Googleovi bezbjednosni inženjeri predstavili su "Beyond Zero", novi pristup sajber bezbjednosti koji principe modela "Zero Trust" proširuje na pojedinačne radnje korisnika i agenata vještačke inteligencije. Cilj je da organizacije, pored provjere pristupa sistemu, procjenjuju šta se unutar njega radi, kojim resursima se pristupa i kakav rizik svaka operacija predstavlja.
Model "Zero Trust" dobio je snažan zamah tokom pandemije kovida 19, kada je rad na daljinu postao svakodnevica. Kompanije su morale da zaštite zaposlene koji su pristupali poslovnim sistemima s različitih lokacija, koristeći službene i lične uređaje.
U međuvremenu, razvoj vještačke inteligencije otvorio je nove izazove. Automatizovani agenti mogu obavljati zadatke brzinom i u obimu koji znatno nadmašuju ljudski rad, ali iste mogućnosti mogu koristiti i napadači.
Zašto Google smatra da je potreban novi pristup?
Heder Adkins, potpredsjednica Googlea za bezbjednosni inženjering, i Arčana Ramamurti, viša direktorka za sajber bezbjednost i zaštitu podataka, u objavi na blogu kompanije objasnile su da AI mijenja osnovne pretpostavke poslovne bezbjednosti.
"Poslovno okruženje sada ulazi u novu eru koju oblikuje vještačka inteligencija, u kojoj AI mijenja pretpostavke o tome kako funkcioniše bezbjednost kompanija. AI agenti primjenjuju se širom svijeta kako bi ubrzali poslovne operacije i povećali produktivnost", napisale su.
Međutim, kako upozoravaju, veće mogućnosti istovremeno donose i nove rizike, navodi ITPro.
"Napadači mogu iskoristiti sličnu brzinu da kompromituju pristupne podatke s visokim ovlašćenjima i izvedu napade. To stvara potrebu za novim bezbjednosnim pristupom koji je sposoban da se odbrani od tih novih prijetnji", navele su.
"Beyond Zero" osmišljen je kao odgovor na takvo okruženje, u kojem zaštita mora pratiti i ljudske korisnike i automatizovane sisteme.
Na kojih pet principa se zasniva "Beyond Zero"?
Googleovi inženjeri izdvajaju pet ključnih principa.
Prvi je bezbjednost zasnovana na resursima i radnjama. Umjesto širokog odobrenja pristupa čitavoj aplikaciji ili alatu, procjenjuje se svaka konkretna radnja i pristup određenom resursu.
Drugi je kombinovanje statičkih i dinamičkih kontrola. Detaljna, unaprijed definisana pravila povezuju se s kontrolama koje pojačavaju zaštitu u složenim situacijama ili kada sistem prepozna veći rizik.
Treći je automatsko obogaćivanje konteksta. Sistem za donošenje odluka treba da raspolaže informacijama o tome na čemu korisnik treba da radi, kojim podacima pokušava da pristupi, šta namjerava da uradi s njima i koje mjere mogu smanjiti rizik.
Četvrti je automatizovana detaljna istraga. Kada se pojave rizični signali, bezbjednosna provjera pokreće se odmah i samostalno. Sistem tada može zatražiti dodatnu provjeru korisnika ili primijeniti mjere ograničavanja aktivnosti.
Peti su dodatne provjere i mjere ograničavanja. Bezbjednosna pravila mogu zahtijevati da korisnik ili agent na zahtjev dostavi dodatne podatke potrebne za procjenu rizika, odnosno pokrenuti postupke za ograničavanje potencijalno opasnih radnji.
Po čemu se ovaj model razlikuje od provjere pristupa?
Din Gefen, osnivač i izvršni direktor kompanije NukuDo, koja se bavi razvojem kadrova za sajber bezbjednost, ističe da je "Zero Trust" uveo trajno važan princip: legitimni pristup ne treba poistovjećivati s neograničenim povjerenjem.
Prema njegovim riječima, mijenja se nivo na kojem se povjerenje procjenjuje. Fokus se proširuje s odluke o ulasku u sistem na detaljne odluke o pojedinačnim radnjama i resursima.
"Kako organizacije uvode više automatizacije i AI u svoja okruženja, utvrđivanje da li neki identitet treba da uđe u sistem predstavlja samo dio bezbjednosnog izazova", objasnio je Gefen.
"Organizacije moraju razumjeti i šta taj identitet ili agent pokušava da uradi, s kojim resursom komunicira, kakav je kontekst zahtjeva i koji je potencijalni rizik povezan s tom radnjom."
Ovo je naročito važno kod autonomnih AI sistema. Čovjek tokom dana može izvršiti desetine ili stotine operacija, dok veliki broj agenata može obaviti znatno više. Svaka od tih radnji mora biti usklađena s pravilima pristupa.
Kako se razvijao "Zero Trust"?
Iako je široku primjenu dobio znatno kasnije, istorija ovog koncepta seže do doktorske disertacije Stivena Pola Marša o računarskoj bezbjednosti iz 1994. godine, nastale na Univerzitetu u Stirlingu.
Ideja "nikada ne vjeruj, uvijek provjeravaj" dobila je veću pažnju 2009. godine, kroz rad Džona Kindervaga iz kompanije Forrester.
Paralelno s tim, Googleova interna inicijativa "BeyondCorp" uklanjala je oslanjanje na virtuelne privatne mreže, odnosno VPN, provjeravajući identitet korisnika i stanje uređaja pri zahtjevima za pristup.
Gefen ističe da se od tada bezbjednosno okruženje promijenilo i po složenosti i po brzini.
"Zero Trust je postao značajan kada su organizacije prvenstveno bile usmjerene na zaštitu ljudskog pristupa mrežama, aplikacijama i podacima. Danas to okruženje uključuje infrastrukturu u oblaku, API-je, automatizovane sisteme i sve autonomnije AI agente koji rade na više platformi", rekao je.
Da li osnovni principi i dalje važe?
Gefen smatra da temeljni principi modela "Zero Trust" ostaju veoma vrijedni, ali da se prostor koji moraju zaštititi znatno proširio.
"Organizacije više ne štite samo zaposlene koji pristupaju aplikacijama. One štite radna opterećenja u oblaku, API-je, automatizovane procese, mašinske identitete i AI agente koji mogu komunicirati sa sistemima i podacima uz različite stepene autonomije. To uvodi drugačiji nivo rizika", objasnio je.
Žilijen Rišar, potpredsjednik za informacionu bezbjednost kompanije Lastwall, upozorava da agentima ne treba automatski dodjeljivati sva ovlašćenja osobe u čije ime rade.
"Ako AI agentu dajemo ista ovlašćenja kao čovjeku s visokim privilegijama samo zato što djeluje u njegovo ime, prvo bih pitao zašto smo sistem tako osmislili", rekao je za ITPro.
Princip minimalnih ovlašćenja, upravljanje privilegovanim pristupom, poznato kao PAM, pristup odobren samo kada je potreban, odnosno JIT, i ljudsko odobravanje već omogućavaju ograničavanje neljudskih identiteta.
"Ono što je drugačije kod AI jeste njegova autonomija i nepredvidivost, i tu detaljnije odobravanje na nivou pojedinačnih radnji postaje zanimljivo", dodao je.
Kako kompanije treba da pristupe promjenama?
Stručnjaci preporučuju postepenu nadogradnju postojeće strategije, uz očuvanje snažnog upravljanja identitetima, minimalnih ovlašćenja, zaštite uređaja, segmentacije, preglednosti sistema i kontinuiranog nadzora.
Sljedeći korak je utvrđivanje gdje AI ulazi u poslovne procese i kakva ovlašćenja dobija.
"Poslovni i bezbjednosni rukovodioci treba da znaju koji AI agenti mogu pristupiti osjetljivim informacijama, koja ovlašćenja imaju, s kojim sistemima mogu komunicirati, koje radnje mogu samostalno izvršavati i koliko brzo organizacija može prepoznati i zaustaviti ponašanje koje izlazi iz okvira njihove predviđene namjene", poručio je Gefen.
Preporučuje da kompanije krenu od najosjetljivijih podataka i procesa s najvećim rizikom, pa tamo uvedu detaljnije kontrole zasnovane na kontekstu.
Istovremeno treba razvijati znanja zaposlenih koji će tehnologiju primjenjivati, štititi i održavati. Kompetencije iz sajber bezbjednosti, računarstva u oblaku, rada s podacima i razvoja softvera treba povezati sa širom strategijom poslovne transformacije.
Da li je "Beyond Zero" već potpuno razvijen?
Google najavljuje dodatna objašnjenja i podatke o primjeni, što pokazuje da koncept još sazrijeva.
"Kao i kod ranijih bezbjednosnih publikacija, pružićemo detalje o napretku, arhitektonskim i operativnim razmatranjima, odnosno pitanjima primjene koja su dovela do ovog rezultata, kao i ideje o tome kako industrija može zajednički unaprijediti tehnologiju da bi svi imali koristi", napisale su Adkins i Ramamurti.
Da li je nova arhitektura potrebna svakoj organizaciji?
Veličina kompanije i sektor nisu jedini kriterijumi. Presudni su način upotrebe AI, prijetnje kojima je organizacija izložena i nivo rizika koji je spremna da prihvati.
"AI pomoćnik koji sažima javne informacije predstavlja veoma drugačiji rizik od autonomnog agenta koji mijenja produkcione sisteme ili pristupa osjetljivim podacima", rekao je Rišar.
"Ne treba svakoj organizaciji nova bezbjednosna arhitektura samo zato što koristi AI. Počnite od rizika, a ne od tehnologije."