Една банка в Индия може да прави всичко правилно на хартия. Да притежава ISO сертификати. Да е внедрила регулаторните контроли на Централната банка на Индия (RBI).

Да разполага с Център за операции по сигурността (SOC), работещ денонощно. И въпреки това може да научи за пробив от оплакване на клиент, сигнал за измама с карта или, което е още по-лошо, от обаждане на журналист за коментар.

Седял съм на една маса с директори по информационна сигурност (CISO) точно в такъв момент и първият въпрос, който задават, рядко е „как да поправим това“. Обикновено е „откога продължава това“.

Това разминаване във времето между момента, в който нещо се обърка, и момента, в който някой забележи, е мястото, където всъщност се нанасят повечето щети при киберинциденти в банковия сектор. Свеждането на този период до минимум вече не е въпрос на избор.

Защо банките остават на върха на списъка с мишени

Финансовите институции са атакувани по-често от почти всички останали поради една проста причина: печалбата е незабавна и ликвидна.

Пробивът в болница осигурява записи, които трябва да бъдат продадени или за които трябва да се иска откуп.

Пробивът в банка може да донесе пари директно или бърз път към тях чрез измама, превземане на акаунти или измами с плащания.

Към това се добавя и сложността на технологичната инфраструктура на една типична индийска банка. Основни банкови системи на десетилетия съжителстват с модерни мобилни приложения.

Десетки финтех партньори, агрегатори на плащания и API интеграции се свързват с ядрото чрез канали, които никога не са били проектирани с оглед на днешния пейзаж на заплахите.

Всяка една от тези връзки е врата и някой трябва да наблюдава всички тях едновременно.

Атакуващите знаят това. Те нямат нужда да разбиват трезора.

Те трябва да намерят една крайна точка на API, един доставчик със слаб контрол на достъпа или един служител, който използва повторно пароли.

Откриването, разузнаването и прогнозирането не са едно и също нещо

В нашата индустрия се използва много неточен език и смятам, че това създава истинско объркване на управленско ниво. Три термина се използват почти като взаимозаменяеми, което всъщност не бива да се случва.

Откриването на заплахи се състои в това да забележите, че нещо се е случило. Влизане от необичайно местоположение, пик в неуспешните трансакции, сигнатура на зловреден код, съвпадаща с известно семейство. То е реактивно по дефиниция. Нещо трябва първо да се случи.

Разузнаването на заплахи е по-широко понятие. То представлява практиката на събиране и анализиране на информация за това кой е вероятно да ви атакува, как действа и какво цели, често преди изобщо да се появи във вашата среда.

Доброто разузнаване на заплахи предоставя на екипите за борба с измамите и за сигурност на банката информация за това как изглежда тактическият план на дадена престъпна група, така че когато се появят ранните признаци, те да бъдат разпознати като такива, а не да бъдат пренебрегнати като фонов шум.

Прогнозното разузнаване отива още по-далеч. То използва модели в големи обеми от данни, вътрешни и външни, за да сигнализира за условията, които обикновено предхождат даден инцидент, преди който и да е единичен сигнал за тревога да оправдае безпокойството.

Това е промяната, която индустрията трябва да направи. Откриването ви казва, че е започнал пожар. Прогнозирането ви казва, че окабеляването е прегряло.

По мой опит пробивите рядко се случват без предупреждение. Те идват с поредица от малки, поотделно незабележителни събития, които изглеждат значими само от ретроспективна гледна точка. Профил, който внезапно прави заявки за много повече клиентски записи от обикновено.

Идентификационни данни с повишени привилегии, използвани в 3 часа сутринта от устройство, което никога преди не е влизало в системата. API ключ на доставчик, генериращ необичаен обем повиквания през уикенда.

Нито едно от тези събития само по себе си не би предизвикало сериозна реакция в повечето банки днес. Заедно обаче, и разгледани като последователност, свързана с една идентичност или система, те разказват съвсем различна история.

Банките, които улавят инцидентите рано, са тези, които са изградили дисциплината и технологията да свързват тези точки в системи, които традиционно не си комуникират: основно банкиране, системи за управление на измами, управление на идентичността и достъпа и мрежов мониторинг.

Къде изкуственият интелект наистина помага и къде – не

Това е частта, в която трябва да бъда честен, а не рекламно настроен. В този контекст изкуственият интелект е наистина полезен за едно нещо преди всичко: справянето с обема.

Една средно голяма банка генерира огромен обем от телеметрия за сигурност и измами всеки ден.

Никой екип от аналитици, колкото и да е квалифициран, не може ръчно да прегледа всичко това с последователността, необходима за улавяне на фини модели.

Моделите за машинно обучение са добри в намирането на корелации в този обем, които човек би пропуснал просто поради мащаба.

Но бих се противопоставил решително на идеята, че изкуственият интелект трябва сам да взема решения за ограничаване на заплахите в банкова среда. Автоматизираните системи могат да произвеждат и произвеждат фалшиви тревоги, а в банковото дело фалшивата тревога не е просто дребно неудобство.

Блокирането на корпоративна сметка или спирането на голям легитимен трансфер, защото даден модел го е маркирал неправилно, има реални финансови и репутационни последици.

Рискът се умножава, когато банките третират резултатите от моделите като абсолютна истина, а не като един от няколко входящи фактора. Модел, обучен върху миналогодишните схеми за измама, няма автоматично да разпознае напълно нова техника. Той се нуждае от добавяне на човешка преценка, особено в критични ситуации.