Bitwarden опублікувала підсумок сьомого Open Source Security Summit, де учасники зосередилися на ризиках ШІ, застарілих системах і захисті промислового обладнання. Спільний висновок дискусій простий: автоматизація може прискорити захист і атаки, проте рішення щодо доступу до критичних систем мають лишатися під наглядом відповідальних людей.
Журналіст Джозеф Менн у розмові з Адріаном Санабрією звернув увагу на ситуацію, коли ШІ знаходить вразливості швидше, ніж інженери встигають оцінити їхню небезпеку та визначити пріоритет виправлення. На його думку, це відбувається на тлі накопиченого технічного боргу: старого коду, обладнання й налаштувань, які роками працювали без оновлення.
Журналіст Девід Сенгер також назвав ШІ інструментом, що автоматизує кіберможливості, пришвидшує їх і допомагає приховувати сліди активності. Учасники окремо згадали бекдор XZ Utils як приклад того, чому ризики в ланцюгу постачання відкритого програмного забезпечення складно зводити лише до перевірки одного готового продукту.
Облік обладнання визначає, що саме можна оновити
Окрема панель була присвячена операційним технологіям, або OT. Це пристрої та системи, які керують фізичними процесами: виробничим обладнанням, транспортною інфраструктурою та іншими об’єктами. На відміну від звичайних комп’ютерів, частина таких пристроїв не веде журналів подій, тому операторам складніше побачити підозрілу активність або відновити послідовність дій після інциденту.
Ентоні Грін із FoxTech Cyber наголосив: без інвентаризації інфраструктури та розуміння, яке обладнання з чим взаємодіє, неможливо визначити, що потребує оновлення. Тобто перед автоматичним пошуком проблем потрібно мати базову карту власних систем, включно зі старими пристроями та зв’язками між ними.
Доступ постачальника можна контролювати фізично
Учасники також обговорили віддалений доступ виробників і підрядників до застарілих систем. Як практичний приклад вони навели міжмережевий екран із фізичним перемикачем: оператор може безпосередньо визначати, коли виробник обладнання отримує віддалене підключення.
Такий приклад не є універсальною схемою для будь-якого підприємства, але він показує межу між допомогою автоматизованих інструментів і контролем, який не варто повністю передавати програмі. Шон Хабінг із Pollard Banknote підсумував цю позицію так: ШІ може допомогти швидше ухвалювати рішення, але не усуває потреби в людському судженні та відповідальності.
Записи сесій саміту доступні на сторінці Open Source Security Summit і каналі Bitwarden на YouTube.