Британський фінансовий регулятор FCA попередив, що передові ШІ-моделі знаходять кібербезпекові вразливості швидше, ніж компанії встигають їх виправляти.
Затримки у виправленні вразливостей
Фінансові компанії дедалі активніше використовують ШІ-моделі для пошуку слабких місць у кіберзахисті. За оцінкою британського фінансового регулятора Financial Conduct Authority (FCA), технологія змінює швидкість і масштаби виявлення таких проблем.
Однак зростання кількості знайдених вразливостей створює нову проблему. Команди мають перевірити кожну знахідку, визначити її небезпеку та виправити програмне забезпечення. Через це виникає тиск на команди, які займаються виправленнями та, як наслідок, регулярні затримки.
Регулятор закликав компанії визначити, де саме виникатимуть такі затримки. Їм також потрібно оцінити можливість прискорення процесів без створення операційної нестабільності.
Що виправляти першим
Проблема пов’язана не лише з кількістю вразливостей. Компаніям потрібно швидко оцінювати ризик кожної знахідки та визначати пріоритетність виправлень.
Співзасновник Adaptive Security Ендрю Джонс порівняв ситуацію зі стрімким збільшенням кількості попереджень, які команди вже не встигають опрацьовувати.
За його словами, однакове ставлення до всіх знайдених проблем може призвести до неправильного розподілу ресурсів. Небезпечні вразливості можуть залишатися без уваги, поки команди працюють над менш ризикованими.
FCA рекомендував фінансовим компаніям перевірити, чи мають вони достатньо спеціалізованих інженерів. Вони потрібні для перевірки вразливостей, тестування та встановлення програмних виправлень.
Ситуацію ускладнюють комплексні IT-системи фінансових компаній. Особливо це стосується організацій після злиттів та компаній, які продовжують використовувати старі системи.
Вразливість можна використати за кілька годин
Крейг Паркін із Kroll зазначив, що зловмисники вже можуть знайти та почати використовувати нову вразливість протягом кількох годин. Водночас усунення проблем у компаніях може тривати тижнями або місяцями. Особливо складно виправляти слабкі місця у старих системах.
Нік Кайрінос із Raids AI зазначив, що для фінансових компаній наслідки таких проблем особливо значні. Збій ШІ-системи може вплинути на гроші, юридичні ризики та репутацію.
