Em minha coluna anterior, ofereci algumas sugestões para ajudar equipes de segurança a não serem pegas de surpresa quando aplicações de Inteligência Artificial (IA) são movidas para produção. Neste artigo, gostaria de compartilhar algumas reflexões sobre o que é necessário para que equipes de segurança incorporem, de forma eficiente e eficaz, aplicações de IA ao fluxo operacional de segurança. Apesar de todo o hype em torno das aplicações de IA, muitas equipes de segurança têm dificuldades para protegê-las, monitorá-las e defendê-las por diversos motivos.
Embora não se trate de uma lista exaustiva, reuni 12 práticas que considerei úteis para incorporar aplicações de IA ao fluxo operacional de segurança:
- Visibilidade: Não conseguimos defender o que não conseguimos ver. Assim, a visibilidade é realmente o alicerce mais fundamental quando se trata de proteger aplicações de IA. Além da simples conscientização e do inventário de aplicações de IA, a visibilidade pode nos ajudar a identificar exposições de dados sensíveis, vulnerabilidades, deficiências em controles, fraudes, abusos, ataques e outras questões. Isso torna a visibilidade contínua um ingrediente extremamente importante na incorporação de aplicações de IA ao fluxo operacional de segurança.
- Compreender o Risco: Se levarmos a visibilidade a sério, teremos bons dados sobre o risco. Esses dados podem ser usados para compreender o risco de forma científica, em vez de ficarmos no achismo. Além de um retrato em um momento específico, a compreensão do risco pode ser feita de forma contínua e quase em tempo real, permitindo que a equipe de segurança avalie com mais precisão o risco que uma ou mais aplicações representam para a empresa. Isso torna a compreensão do risco mais uma ferramenta útil na incorporação de aplicações de IA.
- Construir Confiança: A descoberta é uma parte importante do componente de visibilidade discutido acima. Os dados gerados durante a descoberta podem ser usados para catalisar a construção de relacionamentos entre a equipe de segurança e outros stakeholders importantes, como proprietários de aplicações, gestão de produtos, desenvolvedores e outros. Com o tempo, esses relacionamentos podem amadurecer e uma boa dose de confiança pode ser construída. Essa confiança será muito útil para a equipe de segurança.
- Aproveitar a Confiança: A confiança construída na etapa anterior frequentemente facilita o envolvimento mais cedo da equipe de segurança no Ciclo de Vida do Desenvolvimento de Software (SDLC). Isso torna muito mais fácil incorporar aplicações de IA ao fluxo operacional de segurança, o que é uma boa notícia para a postura geral de segurança da empresa.
- Telemetria: Se a descoberta e a visibilidade forem feitas corretamente, deve haver uma quantidade razoável de telemetria sendo gerada. É importante que esses dados de telemetria cubram de forma abrangente as aplicações de IA e as infraestruturas sobre as quais são construídas. Isso envolve gerar telemetria a partir da inspeção da camada de IA, da camada de API (Interface de Programação de Aplicações) e da camada de aplicação, e garantir que os dados fluam para o SIEM (Gerenciamento de Informações e Eventos de Segurança), SOAR (Orquestração, Automação e Resposta de Segurança) ou sistema de registro preferido. Ter visibilidade profunda na aplicação e em sua infraestrutura, e disponibilizar essa telemetria para análise, investigação, resposta e outras etapas da equipe de segurança, é extremamente importante para proteger adequadamente as aplicações de IA.
- Processo: Embora possa ser o menos atraente desses pontos, é importante desenvolver processos e procedimentos em torno da segurança de aplicações de IA, assim como fazemos para todas as outras áreas de segurança. Isso fornece orientações importantes para a equipe de segurança e permite que ela aja e reaja de forma mais ágil — algo muito importante quando se tenta lidar com a batata quente mais recente jogada sobre a equipe de segurança.
- Aplicar (Enforce): Os melhores controles do mundo não servirão de nada para uma empresa se ela não puder aplicá-los. Assim, garantir que a equipe de segurança tenha a capacidade de implementar e aplicar controles com facilidade nos diversos ambientes onde as aplicações rodam é um componente extremamente importante na proteção de aplicações de IA.
- Controles Preventivos: Bons controles preventivos em toda a empresa vão ajudar as equipes de segurança com qualquer coisa, inclusive com a incorporação de aplicações de IA. É importante lembrar que esses controles preventivos devem incluir proteção contra abuso, fraude, DDoS (Negação de Serviço Distribuído), ataques automatizados maliciosos e outras ameaças. Assim, as equipes de segurança devem garantir que tenham controles preventivos adequados em vigor, além da capacidade de aumentar e melhorar esses controles de forma ágil.
- Controles Detectivos: O Monitoramento Contínuo de Segurança é uma função importante em qualquer fluxo operacional de segurança. Esses controles detectivos servem como um parceiro importante para os controles preventivos. No entanto, eles exigem que a visibilidade necessária esteja em vigor e que a telemetria apropriada esteja fluindo para o sistema de registro. Supondo que tudo isso tenha sido configurado corretamente, isso facilita muito o trabalho da equipe de segurança na proteção de aplicações de IA.
- Investigação: Caso um problema de segurança seja descoberto, a equipe de segurança precisará ser capaz de analisar e investigar os dados correspondentes (logs, eventos, alertas, etc.). Garantir que esse nível de investigação seja possível será outra parte importante da incorporação de aplicações de IA ao fluxo operacional de segurança. Não basta coletar a telemetria necessária — esses dados precisam estar disponíveis para interrogação pela equipe de segurança.
- Mitigação: Na ocorrência de um problema de segurança, uma vez concluída a investigação (ou pelo menos avançada o suficiente), a equipe de segurança precisará ser capaz de responder, remediar e recuperar. Isso exige que o caminho de retorno para a aplicação, a API e a infraestrutura de IA esteja em vigor para que isso aconteça. Isso é algo que as empresas frequentemente esquecem, até aprenderem da maneira difícil que não conseguem mitigar um problema de segurança quando dele tomam conhecimento.
- Iterar: Embora a maioria dos pontos anteriores seja mais divertida do que derivar lições aprendidas, documentar descobertas e implementar essas lições aprendidas de forma contínua, esses pontos são extremamente importantes. Somente por meio da melhoria contínua uma equipe de segurança consegue acompanhar o cenário de ameaças em rápida mudança. Empresas que aprendem a iterar com sucesso serão mais ágeis na hora de fazer os ajustes necessários para proteger adequadamente as aplicações de IA com o passar do tempo.
A movimentação de aplicações de IA para produção de fato complica as coisas para as equipes de segurança. Dito isso, há medidas que as equipes de segurança podem tomar para aliviar o fardo. Esperamos que, no futuro, as equipes de segurança sejam envolvidas mais cedo no Ciclo de Vida do Desenvolvimento de Software (SDLC). Até lá, no entanto, elas precisarão adotar medidas para se preparar proativamente a fim de incorporar aplicações de IA ao fluxo operacional de segurança.
