Опрос Security Vision: ИИ в кибербезопасности ждут прежде всего для поиска угроз

В опросе участвовали технические специалисты, руководители подразделений информационных и ИТ-безопасности, топ-менеджеры и менеджеры. Компания получила 98 ответов очно и 147 онлайн. Под выявлением угроз в анкете подразумевались мониторинг событий, анализ поведения и сетевого трафика, поиск аномалий и работа с данными об угрозах.

Это направление стало лидером во всех основных профессиональных группах: его выбрали 83% руководителей ИБ, 81% технических специалистов, 75% топ-менеджеров, 71% руководителей ИТ и 60% менеджеров. Среди задач, которые респонденты готовы поручить ИИ уже сейчас, чаще всего называли помощь аналитику — 45%. Далее следуют проверка кода на уязвимости с предложением исправлений (39%), подготовка отчетности центра мониторинга безопасности (SOC, 28%), расследование инцидентов (27%) и поиск атак, которые не выявили правила обнаружения (25%). Помощь аналитику включала поиск контекста в данных и базе знаний, а также подсказки о следующих шагах.

Ожидания от технологии различались в зависимости от должности. Среди технических специалистов помощь аналитику выбрали 60%, подготовку отчетности SOC — 37%, анализ кода — 33%. Руководители ИБ чаще отмечали помощь аналитику (43%), а расследование инцидентов, поиск скрытых угроз и анализ кода получили по 39%. В общих процессах этой группе была интересна идентификация активов, периметра и уязвимостей — ее выбрали 48%.

У руководителей ИТ заметно выделилось управление информационной безопасностью: стратегию, риски, политики и соответствие требованиям отметили 52% против 15% по всей выборке. Среди отдельных задач они чаще выбирали анализ кода (52%); сортировку оповещений, расследование инцидентов, приоритизацию уязвимостей и помощь аналитику — по 29%. Топ-менеджеры чаще называли сопоставление требований и действующих мер защиты (38%). Помощь аналитику выбрали 33%, а сортировку оповещений, расследование инцидентов и анализ кода — по 29%.

Большинство оставляет решения за специалистами

Около половины участников предпочли рекомендательный режим: ИИ формирует гипотезы, приоритеты и предложения, а человек решает, что делать дальше. Такой вариант выбрали 63% технических специалистов, 57% руководителей ИБ и 54% топ-менеджеров. Среди менеджеров 53% поддержали более ограниченный сценарий — сбор и обработку данных, а также выявление аномалий без рекомендаций.

Руководители ИТ чаще допускали самостоятельное выполнение операций: варианты «ИИ действует» и «ИИ автоматизирует» получили в этой группе по 24%. Среди руководителей ИБ соответствующие доли составили 13% и 9%; рекомендательный режим выбрали 33% руководителей ИТ и 57% руководителей ИБ. При этом анкета связывала более высокую самостоятельность с ограничениями: автоматизацией повторяющихся операций и выполнением утвержденных сценариев реагирования под контролем SOC.

В очных ответах реагирование чаще называли процессом, где ИИ может дать наибольший эффект: 16,8% против 8,5% в онлайн-опросе. Онлайн-участники чаще выбирали идентификацию активов, периметра и уязвимостей — 27,1% против 17,4% очно. Онлайн-респонденты также чаще готовы поручить ИИ проверку кода, а очные — расследование инцидентов, настройку правил обнаружения и первичную сортировку оповещений. При этом обе аудитории схожим образом оценили допустимую самостоятельность системы: примерно половина предпочла рекомендации с решением человека, около четверти — только анализ данных без рекомендаций.

Генеральный директор Security Vision Руслан Рахметов заявил, что результаты отражают запрос на ИИ, который усиливает работу команды безопасности, но не заменяет ее. По его словам, рекомендации должны быть обоснованными, действия — укладываться в заданные полномочия, а их результат следует оценивать по тому, насколько быстрее и качественнее команда решает задачи защиты. Компания продолжает собирать ответы и планирует периодически публиковать обновленные результаты; первые итоги опроса она представила на SOC Forum.

В вопросах о направлениях и задачах разрешался множественный выбор, поэтому сумма долей могла превышать 100%. Показатели по профессиональным группам рассчитаны внутри каждой группы. При сравнении онлайн- и очных ответов приведены доли от общего числа выборов в соответствующем канале, а не от числа респондентов. Результаты отражают мнения участников опроса.