Miért jelentenek kockázatot a szabályozatlan, autonóm biztonsági döntések a kritikus infrastruktúrában?

• Az automatizálás elengedhetetlen a modern frissítési, sebezhetőségi prioritás-megállapítási, konfiguráció-felügyeleti és javítási munkafolyamatokhoz.

• A felügyelet nélküli, autonóm biztonsági műveletek – ideértve a javítások telepítését, a konfigurációs módosításokat vagy az automatizált hibaelhárítást – működési kockázatot jelentenek olyan környezetekben, ahol az üzemleállás biztonsági vagy pénzügyi következményekkel jár.

• Ha egy villamosenergia-hálózatban, gyártósoron vagy védelmi hálózatban a nem megfelelő időpontban hajtanak végre változtatást, az nem csupán apró kellemetlenség. Hanem incidens.

• Ezt a területet három szabályozási keretrendszer szabályozza: a NERC CIP (energiaipar/közművek), az IEC 62443 (ipari vezérlőrendszerek) és a NIST SP 800-82 (ICS-biztonság). Mindhárom kiemelten fontosnak tartja a biztonsági változtatások dokumentált engedélyezését, érvényesítését, tesztelését és az azokért való elszámoltathatóságot.

• Az autonóm munkafolyamatok elősegíthetik az irányítást, ha a folyamatba jóváhagyási lépéseket, irányelveket és ellenőrzési nyomvonalakat építenek be. Akkor válnak azonban kockázattá, amikor a „a rendszer döntött” kifejezés felváltja az elszámoltatható emberi jóváhagyást.

• A mesterséges intelligencia az elemzési rétegben nyújtja a legnagyobb értéket: kockázati rangsor szerinti eredmények, konfigurációs eltérésekre utaló jelzések, prioritás szerint rendezett javítási lista – nem pedig a végrehajtási rétegben.

• A hatékony modell: a mesterséges intelligencia feltárja az információkat, az emberek engedélyezik a lépéseket, és minden változás egy felelősségre vonható személyhez köthető.

Egy javítócsomagot a karbantartási időablakon kívül telepítenek egy alállomáson. Egy automatizált hibaelhárító rendszer egy termelési ciklus során módosít egy tűzfalszabályt. Egy konfigurációs változás átterjed egy elosztott OT-hálózaton, mielőtt bármelyik üzemeltető átvizsgálná azt.

A forgatókönyvek eltérőek, de a hiba mintázata ugyanaz: egy automatizált rendszer emberi engedély nélkül lépett működésbe, és mire valaki észrevette, a változás már eljutott a termelési környezetbe.

Az automatizálás mára elengedhetetlen részévé vált a modern biztonsági műveleteknek, különösen mivel a sebezhetőségek kihasználásának időtartama és a javítások végrehajtására rendelkezésre álló időkeret egyre szűkül. A kockázatot nem maga az automatizálás jelenti, hanem az önálló biztonsági műveletek végrehajtása, amely a termelésre hatással lévő változtatásokat felelősségre vonható emberi jóváhagyás, működési kontextus és dokumentált engedélyezési nyomvonal nélkül hajt végre.

A kritikus infrastruktúrák környezetében ezek a döntések olyan működési kockázatot hordoznak, amelyet a strukturált emberi felügyelet hivatott megelőzni.

A jelenlegi, autonóm működésű mesterséges intelligencia-platformok hulláma jól tükrözi, hogy az autonóm végrehajtás hogyan alakítja át a biztonsági műveleteket, különösen a vállalati informatikai környezetekben, ahol a sebesség az elsődleges tervezési cél.

A kritikus infrastruktúra alapvetően eltérő korlátok mellett működik.

Az áramhálózatban található védelmi relét nem lehet a ciklus közepén újraindítani. A gyártósort vezérlő PLC konfigurációjának módosítását nem lehet másodpercek alatt visszavonni. A gyártási folyamat során elinduló automatizált helyreállítási lépés nem csupán a szervereket, hanem a fizikai folyamatokat is érinti.

Az ilyen környezetekben dolgozó biztonsági csapatoknak az autonóm képességeket egy másik szempont alapján kell értékelniük: nem azt kell megvizsgálniuk, hogy „milyen gyorsan tud reagálni?”, hanem azt, hogy „ki viseli a felelősséget, ha hibát követ el?”.

A következő NERC CIP- vagy IEC 62443-audit előtt válaszoljon a következő kérdésre: a jelenlegi biztonsági rendszere dokumentált, időbélyeggel ellátott nyilvántartást készít arról, hogy ki engedélyezte az egyes biztonsági módosításokat?

A NERC CIP-007 előírja, hogy a nagykereskedelmi villamosenergia-rendszer kibereszközein végrehajtott minden változtatáshoz konkrét javításkezelési eljárásokat kell alkalmazni: dokumentált értékelést, tesztelési bizonyítékokat és bevezetési ütemterveket. Az IEC 62443-2-3 szabvány meghatározza az ipari automatizálási és vezérlőrendszerekben a javításkezeléssel és a konfigurációs változtatásokkal kapcsolatos engedélyezési felelősségeket, beleértve azt is, hogy ki viseli a felelősséget az egyes műveletekért. A NIST SP 800-82 előírja, hogy az ICS-biztonsági változtatásokhoz kockázatértékelésre, validációs tesztelésre és az üzemeltetési érdekelt felekkel való egyeztetésre van szükség a bevezetés előtt, nem utána.

Az autonóm munkafolyamatok támogathatják ezt az ellenőrzési modellt, amennyiben az irányítást – szabályalapú jóváhagyások, telepítési körök, karbantartási időablakok szabályozása és részletes ellenőrzési naplófájlok révén – beépítik a folyamatba.

Az autonóm végrehajtás azonban nem illeszkedik ebbe a modellbe, ha elhomályosítja az engedélyezési láncot. A változás megtörténik, a napló azt mutatja, hogy a rendszer cselekedett, és az ellenőr megkérdezi, ki hagyta jóvá a műveletet. Ha nincs olyan esemény, amelyben egy felelősséggel tartozó személy engedélyezte volna a műveletet, a feljegyzés hiányos.

Az ellenőrzési nyomvonalat azok az ember által irányított platformok hozzák létre, amelyeknél a jogosultsági lépéseket naplózzák. A szabályozatlan, autonóm platformok felelősséget vonnak maguk után.

A biztonsági felügyeleti platformok természetüknél fogva kiváltságos hozzáférési jogosultságokkal rendelkeznek. Egy olyan platform, amely felhatalmazással rendelkezik konfigurációs módosítások végrehajtására, javítások telepítésére és szabályzatok kezelésére több száz telepítésen keresztül, pontosan az a fajta eszköz, amelyet egy támadó elsődleges célpontként választana.

Amikor ez a platform autonóm módon működik, a támadási felület jelentősen kiterjed. Egy megfertőzött autonóm rendszer minden csatlakoztatott telepítésen nagy léptékű műveleteket hajthat végre, mielőtt az emberi operátor észrevenné a biztonsági rést. A támadó átveszi a platform végrehajtási jogosultságait, és azokat egyszerre használja fel a javításkezelés, a konfigurációs módosítások és a szabályok érvényesítése terén.

Ez nem csupán elméleti kérdés. 2026 elején egy széles körben használt javításkezelő platform három kritikus „zero-day” sebezhetősége lehetővé tette a hitelesítés nélküli távoli kódfuttatást vállalati környezetekben. A CISA ezeket és hasonló sebezhetőségeket „ismert, kihasznált sebezhetőségeknek” minősítette, amelyek azonnali orvoslást igényelnek. Egy ilyen sebezhetőségek révén feltört autonóm platform rosszindulatú módosításokat juttathat el minden csatlakoztatott végponthoz, mielőtt egyetlen riasztás is bekapcsolódna.

Az a platform, amely a változtatások végrehajtása előtt emberi jóváhagyást igényel, korlátozza a támadás hatókörét. Ha a végrehajtás előtt emberi jóváhagyásra van szükség, akkor a lopott hitelesítő adatok önmagukban valószínűleg nem váltanak ki automatizált változtatásokat nagy léptékben.

A szabályozatlan autonóm végrehajtás ellen felhozott érv nem az AI vagy az automatizálás ellen szól a biztonsági területen. Az AI a megfelelő szinteken nyújtja a legnagyobb értéket: az elemzés, a prioritások meghatározása, a koordináció támogatása és a döntéshozatal elősegítése terén.

A CISA iránymutatásai következetesen kiemelik, hogy az átláthatósági hiányosságok a kritikus infrastruktúrát üzemeltető, elosztott eszközöket kezelő szervezetek számára alapvető kihívást jelentenek. A mesterséges intelligencia (AI) közvetlenül foglalkozik ezzel a problémával: összesíti az eseményadatokat, összefüggésbe hozza a különböző telepítésekből származó jeleket, jelzi a konfigurációs eltéréseket, és prioritás szerint rendezve jeleníti meg az eredményeket az emberi felülvizsgálat céljából. A döntést továbbra is az elemző hozza meg, de az AI segít neki abban, hogy ezt gyorsabban és jobb információk alapján tegye meg.

A kockázati rangsor alapján történő sebezhetőség- és javításkezelés ter én látszik ez a leginkább. A több száz sebezhetőség gyors rangsorolása a kihasználhatóság, az eszközök kritikus fontossága és a kitettség szempontjából olyan prioritási listát biztosít a biztonsági csapatok számára, amely alapján a karbantartási időablakon belül intézkedhetnek, nem pedig egy nyers adatfolyamot kapnak, amelyet maguknak kell rendezniük.

Ugyanez az elv vonatkozik a konfigurációs rendellenességekre is: az AI több száz végponton felismeri a eltéréseket; az emberek döntik el, mely változásokat kell visszavonni, és mikor.

Bármely biztonsági platformon belüli mesterséges intelligencia-képesség esetében a lényeges kérdés nem az, hogy „képes-e önállóan cselekedni?”, hanem az, hogy „növeli-e a biztonsági csapat hatékonyságát?”.

Ezek eltérő tervezési filozófiák, és a szabályozott környezetben ez a különbség fontos.

Az ember által irányított biztonsági menedzsment nem jelenti azt, hogy lassú lenne a biztonsági menedzsment. Hanem azt jelenti, hogy strukturált: a mesterséges intelligencia feltárja az információkat, az automatizálás felgyorsítja a munkafolyamatokat, az emberek pedig meghozzák a döntéseket. Minden műveletet egy azonosítható személyhez rendelve rögzítenek.

A gyakorlatban: egy központi irányítópult összesíti a biztonsági eseményeket, a végpontok frissítési megfelelőségét, a konfiguráció állapotát és a rendellenességeket az összes csatlakoztatott telepítésen. A rendszergazdák áttekintik a kockázati rangsor szerint rendezett eredményeket, értékelik az üzemeltetési kontextust (beleértve azt is, hogy jelenleg nyitva van-e karbantartási ablak a célhelyszínen, vagy hogy egy adott konfigurációs módosítást validáltak-e az adott hardverre vonatkozóan), majd egy átgondolt engedélyezési lépésen keresztül intézkedéseket kezdeményeznek.

Az elosztott környezeteket kezelő szervezetek számára ehhez olyan platformra van szükség, amely egyetlen felületről elérhetővé teszi az összes telepítést, beleértve az okat az air-gapped és offline környezeteket is, ahol a felhőalapú felügyelet nem jöhet szóba. A platform biztosítja azokat az adatokat, amelyekre a rendszergazdáknak szükségük van ahhoz, hogy magabiztosan tudjanak cselekedni.

Az EPAM Systems (egy globális digitális platform-tervezési és szoftverfejlesztési szolgáltató, amely 30 országban mintegy 40 000 alkalmazottat foglalkoztat) egyre nagyobb nyomásnak volt kitéve, hogy biztosítsa az elosztott, nagyrészt BYOD-alapú munkaerő biztonságát anélkül, hogy lassítaná a munkavégzést. Central Management My Central Management MetaDefender kihasználásával a szervezet áttekinthetőséget és megfelelőségi ellenőrzést szerzett a világszerte alkalmazottak, ügyfelek és alvállalkozók által használt több mint 70 000 eszköz felett.

A platform lehetővé tette az EPAM biztonsági csapatának, hogy ellenőrizze az eszközök megfelelőségét, felismerje a nem kívánt alkalmazásokat, azonosítsa a javítás nélküli sebezhetőségeket, valamint érvényesítse a hozzáférési szabályokat – mindezt anélkül, hogy ez hatással lett volna a felhasználók termelékenységére. Az EPAM emellett integrálta MetaDefender is a központi tárolóba feltöltött fájlok vizsgálatára, amely csúcsidőben naponta több mint 50 millió fájlt dolgozott fel. A biztonsági csapatok teljes képet kaptak a helyzetről. Minden döntés a kezükben maradt. Olvassa el a teljes történetet itt.

Alkalmazzuk a mesterséges intelligenciát ott, ahol értéket teremt anélkül, hogy végrehajtási kockázatot jelentene: a sebezhetőségek kockázati rangsor szerinti osztályozása, a konfigurációs eltérések észlelése, az anomáliák korrelációja, valamint az emberi felülvizsgálatra szánt, prioritás szerint rendezett eredmények.

Kerülje azokat a platformokat, amelyek összekeverik a mesterséges intelligencia elemzési értékét az ellenőrizetlen végrehajtási jogosultsággal. Mérlegelje, hogy a platform létrehozza-e azokat az engedélyezési nyilvántartásokat, amelyeket a megfelelőségi keretrendszere előír. Ha a válasz az, hogy „a rendszer döntött”, az nem minősül megfelelő engedélyezési nyilvántartásnak a szabályozott kritikus infrastruktúra-környezetekben.