Малко над половината от 200 висши ръководители в областта на сигурността и технологиите, анкетирани от ArmorCode, заявяват, че техните организации ще се борят да опростят програмите си за софтуерна сигурност, ако продължат да работят по досегашния си начин.
Респондентите са заемащи високи позиции лица, повечето от които в компании с 10 000 или повече служители, а техните притеснения са фокусирани върху това какво се случва, след като даден скенер маркира проблем. Някой трябва да реши дали дефектът е от значение, да установи кой отговаря за него и да прокара корекцията през екипи, които използват различни инструменти и графици за публикуване. Всяко забавяне по тази верига оставя известния дефект открит за по-дълго време. Докладът за разследване на пробиви на данни на Verizon за 2026 г. посочва, че медианното време за пълно отстраняване на критична уязвимост е 43 дни.
Изкуственият интелект увеличава обема от работа
Натискът идва и от двете посоки. Инструментите с изкуствен интелект позволяват на разработчиците да пишат и променят софтуер по-бързо, а сканирането с помощта на AI открива повече слабости. Четиридесет процента от запитаните са посочили количеството генериран от AI код, чакащ преглед от човек, като свое основно предизвикателство в областта на софтуерната сигурност. Генерираният от AI код не е по подразбиране несигурен, но той е в по-голям обем, отколкото проверяващите експерти могат да обработят.
Тези 40% идват с едно уточнение. Всеки респондент е избрал един отговор от кратък списък, така че цифрата показва, че прегледът на код с AI е надделял над останалите опции за тези хора. Тя не казва нищо за това как останалите 60% оценяват проблема.
Кой каква констатация обработва
Вторият по големина дял в проучването, 44%, посочва като най-голяма необходимост от трансформация внедряването на многостепенна стратегия за откриване на уязвимости с помощта на изкуствен интелект.
„Автоматизацията трябва да се справя с детерминистичната работа: констатации, отстранявания и мерки за ограничаване на риска, които са повторими, с нисък риск и добре разбрани“, заяви Роб Чапман, главен инженер по решенията в ArmorCode, пред Help Net Security. „Повечето организации вече имат до известна степен внедрена такава практика. Тези констатации се вписват добре в работни процеси, изградени върху зрели процеси като нормализация, обогатяване, маршрутизиране според собствеността, управление на тикети, управление на SLA и потвърждаване чрез повторно сканиране.“
Средният слой принадлежи на AI агентите — софтуер, който може да изпълнява многостъпкова задача с ограничен надзор.
„Агентите работят добре там, където са необходими по-дълбоко разследване и разсъждения. Те могат да оценяват сигнали за достъпност и възможност за експлоатация, да идентифицират взаимосвързани констатации и да извеждат на повърхността потенциални пътища за атака“, каза Чапман. „Тъй като тази работа включва вземане на субективни решения, тя се нуждае от стабилни ограничения за целите на одита и прегледа.“
„Хората притежават решенията и последствията от тях, включително приемането на риска и изключенията. Целта не е да се премахнат хората от процеса, а да се запази тяхното ограничено време и внимание за решения, които изискват добра преценка и отговорност“, каза той.
Той добави още една стъпка: „Идеалният вариант е това да бъде многослоен подход, при който констатациите, стигащи до хората, се преглеждат за възможности за връщане на сходни задачи обратно надолу по веригата.“
Сигнали за тревога, които не казват достатъчно
Попитайте тези лидери какво не им дава да спят нощем и първият отговор е потокът от сигнали с малко контекст. Това са предупреждения, които маркират слабост, без да посочват дали някой може да достигне до засегнатата система, дали тя реално може да бъде експлоатирана, коя бизнес услуга зависи от нея или кой трябва да се заеме с проблема.
Екип с повече сигнали за тревога, отколкото може да сортира, и с твърде малко информация за всеки от тях, се сблъсква едновременно с проблем с обема и проблем с контекста.
Твърде много инструменти, твърде много предавания на задачи
Основната цел на анкетираните е била по-добро отстраняване на уязвимостите в екипите по сигурност и разработка, като всяка опция по този въпрос е свързана с предприемане на действия въз основа на констатациите. Причината за това става ясна, когато проследите една констатация. Тя може да започне от един скенер, да се нуждае от контекст от няколко други системи, да се приоритезира от екипа по сигурност и да стигне до разработчик, облачен инженер или външен доставчик. Всяка стъпка, която се изпълнява в отделен работен процес, струва контекст и време.
Попитан как един ръководител по сигурността трябва да реши кои инструменти да обедини и кои да запази свързани чрез споделен слой, Чапман каза:
„Бих консолидирал там, където инструментите се припокриват като функционалност и генерират сходни констатации. Бих запазил инструментите, които предлагат значителна дълбочина или уникално покритие, и бих свързал тези, които преминават този тест, чрез общия слой. Въпросите, които трябва да се зададат за всеки инструмент, са: Добавя ли покритие, което никой друг не осигурява? Високо ли е качеството на сигнала му? Може ли да се интегрира в моята по-широка структура от данни? Доверяват ли му се екипите, които го използват?“
Какво да се покаже на борда на директорите
„Първата метрика е времето за коригиране на сериозни системи, които подлежат на експлоатация и са изложени на риск. Ръководителите искат да знаят, че можем да идентифицираме тези рискове и че се справяме все по-добре с тяхното управление с течение на времето“, каза Чапман.
„Ръководителите също така искат да знаят къде са предизвикателствата вътре в бизнеса“, каза той. „Организациите рядко имат единна, консолидирана рискова повърхност. Те са съвкупност от екипи, активи, продукти и бизнес единици, всяка от които допринася за общата уязвимост. Лидерите се нуждаят от видимост за това къде е необходима подкрепа, къде се случва промяна и къде са потенциалните критични точки в цялата организация.“
Уебинар: Затваряне на празнината в отговорността при внедряване с помощта на AI