Անվտանգություն vs. աճ. ինչպես է Wilco-ն պաշտպանում գործընթացները, տվյալները և մարդկանց
Հոկտեմբերը Կիբեռանվտանգության իրազեկման ամիսն էր: Wilco-ում կիբեռանվտանգության թեմայով ուսուցումն ու վարժություններն անցկացվում են ամբողջ տարվա ընթացքում, իսկ հոկտեմբերին դրանք առավել ինտենսիվ էինք դարձրել՝ բոլոր թիմերում իրազեկվածության բարձր մակարդակն անընդհատ պահպանելու համար:
Այս առիթով զրուցել ենք մեր ՏՏ թիմի երկու անդամների հետ: ՏՏ ենթակառուցվածքների ղեկավար Ալեքսանդր Վոկրիաչկոն պատմել է, թե ինչպես է Wilco-ն պաշտպանում իր գործընթացները, տվյալները և մարդկանց ընկերության ընդլայնմանը զուգընթաց: ՏՏ նախագծերի ավագ ղեկավար Արտյոմ Կոլչինն էլ կիսվել է այն մասին, թե ինչ են նշանակում վերջին արհեստական բանականության (ԱԲ) գրոհները ֆինանսական ընկերության համար:
Աճել առանց փոխզիջումների
Ընկերության զարգացման վաղ փուլերում արագությունն առաջնային է: Ավելի մեծ ընկերության դեպքում անվտանգությունը հիմնված է կառուցվածքի վրա՝ հստակ սահմանված ներգրավման (onboarding) գործընթաց, գրավոր քաղաքականություններ և աշխատանքային սարքավորումների հստակ չափանիշներ:
Արագ աճը մշտական լարվածություն է ստեղծում օգտագործման դյուրինության և անվտանգության միջև: Ալեքսանդրի համար այդ լարվածությունը կառավարելի փոխզիջում է, և ոչ թե զիջումների գնալու պատճառ:
«Անվտանգությունն ավելի դժվար է կառավարել մասշտաբավորման ժամանակ, բայց դա փոխզիջումների գնալու պատճառ չէ»,— նշում է նա։ — «Այն պետք է ներդրվի այն բանի հիմքում, թե ինչպես են մարդիկ միանում ընկերությանը, աշխատում և օգտագործում իրենց սարքերն առաջին իսկ օրվանից, և ոչ թե ավելացվի հետագայում»:
Ստանդարտները՝ որպես հիմնասյուն
Wilco-ն իր մոտեցումներըը հիմնում է ISO/IEC 27001 և ISO/IEC 27002 ստանդարտների վրա և ընթացքի մեջ է ISO/IEC 27001 հավաստագրման պաշտոնականացման ուղղությամբ:
Առաջին ստանդարտը սահմանում է տեղեկատվական անվտանգության կառավարման համակարգի աշխատանքը և այն հիմքն է, որի համաձայն ընկերությունները ստանում են հավաստագիր, իսկ երկրորդը սահմանում է վերահսկողության գործիքները: Երկուսի հիմքում ընկած սկզբունքն այն է, որ յուրաքանչյուր գործընթաց և յուրաքանչյուր տվյալ պետք է ապահովագրված լինի, և ներքին աուդիտները ստուգում են ընկերության համապատասխանությունն այս պահանջներին:
«Հայաստանի կենտրոնական բանկի առաջարկությունները մոտ են այս միջազգային ստանդարտներին: Քանի որ կիբեռռիսկերն ստանում են գնալով ավելի հրատապ բնույթ, կարծում եմ, որ դրանք շուտով պարտադիր կդառնան»,— ասում է Ալեքսանդրը:
Մարդիկ. ամենախոցելի օղակն ու պաշտպանության առաջին գիծը
«Մարդիկ ձախողման հիմնական կետն են, և հարձակվողները դա գիտեն»,— ասում է Ալեքսանդրը: Ֆիշինգն ու սոցիալական ինժեներիան թիրախավորում են աշխատակիցներին, և ոչ թե սերվերները: Բայց հակառակն էլ է ճիշտ. աշխատակիցը, ով նկատում է ֆիշինգային փորձը, կասեցնում է հարձակումը դեռևս այն սկսվելուց առաջ: Ահա թե ինչու Wilco-ում իրազեկվածությունը շարունակական ծրագիր է, այլ ոչ թե մեկանգամյա արշավ. ընկերությունում ամբողջ տարվա ընթացքում անցկացվում են ուսուցումներ և վարժություններ, կիբեռանվտանգության դասընթացը հասանելի է ընկերության ներքին պորտալում, իսկ աշխատակիցների համար պարբերաբար անցկացվում են գիտելիքների ստուգման թեստեր: Թափանցման թեստավորումն էլ՝ penetration test-երը, Wilco-ի սեփական համակարգերը ենթարկում են վերահսկվող հարձակման՝ խոցելիությունները հայտնաբերելու նպատակով, նախքան դրանք կբացահայտի հարքերը:
Այս ամենին զուգահեռ գործում են կիբեռանվտանգության վահանակներ (dashboard-ներ), ԱԲ-ի աջակցությամբ անվտանգության վերլուծություն և առօրյա առաջադրանքների ավտոմատացում, ինչի շնորհիվ թիմն իր ժամանակը ծախսում է այնտեղ, որտեղ անհրաժեշտ է մարդկային դատողություն: Որոշ սպառնալիքներ հնարավոր չէ կանխել նախօրոք. զրոյական օրվա խոցելիությունը (zero-day vulnerability)՝ մի թերություն, որից հարձակվողներն օգտվում են մինչև շտկման առկայությունը, իր սահմանմամբ անհայտ է: « Կարելի է վերահսկել միայն այն, թե որքան արագ կնկատեք խնդիրը և ինչպես կարձագանքեք դրան»,— նշում է Ալեքսանդրը:
Արհեստական բանականություն. հարձակման նոր հարթություն
Ալեքսանդրի համար ներկայում ամենամեծ մարտահրավերներից մեկը ստվերային ԱԲ-ն է (shadow AI). երբ աշխատակիցներն անձնական ԱԲ գործիքներ են օգտագործում աշխատանքի համար՝ ընկերության վերահսկողությունից դուրս: Ֆինանսական հաստատության համար սա նշանակում է, որ տվյալները կարող են դուրս գալ ընկերությունից՝ առանց որեւէ մեկի նկատելու։ Դեռևս չկան ոլորտային ստանդարտներ կամ որևէ նմանատիպ բան՝ ցանցային տեխնոլոգիաների աշխարհում հիմնարար դեր խաղացող Cisco-ի հավաստագրերի պես, ուստի ընկերությունները տատանվում են ամեն ինչ բաց թողնելու վախի (FOMO) և ամեն ինչ խստորեն արգելափակելու ցանկության միջև։
Wilco-ն ընտրել է կորպորատիվ ԱԲ-ի ուղին, ուստի արհեստական բանականությունն օգտագործվում է վերահսկվող միջավայրում: «Մեր ԱԲ քաղաքականությունը հստակ սահմանագիծ է քաշում. անձնական տվյալները և կրիտիկական տեղեկատվությունը երբեք չեն մուտքագրվում ԱԲ գործիքներ»,— ասում է Ալեքսանդրը: Այս քաղաքականությունը ներառված է ուսումնական ծրագրում, և աշխատակիցները ստուգարքներ են անցնում դրա, ինչպես նաև ներքին ու արտաքին անվտանգության այլ թեմաների վերաբերյալ։
Մինչ Ալեքսանդրն ԱԲ-ն դիտարկում է ընկերության ներսից, Արտյոմ Կոլչինն հարցին նայում է նաև դրսից: Իր շաբաթական հոդվածաշարի միջոցով նա հետևում է, թե աշխարհում ինչ է կատարվում ԱԲ անվտանգության ոլորտում: Հոկտեմբերին նրան առանձնահատուկ հետաքրքրեցին երեք պատմություն, որոնցից յուրաքանչյուրը ցույց է տալիս, թե որտեղ են թաքնված ֆինանսական ընկերությունների հետագա ռիսկերը:
Թույլտվությունները՝ հարձակվողների նոր թիրախ
Արտյոմի կարծիքով՝ ԱԲ-ի աշխարհում հարձակումների վերջին ալիքը ցույց է տալիս, թե որտեղ են գտնվում ֆինանսական ընկերությունների հաջորդ ռիսկերը:
Արտյոմը մատնանշում է Meta Muse-ում հայտնաբերված խոցելիությունը. Mac-ի համար նախատեսված ԱԲ օգնական, որն ունի հասանելիություն ֆայլերին, էլ. փոստին, հաղորդագրություններին, տեսախցիկին և խոսափողին: Mac-ում արդեն իսկ գործող վնասբեր ծրագիրը (malware) կարող էր իր սեփական հրամանները ներմուծել օգտատիրոջ ձայնային հրահանգի մեջ, և օգնականը կարող էր իրականացնել դրանք՝ օգտվելով իրեն տրված թույլտվություններից: Meta-ն շտկումն ուղարկեց հաջորդ իսկ օրը: «Հարձակվողի համար ամենարժեքավոր ակտիվն այլևս մոդելը կամ տվյալները չեն. դրանք այն թույլտվություններն են, որոնք ԱԲ գործակալն արդեն ստացել է»,— ասում է Արտյոմը: Նրա պատասխանը նվազագույն արտոնությունների սկզբունքն է (least privilege), կրիտիկական գործողությունների դեպքում մարդու առկայությունը (human-in-the-loop) և թարմացումների անհապաղ տեղադրումը և ոչ թե դրանք «ինչ-որ մի օրվա» հետաձգելը:
Արտյոմը, ոը ստեղծում է իր սեփական անվտանգության գործիքները, ներառյալ թափանցման թեստավորման (pentesting) գործիք, նկատել է, որ սահմանային մոդելները (frontier models) դարձել են շատ ավելի խիստ նմանատիպ կոդերի գրելուն աջակցելու հարցում: Հաքերները չունեն նման սահմանափակումներ: Հարավկորեական ֆինանսական հաստատությունների վրա կատարված հարձակման ժամանակ, ըստ CrowdStrike-ի, հաքերներն ամենայն հավանականությամբ օգտագործել է ARTEX՝ բաց կոդով գործակալային pentesting գործիքը, Claude Code-ի հետ համատեղ, ընդ որում՝ բաց DeepSeek մոդելն է կատարել աշխատանքի մեծ մասը: Հարավային Կորեայի իշխանությունները հայտնել են, որ տուժել է ավելի քան 68,000 մարդ: «Հարձակվողը պարզապես ընտրում է բաց մոդել, որը ոչնչից չի հրաժարվում»,— ասում է նա: «Մինչդեռ պաշտպանվողը բախվում է մերժումների՝ pentesting գործիք ստեղծելիս կամ հարձակումը հետաքննելիս»:
Ռիսկը թաքնված է միջուկի շուրջը
Cathedral-ը՝ մի ստարտափ, որը փորձարկում է Anthropic-ը վարձատրվող խոցելիությունների բացահայտման (bug bounty) ծրագրի միջոցով, հայտնել է, որ իրենց ԱԲ գործակալները երրորդ կողմի բիզնես ծրագրաշարերի միջոցով ներքին համակարգեր մուտք գործելու ուղիներ են գտել 12 ժամից էլ պակաս ժամանակում: Anthropic-ը հաստատել է, որ վաճառքի, մարդկային ռեսուրսների (HR) և ՏՏ համակարգերի որոշակի շրջանակ հասանելի է դարձել, սակայն նշել է, որ օգտատերերի զրույցները, սկզբնական կոդը (source code) և մոդելի կշիռներն անհասանելի են մնացել։ «Հաճախորդների և աշխատակիցների անձնական տվյալները հազվադեպ են արտահոսում հիմնական (core) համակարգերի միջոցով»,— ասում է Արտյոմը: «Դրանք արտահոսում են դրանց շրջապատող ինտեգրումների միջոցով: Նախկինում պենտեստի (pentest) թիմից շաբաթներ էր պահանջվում այս ծառայությունների միջոցով հարձակման շղթա գտնելու համար։ Այժմ ԱԲ գործակալն դա անում է կես օրում»:
Նա առաջարկում է տալ երեք հարց, որոնց պետք է պատասխանի յուրաքանչյուր թիմ.
- Արդյո՞ք մենք ունենք հաճախորդների տվյալներին հասանելիություն ունեցող SaaS գործիքների ամբողջական ցանկ:
- Ի՞նչ թույլտվություններ ունի յուրաքանչյուր ինտեգրում, և արդյո՞ք դրանց բոլորն են անհրաժեշտ:
- Արդյո՞ք մենք կարող ենք վաճառողին (vendor) անջատել մեկ ժամվա ընթացքում, եթե վաղը հայտնաբերվի խոցելիություն:
Արդյունքներ, որոնք ոչ ոք չի տեսնում
«Անվտանգության պարադոքսն այն է, որ լավ արդյունքն անտեսանելի է. հաջողությունը նշանակում է, որ ոչինչ տեղի չի ունենում»,— ասում է Ալեքսանդրը: Այն, ինչ ոչ ոք չի տեսնում, հեշտ է թերագնահատել, ուստի Wilco-ն այդ աշխատանքը տեսանելի է դարձնում թիմի ներսում՝ վահանակների, աուդիտների, թեստերի և ուսուցման արդյունքների միջոցով, և շարունակում է ներդրումներ կատարել դրանում նույնիսկ այն ժամանակ, երբ ամեն ինչ հանգիստ է։
Նրա ուղերձը գործընկերներին պարզ է. «Կիբեռանվտանգությունը ռիսկերի կառավարում է, և մարդիկ դրա հիմքն են: Մեզանից յուրաքանչյուրը պաշտպանության մի մասն է»:
Wilco LLC-ն վերահսկվում է ՀՀ Կենտրոնական բանկի կողմից:
