из-за неспособности фильтровать шум.

• ИИ перевел операции по обеспечению безопасности с реактивного мониторинга на проактивную стратегическую оборону путем обнаружения аномалий, приоритизации оповещений и автоматизации ответных мер.

• ИИ становится необходимым инструментом обеспечения безопасности, поскольку он объединяет разрозненные физические и киберсистемы, позволяя принимать более быстрые и обоснованные решения.

Раньше службы безопасности запрашивали больше данных. Теперь же они перегружены. Современные предприятия ежедневно генерируют сотни тысяч сигналов – от видеонаблюдения и журналов контроля доступа до систем обнаружения вторжений и оповещений об угрозах кибербезопасности. Согласно отчёту IBM «Стоимость утечки данных» за 2024 год, в среднем организациям требуется 194 дня на выявление утечки и ещё 64 дня на её ликвидацию.

Это отставание редко связано с недостатком информации. Чаще всего оно возникает из-за неспособности отсеять ложные тревоги (шум) и сосредоточиться на реальных угрозах. Когда все системы предупреждают, всё начинает казаться одинаково важным или одинаково легко игнорируемым.

Настоящая проблема сегодня – не сбор данных, а их релевантность. Центры безопасности переполнены журналами, уведомлениями и аномалиями, но большинство из них не требуют никаких действий. Критические угрозы часто остаются незамеченными, погребёнными под низкоприоритетными оповещениями или вовсе пропускаются из-за усталости операторов от потока оповещений.

В этом контексте искусственный интеллект (ИИ) – это не просто инструмент повышения эффективности, но и важнейший фактор выживания. ИИ может помочь специалистам по безопасности анализировать уже имеющиеся у них данные, преобразуя огромные объёмы входных данных в своевременные контекстные сигналы, способствующие более быстрому и уверенному принятию решений.

Почему больше данных не всегда означает лучшую безопасность

Предположение о том, что чем больше данных, тем выше уровень безопасности, привело к фрагментации инструментов, панелей управления и данных датчиков как в физических, так и в цифровых средах. Но когда каждый датчик двери, считыватель бейджей, межсетевой экран и камера вносят свой вклад в постоянно растущий объём оповещений, бремя смещается со сбора данных на управление ими.

Отделы безопасности тратят драгоценное время на анализ необработанных журналов и сопоставление данных с разрозненными системами, часто не имея чёткого представления о том, какие действия необходимо предпринять. В результате даже хорошо обеспеченные ресурсами организации реагируют на инциденты слишком поздно или нерационально распределяют имеющиеся ресурсы на события с низким уровнем риска.

Именно из-за этого обилия сигналов без контекста традиционные подходы к обеспечению безопасности терпят неудачу. Например, считывание бейджа в полночь само по себе может и не вызвать тревогу. Но что, если это считывание исходит от сотрудника, который не должен был присутствовать на рабочем месте, чьи учетные данные были недавно отозваны и чей вход в сеть не удался несколькими минутами ранее?

По отдельности каждый из этих показателей даёт ограниченное представление. Вместе же они рисуют совершенно иную картину. Без системы корреляции и приоритизации данных по всем источникам эти индикаторы угроз часто остаются незамеченными, пока не станет слишком поздно. Именно релевантность, а не объём превращает исходные данные в ценную информацию.

Что на самом деле ИИ дает службам безопасности

Искусственный интеллект меняет способ взаимодействия служб безопасности с данными, смещая фокус с реактивного мониторинга на проактивное принятие решений. По сути, ИИ способен изучать, что такое «норма» в разных системах, например, шаблоны доступа, поведение при входе в систему и тенденции заполняемости зданий, а также выявлять незначительные отклонения, которые пропускают системы, основанные на правилах. Такой метод обнаружения аномалий помогает выявлять ранние признаки риска, даже в ситуациях, не выходящих за установленные пределы.

ИИ также внедряет систему оценки риска событий, учитывая контекст, срочность и потенциальное воздействие, чтобы приоритизировать оповещения, требующие внимания человека. Вместо того, чтобы сортировать десятки ложноположительных срабатываний, аналитики могут сосредоточиться на немногих действительно важных. В более продвинутых приложениях ИИ может даже запускать автоматизированные ответные действия, такие как временная блокировка учётных данных или уведомление руководителя, на основе уровня доверия и принятых в организации бизнес-правил.

Со временем начинают появляться прогностические модели, выявляющие закономерности, указывающие на развивающиеся уязвимости или повторяющиеся операционные пробелы. Результат – не просто повышение эффективности рабочих процессов. Это обеспечивает принципиально более стратегический подход к защите людей, активов и информации.

Применение ИИ для управления физической идентификацией и доступом

Хотя ИИ часто обсуждается в контексте кибербезопасности, его влияние на физическую безопасность, и в частности, на управление физической идентификацией и доступом (PIAM – Physical Identity and Access Management), не менее существенно. В современном рабочем пространстве сотрудники, подрядчики и посетители постоянно перемещаются между физическими и цифровыми пространствами. Управление доступом, его временем и условиями – сложная задача, особенно в крупных организациях или распределенных средах. ИИ помогает упростить эту задачу, постоянно анализируя поведение пользователей при доступе на предмет наличия факторов риска.

Например, ИИ может обнаружить, когда сотрудник пытается получить доступ к месту, которое он редко посещает, или когда бейдж используется вне рабочего времени в сочетании с неактивным пользователем. Эти закономерности могут не вызывать обычных сигналов тревоги, но могут быть ранними признаками неправомерного использования или компрометации учётных данных. ИИ также может оптимизировать управление посетителями, автоматически сопоставляя гостей со списками наблюдения, проверками биографических данных и требованиями правил, что делает процесс регистрации более быстрым, последовательным и менее подверженным человеческому фактору.

Но что еще важнее, ИИ может сопоставлять данные контроля доступа с журналами киберсобытий, чтобы выявлять угрозы, охватывающие обе области, и обеспечивать единое представление о состоянии безопасности в режиме реального времени, которое традиционные системы часто не в состоянии обеспечить.

Делать больше меньшими средствами: ИИ как фактор повышения эффективности служб безопасности

Сегодня от служб безопасности ожидается, что они будут больше отслеживать, быстрее реагировать и управлять всё более сложными средами, часто без пропорционального увеличения численности персонала или бюджета. ИИ помогает преодолеть этот разрыв, выступая в качестве фактора повышения эффективности. Он сокращает ручную работу, которая поглощает часы рабочего времени сотрудников, например, просмотр видеозаписей, проверка журналов доступа или анализ рутинных оповещений. Благодаря тому, что ИИ отфильтровывает шум и выявляет важные сигналы, команды могут работать более сосредоточенно и быстро.

Это также способствует более эффективному реагированию на инциденты. При выявлении угрозы ИИ может помочь сократить сроки, определить затронутые системы или пользователей и даже рекомендовать дальнейшие действия на основе аналогичных прошлых событий. Сокращая время принятия решений, организации могут эффективнее сдерживать инциденты и минимизировать сбои в работе. Результатом являются ускоренные и интеллектуальные действия, которые улучшают показатели безопасности, несмотря на ограниченность ресурсов.

Безопасность без изоляции: почему ИИ стал императивом лидерства

Один из наиболее значимых вкладов ИИ в безопасность – его способность связывать воедино данные между системами, которые традиционно функционировали изолированно. Отделы физической и кибербезопасности часто используют отдельные инструменты, отслеживают разные потоки данных и следуют параллельным рабочим процессам. Но угрозы редко соблюдают эти границы.

Использование бейджа для доступа в серверную комнату без соответствующего события входа в систему или уволенный сотрудник, чьи физические учётные данные всё ещё активны, несмотря на отзыв доступа к VPN, – всё это реальные риски, которые остаются незамеченными, когда системы не взаимодействуют друг с другом. ИИ способен унифицировать эти сигналы, обеспечивая целостное представление о рисках в обеих областях.

Однако этот потенциал зависит от продуманной реализации. ИИ не является готовым решением. Он требует точных, хорошо интегрированных данных, четких политик управления и прозрачности в отношении того, какие действия автоматизированы, а где человеческий контроль остается необходимым. Доверие и обучение так же важны, как и технологии. При правильном применении ИИ не заменяет человеческое суждение, а дополняет его, делая процесс принятия решений более быстрым, более обоснованным и менее подверженным ошибкам.

Переход от обилия данных к их релевантности знаменует собой важнейшую эволюцию в подходе организаций к безопасности. Речь больше не идёт о сборе дополнительной информации; речь идёт о предоставлении нужной информации в нужное время нужным людям. Эта ясность определит следующее поколение устойчивых и адаптивных программ безопасности, и ИИ делает это возможным.

Автор:  Шарад Шехар, директор компании MERON

Источник:  https://www.securityinfowatch.com/ai/article/55307550/from-data-abundance-to-data-relevancy-how-ai-is-reshaping-the-future-of-security