AI Controls Matrix (AICM) — ещё один фреймворк, содержащий набор мер управления для безопасной разработки, внедрения и эксплуатации облачных систем искусственного интеллекта от Cloud Security Alliance🧠

Фреймворк включает в себя:
🟡Матрицу мер управления, включающую в себя 243 контроля, сгруппированных по 18 доменам безопасности. Каждая мера привязана к типу/компоненту инфраструктуры и архитектуры, этапу жизненного цикла и категории угроз.
🟡Опросник для самооценки.
🟡Маппинг на стандарт NIST AI 600-1 (2024) и фреймворк Criteria Catalogue for AI Cloud Services – AIC4.

В будущих версиях планируется добавление маппинга на другие стандарты и фреймворки безопасности систем ИИ, а также руководств по внедрению мер управления и их аудиту.

Ниже приложил презентацию и сам сборник материалов AICM.

#ai #framework #csa #aicm #controls #architecture

📥Фреймворк психологии кибербезопасности

Пожалуй, интересное с точки зрения психологии принятия решений исследование и модель, призванная попытаться разрешить (или хотя бы понять) проблему человеческого фактора в кибербезопасности.
Да, конечная цель утопична ибо это попытка победить подсознательное: сам автор исследования подчеркивает, что большинство решений в области безопасности происходят на подсознательном уровне за 300-500 миллисекунд до того, как мы их осознаем, но выявление групповых факторов (подверженности персонала) и расчет оценки риска может позволить улучшить систему защиты организации.

Сама модель представляет собой 100 индикаторов поведения, сгруппированных по 10 категориям:
🔗Подчинение авторитету — когда люди слепо выполняют указания начальства или тех, кто представляется авторитетом.
🔗Временные уязвимости — поспешные решения под давлением времени.
🔗Социальное влияние — склонность делать то, что делают другие.
🔗Эмоциональные уязвимости — решения под влиянием страха, стресса или других эмоций.
🔗Когнитивная перегрузка — когда слишком много информации мешает принимать правильные решения.
🔗Групповая динамика — как поведение группы влияет на безопасность.
🔗Стрессовые реакции — как стресс влияет на решения по безопасности.
🔗Бессознательные процессы — скрытые мотивы и страхи.
🔗ИИ-специфичные предрассудки — новые уязвимости при работе с искусственным интеллектом. Например, излишнее доверие рекомендациям генеративных ИИ.
🔗Критические состояния — когда несколько факторов действуют одновременно.

Все группы индикаторов соотносят с научными работами и подходами известных психологов и экономистов: например, с теорией групповой динамики Уильяма Биона, в рамках которой описаны три базовых допущения, которые бессознательно принимаются группой людей при столкновении с тревогой. В контексте кибербезопасности эти допущения проявляются как уязвимости групповой динамики:
🟠"Зависимость" — чрезмерная зависимость от поставщиков безопасности и поиска серебряной пули (технологии, дающей 100% защиту).
🟠"Бей-беги" — агрессивная защита периметра при игнорировании внутренних угроз.
🟠"Объединение" — постоянное приобретение новых инструментов без устранения фундаментальных уязвимостей.

Как видите, речь здесь не только про поведение рядовых сотрудников, нажимающих на ссылки в фишинговых письмах, но и ИБ-специалистов и руководство в том числе.

p.s. Такими темпами придется скоро психолога в SOC брать😄

#awareness #framework #psychology

🗂Матрица техник злоумышленников, направленных на эксплуатацию человеческого фактора.

Human Threat Map – интересный проект, представляющий собой структурированную карту методов, с помощью которых злоумышленники эксплуатируют человеческие слабости👨‍💻
Выглядит всё это как MITRE-подобная матрица:
🔗более 80 техник разбиты на 9 тактик (этапов атаки).
🔗техники можно сгруппировать по доменам безопасности.
🔗для каждой техники есть описание, сценарии человеческого поведения/рисков, которые способствуют возникновению угрозы, а также ссылки на ресурсы с описанием реальных инцидентов, связанных с этими угрозами.

Пробежавшись по техникам, можно оценить на сколько хорошо вы покрываете организационными и техническими мерами конкретные сценарии эксплуатации человеческого фактора, выявить актуальные векторы атак, создать соответствующие сценарии обучения и приоритизировать защитные меры.
Подробнее о проекте можно почитать в блоге авторов ресурса.

#awareness #framework #threat #mitre #ttp #hrm #human #risk

🗂 В продолжение темы сценариев поведения пользователей из матрицы Human Threat Map нельзя не упомянуть проект SebDB — открытую базу безопасных действий пользователей, снижающих риски информационной безопасности.

В реестре SebDB более сотни паттернов поведения, классифицированных по доменам безопасности, степени влияния на риск и возможному негативному эффекту (например, финансовые потери) при нарушении правила. Каждое безопасное действие привязано к тактикам злоумышленников из матрицы MITRE ATT&CK и к функциям фреймворка NIST CSF, что позволяет понять, от каких угроз и на каком этапе защищает то или иное поведение. База доступна публично, периодически обновляется и всю информацию можно скачать в эксельке.

Оба проекта можно использовать совместно для совершенствования процесса повышения осведомленности и лучше интегрировать его в смежные процессы ИБ.

#awareness #framework #threat #mitre #ttp #hrm #human #risk

На портале Open Group можно найти набор стандартов "Security Roles and Glossary", призванный помочь построить зрелую системы кибербезопасности, основываясь на том, что кибербезопасность — это фундаментальный бизнес-риск, а каждый сотрудник, от топ-менеджера до рядового специалиста, должен понимать свою роль в защите компании.

Набор состоит из четырех частей:
1️⃣В первом стандарте описана структура документов и приведен подробный глоссарий, который унифицирует ключевые термины, чтобы гарантировать, что бизнес, ИТ и ИБ-команды говорят на одном языке.
2️⃣Во втором документе даются рекомендации по имплементации ролей и обязанностей в структуру компании, опираясь на принцип, что кибербезопасность - это командный спорт. В стандарте вводится модель управления, разграничивающая "подотчетность", которая лежит на лицах, принимающих решения, и "ответственность", возлагаемую на экспертов.
3️⃣В третьем стандарте подробно расписываются роли и обязанности руководства. Особо подчеркивается, что кибербезопасность — неотъемлемая часть фидуциарной обязанности совета директоров и высшего руководства (CEO, CFO и т.д.). Они подотчетны за формирование культуры безопасности, утверждение стратегии и принятие окончательных решений по критическим вопросам.
4️⃣В четвертом документе детально расписаны роли, функции и обязанности команды SecOps/SOC (аналитики, менеджеры, инженеры, TI-специалисты и т.д.).

Помимо подробно расписанных ролей, обязанностей и принципов построения системы управления, в стандартах описаны актуальные стратегические задачи для руководства:
➡️Выявление и подготовка к сбоям в работе бизнеса, вызванным кибератаками.
➡️Участие в симуляциях кибератак.
➡️Поддержка внедрения концепции Zero Trust.
➡️Поддержка квантово-безопасных инициатив.

#framework #roles #glossary #secops #soc #management #bestpractices #standard #responsibilities

В интересное время живем: с одной стороны, классические инсайдерские угрозы от сотрудников никуда не делись и только усложняются благодаря развитию технологий, а с другой – на горизонте появилась новая категория нарушителей в виде ИИ-агентов, лишенных "недостатков" человеческих инсайдеров.

К чему это я? Тут вот агентство CISA разродилось обновленной редакцией руководства по противодействию инсайдерским угрозам, где в том числе описало новые риски, связанные с использованием ИИ: мало того, что злоумышленникам стало проще обманывать и манипулировать сотрудниками с помощью дипфейков и "грамотного" фишинга, так еще и сами сотрудники стали сливать чувствительные данные в дипсики и gpt-подобные чаты😭
А тут еще инсайдеры стали отравлять данные и искажать настройки моделей в ИИ-системах работодателя...
В общем, терпения работодателям, а CISO/CSO – времени на чтение гайда от CISA и ресурсов для построения эффективной программы противодействия инсайдерским угрозам.

Хотя, в скором времени скорее всего угрозами от сотрудников-инсайдеров мы пренебрежем, так как появилась более совершенная версия, которую мы сами и взращиваем – ИИ-агенты🫂
Почитать про инсайдерские угрозы от ИИ-агентов можно в публикации Мэтта Адамса "Actions Speak Louder Than Tokens", где он также презентовал модель угроз ИИ-инсайдеров: всего описано 27 угроз, сгруппированным в 6 категорий, соответствующих архетипам классических инсайдеров.
Учитывая, что в скором времени на каждого сотрудника в среднем будет приходиться по 82 ИИ-агента, а эти агенты, в отличие от людей, работают на машинных скоростях, не делают перерывов на обед и не имеют психологического состояния, за которым можно было бы следить, программу противодействия инсайдерским угрозам уже пора натягивать и на ИИ-агентов...
Кстати, в статье Мэтта Адамса есть рекомендации по мониторингу и выявлению инсайдерской деятельности ИИ-агентов, а также меры митигации.

#insider #ai #cisa #guide #threat #model #framework #agent