Киберугрозы эпохи ИИ: как меняется тактика хакеров и защита в страховании
Когда атакующие получают в руки готовый «промпт-инженер» в виде LLM, периметр компании трещит по швам быстрее, чем команда успевает дописывать правила в SIEM.
От «конвейерных» взломов к прицельным
По наблюдениям Логашина, эпоха массовых и типовых взломов в крупном бизнесе фактически закрылась — гигиену подтянули, и атакующим стало невыгодно ломиться «в лоб». Сценарии разошлись в две стороны: либо тщательно подготовленная атака на конкретную цель, либо проникновение через менее зрелого подрядчика или поставщика. В страховом секторе это особенно больно: цепочка обработки персональных и финансовых данных идёт через брокеров, банки, инвестиционные фонды, контакт-центры, медицинские учреждения, ассистанс-компании и автосервисы — каждый узел становится потенциальным входом. Самые разрушительные последствия сейчас дают кража данных, уничтожение инфраструктуры и атаки на цепочки поставок.
Регуляторный контур поджимает
С 1 января 2027 года Банк России указанием №7219-У переводит все страховые организации — вне зависимости от объёма активов — на стандартный уровень защиты по ГОСТ Р 57580.1-2017. Параллельно компании остаются субъектами КИИ и операторами персональных данных, обязаны проходить внешний аудит не реже одного раза в три года и уведомлять ФинЦЕРТ о киберинцидентах в течение трёх часов. Регулятор тем самым формализует ту самую «максимальную автоматизацию выявления и реагирования на ИБ-угрозы», о которой говорят практики. По сути это превращает реакцию на инцидент из ручного ремесла в SLA с жёстким дедлайном — а значит, без автоматики вписаться в три часа не получится в принципе.
Где ставить «свои» модели
Асимметрия простая: если интенсивность и сложность атак растёт за счёт ИИ-инструментов, то и противостоять им нужно той же связкой. Речь не про «один серебряный продукт», а про связку EDR с поведенческим анализом, SIEM с моделью корреляции, обученной на собственной телеметрии, и автоматизацию триажа и реагирования на инциденты. Звучит ровно как сценарий для пайплайна с LLM: данные собираем, модель учим, генерацию черновика реагирования автоматизируем, человек валидирует результат. Без такого слоя хорошо настроенный SIEM превращается в дорогой архив логов, а отведённые три часа до отчёта в ФинЦЕРТ сгорают впустую.