ЦБ разработал стандарт по аутсорсингу кибербезопасности

ЦБ разработал стандарт по аутсорсингу кибербезопасности

ЦБ разработал стандарт по аутсорсингу кибербезопасности

Если у банка нет потенциала, необходимого для самостоятельной разработки и апгрейда систем кибербезопасности, он должен передать эти функции сторонней компании, специализирующейся на борьбе с хакерами, то есть на аутсорсинг. Это следует из нового стандарта ЦБ по аутсорсингу информбезопасности, с которым ознакомились «Известия».

Привлеченная компания может в срок до шести недель помочь банку выстроить систему кибербезопасности, а затем на постоянной основе мониторить атаки хакеров, контролировать защиту в круглосуточном режиме и обучать персонал. Впрочем, не все компании-аутсорсеры способны разобраться со сложными целевыми кибератаками, отметили опрошенные «Известиями» эксперты.

Разработку стандарта по аутсорсингу в июльском интервью «Известиям» анонсировал замначальника главного управления безопасности и защиты информации ЦБ Артем Сычев. По его словам, «для небольших и средних банков вопросы, связанные с кибербезопасностью и IT в целом, весьма недешевые и сложные», поэтому необходимо развивать аутсорсинг информбезопасности. Сейчас подобные услуги на рынке оказывают 30 компаний, пишет iz.ru.

Как следует из нового стандарта ЦБ, банки могут выбрать три модели взаимодействия с аутсорсерами: долговременное, среднесрочное и кратковременное сотрудничество. В первом случае сторонняя компания занимается мониторингом кибератак на банк и реагированием на них. Во втором аутсорсер привлекается банком, чтобы выполнить для него проект по информбезопасности — например, построить собственный центр мониторинга и реагирования на киберугрозы. Третья модель подразумевает, что банк привлекает компанию на время, когда возрастает уровень киберрисков.

Услуги аутсорсинговых компаний могут быть базовыми, расширенными и премиальными. В первом случае компания работает в режиме 8х5, во втором и третьем — 24х7. Время обнаружения критически опасных кибератак в рамках базового пакета составляет до 30 минут, в рамках расширенного — до 20 минут, в рамках премиального — до 10 минут. Анализ ситуации займет 45 минут, 30 минут и 20 минут соответственно, а время выдачи рекомендаций по устранению инцидента — 2 часа, 1,5 часа и 45 минут.

Руководитель направления аутсорсинга ИБ центра информбезопасности компании «Инфосистемы джет» Екатерина Сюртукова отметила, что по сравнению с базовым пакетом стоимость расширенного выше в 1,2-1,5 раза, а стоимость премиального – в 1,5–1,7 раза. За базовый пакет небольшим банкам придется заплатить 250 тыс. рублей в месяц, а крупным — до 2,5 млн.

— Если требуется режим 24х7, стоимость услуг будет включать содержание круглосуточной службы, — пояснила «Известиям» Екатерина Сюртукова. — Если нужен высокий уровень компетенции, учитываются расходы на расширенный штат специалистов для оперативного реагирования на инциденты. Стоимость услуг защиты от DDoS-атак зависит от полосы защищенного трафика, доступность которого необходимо обеспечить. Стоимость же оказания услуг защиты web-приложений — от количества и сложности веб-сайтов, которые нужно обезопасить.

По словам зампреда Локо-банка Андрея Люшина, объем киберугроз постоянно растет, и банки будут обращаться к аутсорсерам для защиты от атак и понимания того, кто за ними стоял, — это поможет выстроить необходимые процессы реагирования. По мнению эксперта, наиболее предпочтителен вариант долговременного взаимодействия с аутсорсерами.

Аутсорсинговые компании часто применяют типизированный подход к предоставлению подобного сервиса.

— Аусторсер может иметь выстроенные процессы по мониторингу событий информбезопасности 24х7, отлично обнаруживать типовые инциденты или факты нарушения внутренней политики безопасности, но при этом не иметь практических компетенций (а иногда и нужных специалистов), позволяющих разобраться со сложной целевой атакой, — пояснил «Известиям» замдиректора центра компетенций по экспертным сервисам Positive Technologies Алексей Новиков. — Очень важно, чтобы аутсорсинг информбезопасности не превратился в мониторинг IT-инцидентов. Или чтобы при выстраивании долговременных взаимоотношений у аутсорсинговой компании «не замыливался глаз» в отношении происходящих в инфраструктуре банка событий.

Немалыми рисками для банков, по мнению экспертов, также являются зависимость от провайдеров и возможность потери конфиденциальных данных.

По данным ЦБ, в 2016 году общий объем киберхищений с учетом атак на банки составил около 4 млрд рублей. По прогнозам регулятора, в 2017 году «доход» мошенников будет ниже.

86% крупных компаний в России используют LLM, ИИ-агенты застряли в пилотах

86% крупных российских компаний уже используют или пилотируют большие языковые модели (LLM), однако до промышленной эксплуатации автономных ИИ-агентов дело пока дошло лишь у 8% организаций. К такому выводу пришли «Инфосистемы Джет» и Smart Ranking, изучившие уровень ИИ-зрелости российского крупного бизнеса. Исследование показывает: основным препятствием для масштабирования ИИ становятся не сами модели, а готовность корпоративных процессов, данных и инфраструктуры.

Исследование основано на опросе 52 крупных российских компаний, в которых в совокупности работает около 450 тыс. человек, семи глубинных интервью и кабинетном анализе. В опросе участвовали ИТ- и технические директора, а также руководители, отвечающие за цифровизацию и внедрение ИИ.

Большой языковой моделью сегодня пользуется или экспериментирует с ней большинство крупных российских компаний. 86% организаций уже внедряют LLM, причем 53% из них вывели решения на базе генеративного ИИ в промышленную эксплуатацию. Для значительной части бизнеса технология уже перешла из стадии экспериментов в рабочий инструмент.

При этом с ростом автономности решений их распространенность заметно снижается. Проекты с полуавтономными ИИ-агентами есть у 59% компаний, полностью автономные решения внедряют 25%, а мультиагентные системы — 23%. Однако в промышленной эксплуатации эти показатели значительно ниже: полуавтономные агенты работают в проде только у 15% компаний, автономные и мультиагентные системы — у 8% в каждой категории.

Интерес к агентным технологиям уже сформировался: более 60% компаний изучают возможности автономных и мультиагентных систем. Однако переход от экспериментов к массовому внедрению упирается в готовность корпоративной среды.

Почти половина компаний — 44% — отказывается от внедрения ИИ-агентов из-за недостаточной зрелости процессов, инфраструктуры данных и сложностей интеграции с корпоративными системами. Как отмечает глава Дирекции по разработке и внедрению ПО «Инфосистемы Джет» Максим Андрианов, ценность агентных решений напрямую зависит от качества данных, цифровизации процессов и наличия необходимых интеграций. 

Он добавил, что последние наблюдения показывают, что аппаратное обеспечение стало выполнять меньше вычислительной работы работы. Вследствие этого, производительность моделей ИИ выросла. Однако стоимость вычислительной инфраструктуры остается одним из главных ограничений: 58% респондентов назвали стоимость серверов барьером для внедрения ИИ.Еще 56% указали на юридические риски, 42% — на ограничения инвестиционных бюджетов, а 40% — на дефицит специалистов. В 17% компаний препятствием становится отсутствие ИИ-лидеров, способных отвечать за внедрение технологии.

Даже после запуска пилотов компании сталкиваются с проблемой экономической эффективности. Устойчивого финансового эффекта от ИИ не видят 46% участников исследования. Еще 40% не могут масштабировать проекты из-за отсутствия владельца продукта или процесса, а столько же респондентов отмечают нестабильное качество ИИ-систем, включая галлюцинации и другие сбои. 

Таким образом, крупный российский бизнес уже освоил генеративный ИИ, но внедряет агентные технологии значительно осторожнее. Почти половина компаний планирует увеличить инвестиции в ИИ, однако в ближайшие годы приоритетом, вероятно, останутся проекты с понятной экономикой и контролируемыми рисками.

Для перехода к следующему этапу компаниям потребуется не только доступ к более мощным моделям. Необходимы качественные данные, цифровизированные процессы, интеграция с корпоративными системами и механизмы контроля. Поэтому дальнейшее развитие корпоративного ИИ может сместить акцент с выбора самой модели на создание инфраструктуры, способной обеспечить измеримый бизнес-эффект.

RSS: Новости на портале Anti-Malware.ru