«Если вы не проводите пентестинг 24/7/365, вы уже отстаёте»

По словам Марка Уэзерфорда, руководителя направления политики кибербезопасности в компании Nvidia, в эпоху ИИ специалисты по ИБ должны разъяснять, как риски, связанные с нейросетями, соотносятся с бизнес-целями, а также помогать руководству определять, кто именно несёт ответственность за принятие этих рисков.

Выступая на конференции ISC2 Security Congress 2026 в Денвере, эксперт отметил, что повсеместное внедрение алгоритмов в рабочие процессы — в том числе в ИБ-сфере — привело к трансформации роли CISO: теперь это не просто «страж» безопасности, а тот, кто переводит технические угрозы на язык бизнеса. При внедрении нейросетей они обязаны упростить топ-менеджменту оценку возможных компромиссов и чётко обозначить «виновных».

Уэзерфорд подчеркнул: этот опыт показал, что CISO важно понимать, как их организация получает доход, а не только знать, как её защищать. Подобный взгляд особенно важен сейчас, когда компании взвешивают потенциальные выгоды и издержки, связанные с ИИ. Например, совет директоров может опасаться, что слишком медленная интеграция технологии приведёт к потере конкурентного преимущества, в то время как поспешные действия обернутся развёртыванием инструментов без надлежащего контроля или понимания сопутствующих рисков.

Представитель Nvidia выделил две основные проблемы, с которыми сталкиваются ИБ-директора в контексте развития нейросетей. Во-первых, «темпы технологических изменений» значительно усложняют их работу. Во-вторых, CISO должны уделять внимание двум аспектам: безопасности самого ИИ и его роли в обеспечении защиты.

Сегодня традиционные ИБ-подходы могут оказаться недостаточно эффективными. «Если вы не проводите тестирование на проникновение в режиме 24/7/365, вы, скорее всего, уже отстаёте от ситуации», — заметил эксперт. Он также предостерёг от инвестиций в ИИ-сервисы, продиктованных лишь «страхом упустить возможности». Было бы разумно составлять краткий план, описывающий намеченные меры и необходимые для их реализации ресурсы.

Чтобы не отставать от происходящих изменений, Марк Уэзерфорд советует сохранять любознательность, продолжать учиться и быть готовым пересматривать свои компетенции по мере развития ИТ-ландшафта. В частности, он предложил CISO «узнавать что-то новое каждую неделю», сосредоточившись на какой-то одной теме, связанной с ИИ — например, на протоколе контекста модели (MCP), атаках типа «промпт-инъекция» или использовании «песочниц». Похвально также, по словам представителя Nvidia, участие в работе профессиональных сообществ — как формальных, так и неформальных.

Усам Оздемиров