Secureside Blog Bez kategorii AI przyspiesza atak. Ile trwa u Państwa wdrożenie krytycznej poprawki?

AI przyspiesza atak. Ile trwa u Państwa wdrożenie krytycznej poprawki?

Znalezienie podatności i napisanie działającego exploita zajmowało doświadczonym ludziom dni albo tygodnie. Według Europejskiej Rady ds. Ryzyka Systemowego (ESRB) najnowsze modele AI robią to w ciągu kilku minut lub godzin. Rada pisze wprost, że obrona traci zapas czasu, na którym dotąd się opierała. Większość wdrożeń DORA odpowiada na pytanie, czy proces istnieje. Mało która organizacja mierzy, ile ten proces trwa. Nadzór właśnie zaczął o to pytać.

25 czerwca ESRB przyjęła ostrzeżenie ESRB/2026/3 o systemowym ryzyku cybernetycznym związanym z modelami frontier AI. Wskazuje w nim, że incydent może szybko przejść między instytucjami przez wspólnych dostawców i popularne komponenty open source.

7 lipca EBC napisał do prezesów banków, które nadzoruje bezpośrednio. Do 31 października banki mają przekazać swoim zespołom nadzorczym (JST) plan działań. Plan ma zawierać konkretne środki, zasoby, role i terminy. EBC przypomina, że DORA stosuje się w pełni. Oczekuje też, że apetyt na ryzyko obejmie metryki wdrażania poprawek z progami tolerancji.

Żaden polski bank nie podlega bezpośrednio EBC. Polskie spółki zależne grup ze strefy euro mogą jednak zostać poproszone o wkład do planu grupowego.

Dla polskiego rynku ważniejszy jest UKNF. W rekomendacjach opublikowanych latem wskazał cztery pilne priorytety:

  • szybsze zarządzanie podatnościami i poprawkami,
  • lepsze monitorowanie i wykrywanie,
  • weryfikację ryzyka dostawców,
  • ochronę systemów dostępnych z internetu.

Priorytety w obsłudze podatności mają wynikać z realnego ryzyka i danych o ich aktywnym wykorzystaniu, a nie z samej oceny CVSS. Nowych terminów nie ma. UKNF zapowiada jednak, że skuteczność działań będzie sprawdzać w nadzorze bieżącym i w kontrolach.

DORA nie podaje liczby dni

Europejskie urzędy nadzoru podkreślają, że DORA i AI Act dają solidną podstawę. To prawda. Art. 9–11 DORA i RTS 2024/1774 obejmują poprawki, wykrywanie i reagowanie. Nie podają jednak liczby dni. Termin ustala sam podmiot.

Wiele polityk powstało w czasach, gdy od zgłoszenia podatności producentowi do jej ujawnienia mijało zwykle 90 dni. PCI DSS wciąż dopuszcza miesiąc na wdrożenie krytycznej poprawki. Jeśli exploit pojawia się po kilku godzinach, taki termin opisuje raczej czas ekspozycji niż czas reakcji.

Cztery czasy do zmierzenia
  • Od publikacji krytycznej podatności do odpowiedzi, czy Państwa dotyczy. To test inwentaryzacji systemów wystawionych do internetu i komponentów open source.
  • Od decyzji do wdrożenia poprawki albo kontroli kompensującej. Jeśli poprawka czeka na cotygodniowe okno serwisowe, procedura zmiany awaryjnej istnieje tylko na papierze.
  • Od pierwszego alertu w SOC do chwili, gdy właściciel usługi odbiera telefon.
  • Czas, w jakim kluczowy dostawca informuje o podatności i wydaje poprawkę. EBC oczekuje, że instytucja wie, czy dostawcy są gotowi szybciej wydawać poprawki. Powinny to też przewidywać umowy i SLA.

Narzędzie z etykietą „AI-powered” samo żadnego z tych czasów nie skróci. UKNF i EBC dopuszczają AI w obronie, ale po ocenie ryzyka i w kontrolowany sposób.

Od czego zacząć

Zamiast pisać politykę „DORA i AI”, proponuję retrospektywę. Proszę wziąć trzy ostatnie krytyczne podatności, które Państwa dotyczyły, i dla każdej odtworzyć te cztery czasy z logów i zgłoszeń. To kilka godzin pracy. W zamian widać proces w realnym tempie, a nie w tempie z procedury. Potem warto:

  • przedstawić wyniki zarządowi i ustalić próg tolerancji dla czasu wdrożenia krytycznej poprawki,
  • przećwiczyć scenariusz, w którym popularny komponent ma krytyczną podatność, exploit pojawia się po dwóch godzinach, a dostawca nie ma jeszcze poprawki,
  • sprawdzić, co umowy z dostawcami funkcji krytycznych lub istotnych mówią o terminach powiadamiania o podatnościach i wydawania poprawek.

Polskie spółki zależne grup ze strefy euro powinny też zapytać centralę, co trafi do JST przed 31 października i która część planu dotyczy Polski.

Pytanie z tytułu i tak padnie. Lepiej, żeby padło najpierw na posiedzeniu zarządu, a nie w trakcie incydentu.

Źródła

Grzegorz Bielecki

vCISO, vCIO i certyfikowany ekspert ds. bezpieczeństwa (CISM, CDPSE, CEH, ISO 27001 Lead Auditor). Od ponad 15 lat wspiera głównie sektor finansowy w budowaniu odporności cyfrowej. Architekt wdrożeń DORA, NIS2\UKSC oraz norm ISO 27001 (SZBI) i ISO 22301 (SZCD). Posiada doświadczenie w projektach zgodności IT przy pozyskiwaniu licencji KIP KNF. Członek ISSA Polska.

Udostępnij ten wpis:

Zawartość

Kategorie

0
0

Najnowsze wpisy

Tagi

Kontakt z nami

Stawiamy na transparentność i trwałą
zmianę – nie tylko certyfikat na ścianie.

Secureside Sp. z o.o.
NIP: 5253069668
KRS: 0001207996
REGON: 543353821

kontakt@secureside.pl
+48 666 820 832

Nasza oferta

Firma