Nu används AI som verktyg i cyberangrepp

Många av oss har funderat på om, eller kanske när, det kommer att ske och nu sker det. Generativ AI, som aldrig har semester, sover eller vilar om vi ger den ett uppdrag har blivit självgående.

Mina funderingar går då till två saker: hur försvarar vi oss och vad händer härnäst?

Spännande? Mycket! Skräckblandad förtjusning är ett uttryck som ligger nära.

Så här förbereder ni er

Att detta faktiskt sker här och nu innebär att vi behöver försvara oss, det är inte längre en risk med låg sannolikhet och hög konsekvens. Det sker visserligen inte mot allt och alla ännu men det är en tidsfråga innan ”gemene hacker” har denna kapacitet. Vi behöver bland annat förbereda oss med:

• Proaktivt cyberförsvar (läs Zero-Trust arkitektur/filosofi). Ett gammaldags försvar med en hård yta och ett mjukt inre, tänk rått ägg, är passé. Lager på lager, säkra identiteter, uppdaterad infrastruktur, övervakning, etc. är melodin. Lär känna din miljö, exponering och prioritera det som är verksamhetskritiskt.
• Övervakning. När AI anfaller behöver vi AI i försvaret med full visibilitet, det vi inte ser kan vi inte hantera och vi behöver hjälp att hinna med - ett digitalt kontrollrum med en AI-agent som operatör 24/7/365. Här är ett fysiskt kontrollrum relevant för att skapa bra förutsättningar för mänsklig delaktighet (human-in-the-loop).
• Övningar. Utvecklingen gå fort nu och det kommer fortsätta så ett tag framöver. Sannolikheten att drabbas av intrång ökar och det är smart att öva för att hitta förbättringsmöjligheter innan det blir skarpt läge. Att ha full koll på allt som kan hända i en incident är svårt men att ha en solid grund är viktigt.

Det senare, övningar, kommer att skapa insikter kring mer än bara incidenthantering. Sannolikt får deltagarna en bra känsla för behov av utbildning och hur processer kan mer ”stöttåliga” mot cyberintrång. En nyttig aspekt i samband med övning är att it och verksamhet övar tillsammans för att hitta eventuella gap.

Vad händer härnäst?

Ja, det är den stora frågan. Den närmaste tiden kan det bli rätt stökigt när allvarliga sårbarheter upptäcks eller när sårbarheter med låg poäng adderas ihop. Över tid tror jag att cyberdomänen kommer bli robustare då vi behöver använda AI för att bygga robustare mjukvara innan den släpps ut i det fria. CRA, Cyber Resilience Act, kommer bli en driver för detta hoppas jag, då du kommer kunna CE-märka din mjukvara. Upphandlande organisationer kan alltså kravställa på detta för att säkerställa bra mjukvara. Vibekodning kommer inte passa in bra i detta sammanhang, för övrigt.

Cybersäkerhetslagen kommer också in som en viktig pusselbit för att hantera detta. Jag måste säga att jag är besviken på hur föreskrifterna till sist blev. De är urvattnade och jag var en stark förespråkare för version ett och kunde tycka att version två nästan var rimliga. Mycket av det som fanns med i de två första versionerna vet vi hade förhindrat helt eller minskat påverkan av flertalet attacker, t.ex. MFA, segmentering av administrativa system och raska säkerhetsuppdateringar för delar av infrastrukturen.

Riskanalysen ska vara det centrala i arbetet med att efterleva Cybersäkerhetslagen men när det finns grundläggande åtgärder och arbetssätt som ger en robusthet så förstår jag inte varför vi inte kravställer att dessa ska finnas på plats. Ta parallellen med att bygga hus där det finns byggnormer, konstruktörer och hållfasthetsberäkningar för att inte riskera att det rasar ihop när det blåser eller snöar. De chansar inte och tänker ”Vi får se om det räcker med 45x45 i stommen på den här barren och om det behövs armering i plattan!”.

Slut på ranten, nu kör vi uppåt och framåt – riskhantering måste hållas à jour oavsett lagar och föreskrifter!

Hör av dig så pratar vi mer

Carl-Johan Ekelund, Head of Security

Skicka e-post