Искусственный интеллект (особенно генеративный и агентные системы) — это не краткосрочный тренд, а фундаментальное изменение бизнес-среды. Технология уже приносит прибыль и трансформирует процессы, поэтому её нельзя игнорировать. Если служба ИБ не предложит бизнесу контролируемые инструменты для работы с ИИ, сотрудники начнут использовать «теневой ИИ», что создаст неуправляемые риски утечек. Основная сложность в том, что ИИ-системы являются недетерминированными — они выдают разные результаты на одинаковые запросы, что требует пересмотра подходов к контролю.

Агентские системы — могут вносить изменения в системы, и их действия часто непредсказуемы. Можно рассматривать агентов как «цифровых сотрудников»: к ним применимы не только технические средства защиты, но и подходы из управления персоналом (контроль зоны ответственности, право на ошибку). Внедрение агентов должно сопровождаться строгой минимизацией прав доступа и логированием.

Участники рынка уже фиксируют атаки с использованием deepfake — аудио для социальной инженерии и попытки взлома слоя оркестраторов (промежуточное ПО между корпорацией и LLM), где хранятся логи всех запросов. Однако ключевая проблема сегодня — не технологическая, а юридическая: в случае ошибки ИИ-агента (например, на объектах КИИ) ответственность за решение по-прежнему несет человек, а уголовная ответственность не делегируется машине.

Прямые запреты на использование ИИ приводят к уходу пользователей в тень и покупке личных неподконтрольных устройств. Самая эффективная стратегия — предоставить сотрудникам корпоративный аналог внешних инструментов с понятными правилами работы и ограничениями. В то же время, безопасность ИИ должна закладываться на этапе проектирования, а не только за счет наложенных средств защиты. Средства защиты хороши лишь на определенной стадии зрелости инфраструктуры.

Рекомендуется ИБ-компаниям в первую очередь самостоятельно начать использовать ИИ в повседневной работе, чтобы лучше понимать технологию. Вторым шагом должно стать изучение актуальной нормативной базы и создание матрицы рисков с использованием текущих DLP и Guardrails для контроля «теневого» трафика.

Какие практические методики используются для сокращения количества ЗОКИИ?

Главный инструмент — это протокол заседания комиссии с сухими цифрами и фактами об объекте КИИ.

Я всегда рекомендую подробно расписывать все сценарии возникновения компьютерной атаки и моделировать действия нарушителя шаг за шагом. Где злоумышленник получит доступ, где его остановят, какие защитные механизмы сработают. Можно сделать оценку рисков, смоделировать воздействие, описать вероятность каждого события. Если у вас есть резервные механизмы, предохранительные клапаны, организационные меры, ручные защиты — все это нужно подробно фиксировать в протоколе комиссии.

Когда вы подробно опишите все сценарии, риски, ручные защиты на объекте КИИ, укажете «сухие» цифры и сам факт того, что на ОКИИ невозможно воздействовать информационно, то вы сможете доказать любому ФОИВ об отсутствии категории значимости вашего ОКИИ.

Как учитывать паспорт антитеррористической защищенности?

Я рекомендую обязательно изучать паспорт антитеррористической защищенности, декларации промышленной безопасности, материалы по охране труда на ваше производство.

Там можно найти много полезной информации об опасном производственном объекте и объекте защиты, как итог — увидеть общую картину по опасным производственным факторам.

Но самое главное — не забывать, что при категорировании мы рассматриваем последствия именно компьютерной атаки. В декларации промышленной безопасности и паспорте АТЗ может быть тысяча пострадавших, огромный экономический ущерб, но если это не связано с компьютерной атакой, то это уже не вопрос информационной безопасности.

Мероприятие, где говорим о реальных проблемах и ищем практические решения. Честный диалог, нестандартные кейсы и полезный опыт — все без фильтров.

Насколько целесообразно запрашивать «Типовые межотраслевые нормы времени»?

Это отличный документ. Именно благодаря ему создаются подразделения по обеспечению безопасности объектов КИИ.

В нем подробно расписано, сколько времени требуется на аудит, инвентаризацию, установку средств защиты и другие работы в части создания систем безопасности ОКИИ, эксплуатации и вывода из эксплуатации ОКИИ. Вы просто перекладываете указанные нормы в документы на свои технические средства и получаете практическое обоснование численности персонала для руководства, почему вам нужен тот или иной штат специалистов.

Поэтому горячо рекомендую этот документ запросить у ФСТЭК России. Он действительно полезный.