从首席安全官的视角解码生成式人工智能的影响

CISO的思想 ：解码GenAI 影响 500多名安全高管分享了AI如何改变CISO角色和网络安全格局 CISO的思想：解码GenAI的影响 内容页 ...................................................................................................6 第一部分：GenAI和网络安全： 风险与收益8 第二节：CISO12的角色演变第三节：人工智能和适应性16 Boilerplates20 CISO的思想：解码GenAI的影响 执行摘要 CISO使用传统AI在他们的组织 CISO对GenAI的观点： 杰基尔博士和海德先生的奇怪案例 首席信息安全官（CISO）的角色在诸如证券交易之类的备受瞩目的案件之后再次受到关注 在2021年违规事件发生后，委员会（SEC）对SolarWindsCISO提出了欺诈指控。随着行业开始意识到生成AI（GenAI）的全部潜力及其对网络安全的影响，人工智能（AI）的使用增加使这一角色变得更加复杂。 GenAI以极快的速度推出，对CISO在其组织内保护关键数据提出了挑战。GenAI的民主化意味着它现在可以在每个专业和技能水平上使用，并带来了 一系列的好处以及潜在的问题与进攻和防守网络安全能力。 Trellix委托独立市场研究机构VasoBore对北美的500家CISO进行了一项研究调查，以了解他们在其组织的安全运营中使用GeAI的感知风险和收益。受访者在一系列行业工作，包括金融，公共部门，医疗保健（公共和私营），制造业，能源，石油，天然气和公用事业。结果清楚地表明，CISO已经感受到了GeAI对其组织、团队和角色的影响。 76%的CISO已经在其组织中使用GenAI，其余24%的大多数计划使用GenAI。70%目前使用传统AI，26%的人表示他们计划在未来12个月内这样做，最常见的应用是预测分析软件和自然语言处理(NLP)工具。 目前使用AI规划使用AI 目前没有使用，也没有计划使用AI CISO使用GenAI 在他们的组织 当前使用GenAIPlanning使用GenAI当前未使用, 也没有计划使用GenAI .2% 23.8% 76% 3 4% 26% 70% CISO的思想：解码GenAI影响 流程/技术由GenAI增强/增强 47% 43% 31% 29% 27% 26% 26% 25% 24% 10 20 22% 30 40 50 16% 安全内容 创建 100% CISO知道GenAI有能力彻底改变组织的运作方式。来自已经使用GenAI的组织的所有（100％）受访者认为它正在增强/增强网络安全流程和/或技术。 随着这项技术成为日常功能的重要组成部分，很明显 安全测试/ 分析事件响应和取证威胁模拟和红色团 队 行为分析/用户身份 验证 调查(例如范围界定、分类) 所有（100%）受访者 来自已经使用GenAI的组织认为它正在增强/增强网络安全流程和/或技术。 CISO和工作场所网络安全的未来正在重塑。CISO已经认识到了这些好处，91%的人对GenAI和AI将给他们的组织带来的前景和机会表示兴奋。平均而言，CISO认为GenAI已经或可以将他们组织的员工生产力提高38%。 91% 91%的CISO对GenAI和AI 将给他们的组织带来的前 景和机会表示兴奋。 威胁情报 分析 政策合规性/Governance 脆弱性评估恶意软件检测 和分析 威胁检 0 测 38% 平均而言，CISO认为GenAI已经或可以通过以下方式提高其组织员工的生产力38% 人工智能可以提供显著的优势，但几乎所有接受调查的CISO(99.8%)都认为有多个领域需要更高水平的监管，特别是围绕数据隐私和保护以及道德使用。 GenAI是一把双刃剑，具有启用和防御严重网络威胁的能力，CISO认识到风险。尽管CISO正在利用GenAI和AI，但几乎所有（99.8％）的受访者都担心网络犯罪分子使用GenAI CISO的思想：解码GenAI影响4 CISO因其组织使用GenAI而预见的风险（适用于已使用或计划使用GenAI的CISO） 200(40%) 186(37%) 179(36%) 177(35%) 161(32%) 154(31%) 138(28%) 121(24%) 103(21%) 101(20%) 0 50 100 150 200 3(1%) 伦理和社会影响结果/错误信息的可 靠性 数据泄漏(通过将机密数据输入 到 GenAI工具) 数据所有权和控 制权 声誉损害（在数据泄露的情况 下） 法规合规性数据丢失和/或 损坏 额外的网络 威胁 作业位移 输出的偏差/ 公平性 使用GenAI确实不会对我的组织 构成风险 82% 82%的CISO报告说，在过去六个月中，网络攻击的数量有所增加 进行网络攻击的速度，频率和规模都在增加，特别是因为82％的CISO报告说，在过去六个月中，网络攻击的数量有所增加。CISO使用GenAI从自己的组织中预见的三大风险是道德和社会影响，结果/错误信息的可靠性以及数据泄漏。 随着这些变化，下一个问题是CISO的角色将需要如何适应这种环境。与AI和GenAI保持同步至关重要，几乎所有受访者都表示他们的组织可以做得更多。 CISO的思想：解码GenAI影响5 受访者简介 2024年3月/4月采访了500名CISO（或同等学历），分为以下几种... ...按答复国...按组织规模 ...按组织部门划分 公共部门（不包括医疗保健） 医疗保健 能源石油/天然气公用事业制造和 400 350 300 250 200 150 100 50 美国 0 200 150 100 50 0 生产 金融服务零售、分销和运输 IT、技术和电 信 商业和专业服 务 媒体、休闲和 娱乐 消费者服 务 其他商业部门 100 65 63 60 58 55 30 22 16 15 16 0 20 40 60 80 100 6 1,000-2,999 Employees 加拿大 3,000-4,999 Employees 5,000+ Employees 主要发现 •GenAI将有能力彻底改变网络安全劳动力的运作方式。CISO绝大多数表示他们理解其含义，并且100％相信该技术将增强/增强网络安全流程和技术。 •随着GeAI的引入，Trellix高级研究中心在过去六个月中的网络攻击有所增加，有证据表明俄罗斯犯罪集团可能使用ChatGPT调查和收集其他网络犯罪分子的数据，以扩大和进一步发展其业务。CISO报告称最关注的是边缘计算，恶意学习，即时注入，AI驱动的机器人以及用于网络攻击的GeAI技术。 •公共部门非常脆弱，因为它在日常运营中采用GenAI的速度较慢，因此更容易受到攻击。 •在组织中引入AI/GenAI极大地增加了日常压力，68％的CISO表示AI正在增加他们的日常压力水平，31％的CISO表示显着增加。大多数CISO（92％）同意AI/GenAI使他们考虑作为CISO的未来。 82%84%90%92% 99.8% 92% 90% 人工智能是一把双刃剑；并且在错误的手中，它可能会带来重大的安全风险。几乎所有(99.8%)受访者担心网络犯罪分子使用GenAI进行网络攻击，攻击的速度（38％），频 率（37％）和规模（37％）增加是最普遍关注的问题。 92%的CISO在没有明确法规的情况下使用GenAI将使他们的组织面临风险，几乎所有（99.8%）都同意在未来6个月内需要更高水平的监管;特别是围绕数据隐私和保护（55%） 。 随着网络攻击的增加，人工智能的压力越来越大，责任越来越大，这并不奇怪90%的CISO发现自己承受着越来越大的压力。 在过去的6个月里，许多组织经历了网络攻击的增加 相信GenAI可以使他们的组织比网络犯罪分子更具优势 的CISO认为，由于AI/GenAI，他们面临的责任增加 CISO的同意AI/GenAI使他们将自己的未来视为aCISO CISO的思想：解码GenAI影响7 第一节 GenAI与网络安全：风险与收益 GenAI改变了网络安全格局，使网络犯罪分子能够以前所未有的规模发动攻击。由于大型语言模型（LLM），如ChatGPT，现在免费或商业可用 对公众。这些进步使民族国家和犯罪行为者能够改善进攻策略 ，从本质上讲，将网络安全转变为军备竞赛，攻击者可以利用廉价的AI模型来超越传统的防御机制。ChatGPT的使用可以提高网络钓鱼等粗糙网络攻击的复杂程度。 GeAI为网络犯罪分子提供了增强的能力，以多种语言制作网络钓鱼攻击，语法和语法近乎完美，使组织更难检测到它们。OpeAI（ChatGPT的母公司）等公司一直在积极尝试减少这些威胁，并直接关注国家行为者。更艰巨的任务是如何检测非国家网络犯罪行为者 ，他们在网上的分散性质使他们更难追踪。 CISO已经注意到组织内部的这些威胁和差距，62%的受访者认为他们对组织的员工队伍没有充分的信心来成功识别包含GenAI的网络攻击。 尤其令人担忧的是，考虑到99%的受访者表示在过去六个月中经历了网络攻击， 62% 62%的CISO对他们组织的员工没有充分的信心来成功识别包含GenAI的网络攻击 99% 如果有的话，你对使用GenAI进行网络攻击的网络犯罪分子有什么担忧？ 提高网络攻击的 速度 增加网络攻击的频率 网络攻击规模扩 大 增强的社会工程/ 网络钓鱼攻击 DDoS攻击的威胁 增加 攻击将更有针 对性 匿名攻击/无法确定攻击的肇 事者 规避安全 控制 Deepfakes/冒充的威 胁 恶意软件的自定 义 188(38%) 187(37%) 183(37%) 169(34%) 163(33%) 150(30%) 144(29%) 131(26%) 130(26%) 107(21%) 1(0%) 0 50 100 150 200 8 99%的CISO报告在过去六个月中经历过网络攻击 82％的网络攻击总体增加。主要关注的是GenAI将实现的网络攻击的速度，频率和规模。 CISO的思想：解码GenAI的影响 我不担心使用GenAI的网 络罪犯 63% 对安全的担忧也变得越来越依赖于部门，特别是在公共部门，以及CISO如何看待GeAI对数据保护的威胁和对攻击的脆弱性。在所有接受调查的人中，公共部门采用人工智能实践的速度最慢。这可能是由于预算限制和传统技术，自引入商用GeAI以来，该技术尚未更新。当数据出现时，速度缓慢尤其令人担忧。 清楚地表明公共部门(不包括医疗保健) 据报道，网络攻击的增幅最大。63%的CISO他说，他们的组织目前有一个行动计划， 最有可能报告网络攻击增加的三大关键行业 1公共部门（不包括医疗保健）[100] 95% 2制造和生产[60] 87% 3金融服务[58] 84% 为员工提供人工智能工具使用和威胁检测的培训和指导 目前有一个行动计划，按关键行业划分 63% 42% 62% 63% 68% 81% 100% 80% 60% 40% 20% 公共部门也是CISO报告最低的行业，并制定了有关AI工具使用和威胁检测的培训和指导的行动计划。 63%的受访者已经制定了人工智能培训和指导的行动计划。在考虑公共部门包含的0% 敏感数据和关键威胁时，这些漏洞更加令人担忧 是的，行动计划已经到位 基础设施面对对手，使CISO在该领域的作用尤其相关。基本功能的数字化使其面 临独特的攻击。公共部门的CISO缺乏准备表明显然需要增加资金和扩大劳动力。 总计（500） 金融服务(58)能源、石油/天然气和公用事业(63) 制造业和生产(60)公共部门(100) 医疗保健（65） 9 CISO的思想：解码GenAI影响 另一个令人担忧的领域是勒索软件攻击的普遍性，而将GeAI引入威胁环境只会