Нульова довіра: основа захисту в цифрову епоху

Вступ: Інтегрована безпека в сучасному цифровому ландшафті

Сучасні інструменти на основі штучного інтелекту пропонують безпрецедентні можливості для оптимізації бізнесу та генерації інформації. Однак цей прогрес несе з собою фундаментальні міркування щодо безпеки, особливо коли компанії довіряють конфіденційні дані хмарним SaaS-провайдерам. Безпека більше не може розглядатися як простий додаток, вона повинна бути інтегрована в кожен рівень сучасних технологічних платформ.

‍

Модель нульової довіри є основою сучасної кібербезпеки. На відміну від традиційного підходу, який спирався на захист певного периметра, модель Zero Trust враховує ідентифікацію, автентифікацію та інші контекстні показники, такі як стан і цілісність пристроїв, щоб значно підвищити рівень безпеки порівняно зі статус-кво.

‍

Що таке нульова довіра?

Zero Trust - це модель безпеки, в основі якої лежить ідея, що доступ до даних не повинен надаватися виключно на основі мережевого розташування. Вона вимагає від користувачів і систем переконливих доказів їхньої ідентичності та надійності, а також застосовує детальні правила авторизації на основі ідентифікаційних даних перед наданням доступу до додатків, даних та інших систем.

‍

Завдяки Zero Trust ці ідентичності часто працюють у гнучких мережах, що враховують ідентифікаційні дані, які ще більше зменшують поверхню атаки, усувають непотрібні шляхи до даних і забезпечують надійний зовнішній захист безпеки.

‍

Традиційна метафора "замок і рів" зникла, на зміну їй прийшла програмно-визначена мікросегментація, яка дозволяє користувачам, додаткам і пристроям безпечно підключатися з будь-якого місця до будь-якого іншого.

‍

Три керівні принципи для впровадження нульової довіри

На основі Плейбук AWS "Здобути впевненість у своїй безпеці з нульовою довірою"

‍

1. Спільне використання навичок ідентичності та нетворкінгу

Краща безпека забезпечується не бінарним вибором між інструментами, орієнтованими на ідентичність та мережу, а ефективним використанням обох у поєднанні. Засоби контролю, орієнтовані на ідентичність, пропонують деталізовані авторизації, в той час як мережеві інструменти забезпечують чудові засоби захисту, в межах яких можуть працювати засоби контролю, орієнтовані на ідентичність.

Ці два типи контролю повинні знати один про одного і посилювати один одного. Наприклад, можна пов'язати політики, які дозволяють писати і застосовувати правила, орієнтовані на ідентичність, з логічною межею мережі.

2. Відхід від кейсів використання у зворотному напрямку

Нульова довіра може означати різні речі в залежності від випадку використання. Розглянемо різні сценарії, такі як:

• Від машини до машини: авторизація конкретних потоків між компонентами для усунення непотрібної бічної мобільності мережі.
• Human-application: Забезпечення безперешкодного доступу до внутрішніх додатків для працівників.
• Програмне забезпечення - програмне забезпечення: коли два компоненти не повинні взаємодіяти, вони не повинні мати такої можливості, навіть якщо вони знаходяться в одному сегменті мережі.
• Цифрова трансформація: створення ретельно сегментованих архітектур мікросервісів в рамках нових хмарних додатків.

3. Пам'ятайте, що один розмір не підходить всім

Концепція нульової довіри повинна застосовуватися відповідно до політики безпеки системи та даних, що підлягають захисту. Нульова довіра не є універсальним підходом і постійно розвивається. Важливо не застосовувати уніфіковані засоби контролю до всієї організації, оскільки негнучкий підхід може не дозволити розвиватися.

Як зазначено в сценарії:

‍

"Починаючи з суворого дотримання принципу найменших привілеїв, а потім суворо застосовуючи принципи нульової довіри, можна значно підняти планку безпеки, особливо для критично важливих робочих навантажень. Подумайте про концепцію нульової довіри як про доповнення до існуючих засобів контролю та концепцій безпеки, а не як про їх заміну.

Це підкреслює, що концепції нульової довіри слід розглядати як доповнення до існуючих засобів контролю безпеки, а не як їх заміну.

‍

‍

Специфічні міркування щодо безпеки штучного інтелекту

Системи штучного інтелекту створюють унікальні проблеми безпеки, які виходять за рамки традиційних проблем безпеки додатків:

Захист моделі

• Навчання з безпеки даних: Можливості федеративного навчання дозволяють вдосконалювати моделі без централізації конфіденційних даних, що дає змогу організаціям скористатися перевагами колективного інтелекту, зберігаючи при цьому суверенітет над даними.
• Захист від інверсії моделі: Важливо впровадити алгоритмічний захист від атак на інверсію моделі, які намагаються витягти навчальні дані з моделей.
• Перевірка цілісності моделі: безперервні процеси перевірки гарантують, що виробничі моделі не були підроблені або отруєні.

Захист від вразливостей, характерних для ШІ

• Захист від швидких ін'єкцій: системи повинні мати кілька рівнів захисту від атак швидких ін'єкцій, включаючи санітарну обробку вхідних даних та моніторинг спроб маніпулювання поведінкою моделі.
• Фільтрація вихідних даних: автоматизовані системи повинні аналізувати весь згенерований ШІ контент перед доставкою, щоб уникнути потенційних витоків даних або неприйнятного контенту.
• Виявлення прикладів противника: Моніторинг у реальному часі повинен виявляти потенційні вхідні дані противника, призначені для маніпулювання результатами моделювання.

Комплаєнс та управління

Повна безпека виходить за рамки технічного контролю і включає в себе управління та дотримання вимог:

Приведення у відповідність правової бази

Сучасні платформи повинні бути розроблені таким чином, щоб сприяти дотриманню ключових нормативно-правових актів, у тому числі:

• GDPR та регіональні положення про конфіденційність
• Галузеві вимоги (HIPAA, GLBA, CCPA)
• Елементи керування SOC 2 типу II
• Стандарти ISO 27001 та ISO 27701

Гарантія безпеки

• Регулярна незалежна оцінка: системи повинні регулярно проходити тести на проникнення, які проводять незалежні компанії, що займаються безпекою.
• Програма винагороди за виявлення вразливостей: публічна програма розкриття вразливостей може залучити світову спільноту дослідників безпеки.
• Безперервний моніторинг безпеки: Оперативний центр безпеки, що працює в режимі 24/7, повинен відстежувати потенційні загрози.

Продуктивність без компромісів

Поширеною помилкою є думка, що надійна безпека обов'язково погіршує продуктивність або якість роботи користувачів. Добре продумана архітектура демонструє, що безпека та продуктивність можуть бути взаємодоповнюючими, а не суперечливими:

• Безпечне прискорення пам'яті: обробка ШІ може використовувати спеціалізоване апаратне прискорення в захищених анклавах пам'яті.
• Оптимізована реалізація шифрування: шифрування з апаратним прискоренням гарантує, що захист даних додає мінімальну затримку до операцій.
• Безпечна архітектура кешування: Інтелектуальні механізми кешування підвищують продуктивність, зберігаючи при цьому суворий контроль безпеки.

Висновок: Безпека як конкурентна перевага

У середовищі AI SaaS надійна безпека - це не лише зменшення ризиків, але й конкурентна перевага, яка дає змогу організаціям рухатися швидше та впевненіше. Інтеграція безпеки в кожен аспект платформи створює середовище, в якому інновації можуть процвітати без шкоди для безпеки.

‍

Майбутнє належить організаціям, які можуть використати трансформаційний потенціал штучного інтелекту, керуючи при цьому ризиками, притаманними йому. Підхід Zero Trust гарантує, що ви можете будувати це майбутнє з упевненістю.