Доверяют анализ, но сохраняют контроль: Security Vision изучила отношение специалистов и руководителей к ИИ в кибербезопасности

Компания Security Vision проанализировала, в каких процессах кибербезопасности специалисты и руководители ожидают наибольшего эффекта от искусственного интеллекта и какие задачи готовы ему делегировать. Опрос, в котором собраны 245 ответов, показал: интерес к применению ИИ прежде всего связан с выявлением угроз и поддержкой аналитической работы. При этом около половины участников предпочитают рекомендательный формат, при котором окончательное решение остается за специалистом.

В исследовании приняли участие технические специалисты, руководители ИБ- и ИТ-подразделений, топ-менеджеры и менеджеры. Очно были получены 98 ответов, онлайн – 147. Участники выбрали наиболее перспективные направления применения технологии, конкретные задачи для ИИ и допустимый уровень его самостоятельности.

Выявление угроз - общий приоритет

Наибольший потенциал искусственного интеллекта респонденты видят в выявлении угроз — это направление отметили 76% участников. В анкете оно объединяло мониторинг событий, анализ поведения и сетевого трафика, поиск аномалий и работу с данными об угрозах.

Выявление угроз заняло первое место во всех основных профессиональных группах. Его выбрали 83% ИБ-руководителей, 81% технических специалистов, 75% топ-менеджеров, 71% ИТ-руководителей и 60% менеджеров. Такое распределение показывает общий интерес к инструментам, которые помогают находить признаки атак и анализировать подозрительную активность.

При выборе конкретных задач, которые участники готовы передать ИИ уже сейчас, наиболее востребованными оказались:

• помощь аналитику - 45%;

• проверка кода на уязвимости и предложение исправлений - 39%;

• подготовка отчетности центра мониторинга безопасности (SOC) - 28%;

• расследование инцидентов - 27%;

• поиск признаков атак, не выявленных правилами обнаружения, - 25%.

Под помощью аналитику в опросе подразумевались поиск контекста в данных и базе знаний, а также подсказки по следующим шагам. Лидерство этого варианта указывает на востребованность ИИ в повседневной работе специалистов: при обработке информации, подготовке материалов и выборе дальнейших действий.

Приоритеты зависят от профессиональной роли

За общим интересом к выявлению угроз стоят разные ожидания от технологии. Для технических специалистов основной задачей стала помощь аналитику - ее выбрали 60% представителей группы. Следующие позиции заняли подготовка отчетности SOC - 37% и анализ кода - 33%. Такой набор приоритетов отражает запрос на сокращение нагрузки, связанной с поиском информации и оформлением результатов работы.

ИБ-руководители также чаще всего выбирали помощь аналитику - 43%. Расследование инцидентов, поиск скрытых угроз и анализ кода получили по 39%. Среди общих процессов второе место в этой группе заняла идентификация активов, периметра и уязвимостей - 48%. Таким образом, интерес ИБ-руководителей охватывает как поддержку аналитической команды, так и получение более полной информации об инфраструктуре и ее защищенности.

У ИТ-руководителей заметно выше интерес к управлению ИБ: это направление отметили 52% против 15% по всей выборке. В анкете оно включало стратегию, риски, политики и соответствие требованиям. Среди конкретных задач представители этой группы чаще всего выбирали анализ кода - 52%. Первичную сортировку оповещений, расследование инцидентов, приоритизацию уязвимостей и помощь аналитику отметили по 29%.

Для топ-менеджеров наиболее востребованным оказалось сопоставление требований и мер защиты - 38%. Этот сценарий предполагает поиск пробелов между установленными требованиями и реализованными мерами безопасности. Помощь аналитику выбрали 33% представителей группы, а первичную сортировку оповещений, расследование инцидентов и анализ кода - по 29%.

Ответы указывают на различия в ожиданиях от ИИ между профессиональными группами. Техническим специалистам важны аналитическая поддержка и отчетность, ИБ-руководителям - помощь в расследованиях и поиске угроз, ИТ-руководителям - анализ кода и управленческие процессы, топ-менеджерам - сопоставление требований и мер защиты.

Самостоятельность ИИ - в рамках установленных правил

Высокий интерес к возможностям искусственного интеллекта не означает готовности передать ему принятие всех решений. Около половины участников опроса выбрали уровень, при котором ИИ формирует гипотезы, приоритеты и рекомендации, а специалист определяет дальнейшие действия.

Рекомендательный формат оказался наиболее популярным среди технических специалистов – 63%, ИБ-руководителей – 57% и топ-менеджеров – 54%. У менеджеров преобладал более ограниченный сценарий: 53% выбрали сбор и обработку данных и выявление аномалий без формирования рекомендаций.

ИТ-руководители проявили большую готовность делегировать ИИ выполнение действий. В этой группе варианты «ИИ действует» и «ИИ автоматизирует» получили по 24%, тогда как среди ИБ-руководителей – 13% и 9% соответственно. При этом рекомендательный формат выбрали 33% ИТ-руководителей против 57% руководителей ИБ. Таким образом, первые чаще допускают автоматическое выполнение операций, а вторые предпочитают сохранять принятие решений за специалистом.

Более высокие уровни самостоятельности в анкете также предусматривали ограничения. Речь шла об автоматизации повторяющихся операций и выполнении утвержденных сценариев реагирования в рамках политик и контроля SOC. Поэтому готовность делегировать такие действия не следует трактовать как согласие на неограниченное автономное управление защитой.

Онлайн и офлайн: разные задачи при схожем уровне доверия

При ответе на вопрос о процессах кибербезопасности, в которых ИИ даст наибольший эффект, очные участники чаще отмечали реагирование - 16,8% голосов против 8,5% онлайн. В онлайн-опросе больше голосов получила идентификация активов, периметра и уязвимостей - 27,1% против 17,4% очно.

Среди задач, которые респонденты готовы передать ИИ уже сейчас, онлайн-аудитория чаще выбирала проверку кода, а очная - расследование инцидентов, настройку правил обнаружения и первичную сортировку оповещений.

Допустимую самостоятельность ИИ обе аудитории оценили схожим образом: около половины участников предпочли подготовку рекомендаций с принятием решения специалистом, примерно четверть - только анализ данных без формирования рекомендаций.

С учетом результатов опроса при внедрении ИИ целесообразно начинать с конкретной задачи и заранее определять границы самостоятельности системы: какие данные она анализирует, какие рекомендации формирует, какие действия выполняет по утвержденным правилам и где требуется решение человека. Такой подход позволяет соотнести возможности ИИ с ожиданиями команды и требованиями к управляемости ИБ-процессов.

Security Vision запустила опрос о доверии к ИИ в кибербезопасности и подвела его первые итоги на SOC Forum. Чтобы расширить выборку, компания продолжает собирать ответы онлайн и будет периодически публиковать обновленные результаты. Приглашаем всех желающих проголосовать на странице AI-Powered SOC Security Vision.

В вопросах о направлениях применения ИИ и конкретных задачах допускался множественный выбор, поэтому сумма долей ответов может превышать 100%. Показатели по профессиональным группам рассчитаны внутри соответствующей группы. При сравнении онлайн- и офлайн-приоритетов приведены доли от общего числа выборов направлений или задач в каждом канале, а не доли респондентов. Результаты отражают мнения участников опроса.