Yapay Zeka, Bankalar İçin Siber Tehdit Manzarasını Değiştiriyor

Yapay zeka hem siber savunmayı hem de siber saldırı kapasitesini değiştiriyor

Yapay zeka, siber güvenliği aynı anda iki yönde dönüştürüyor. Bankalar, büyük miktardaki ağ trafiğini analiz etmek, uyarıları önceliklendirmek ve şüpheli kalıpları daha hızlı tespit etmek için yapay zekayı kullanabilir. Saldırganlar ise aynı yetenekleri keşif faaliyetlerini otomatikleştirmek, sosyal mühendisliği geliştirmek ve belirli türdeki kötü amaçlı faaliyetleri geliştirmek için gereken uzmanlık düzeyini düşürmek amacıyla kullanabilir. Sonuç, tamamen yeni bir siber risk ortamı değil, saldırganlar ve savunmacılar arasındaki mevcut rekabetin hızlanmasıdır.

Bu durum bankalar için önemlidir çünkü bankalar cazip hedeflerdir ve birbirine sıkı sıkıya bağlı teknoloji altyapılarıyla faaliyet gösterirler. Finans kuruluşları değerli verilere sahiptir, büyük miktarda ödeme işler ve eski sistemlerin, bulut platformlarının ve üçüncü taraf sağlayıcıların karmaşık kombinasyonlarına dayanır. Yapay zeka, saldırganların bu ortama daha verimli bir şekilde erişmesine yardımcı olabilirken, savunmacılar tespit ve müdahale hızını ve kalitesini artırmalıdır.

Sosyal mühendislik daha ikna edici hale geliyor

Oltalama saldırıları bunun en açık örneklerinden biridir. Üretken yapay zeka, birkaç dilde dil bilgisi açısından doğru ve kişiselleştirilmiş mesajlar üretebilir ve bir meslektaşın veya tedarikçinin üslubunu taklit edebilir. Bu nedenle, kötü imla gibi geleneksel uyarı işaretleri daha az kullanışlı hale gelmektedir. Çalışanların, özellikle bir talebin kimlik bilgilerini, ödeme talimatlarını veya hassas bilgileri içerdiği durumlarda, daha güçlü doğrulama alışkanlıkları edinmesi gerekir.

Sentetik ses ve video ise buna bağlı bir risk oluşturur. Bir saldırgan, zaman baskısı altındaki bir çalışanı etkilemek için bir yöneticiyi, müşteriyi veya tedarikçiyi yeterince ikna edici bir şekilde taklit edebilir. Bu nedenle, yüksek değerli talimatlar için geri arama prosedürleri, çift onay veya diğer kimlik doğrulamalı doğrulama yöntemleri gibi iletişim kanalından bağımsız kontroller kullanılmalıdır.

Teknik saldırı döngüleri hızlanabilir

Yapay zeka ayrıca kod üretimine, zafiyet araştırmalarına ve kamuya açık bilgilerin analizine yardımcı olabilir. Bu, her suçlunun aniden gelişmiş bir tehdit aktörü yeteneğine sahip olacağı anlamına gelmez; ancak daha önce daha uzmanlık gerektiren görevleri yerine getirmek için gereken maliyet ve süreyi azaltabilir. Bu nedenle bankalar, teknik açıdan yetkin saldırganların daha büyük hacimli saldırılarıyla karşı karşıya kalabilir.

Savunma ekipleri de yapay zekayı benzer şekillerde kullanabilir. Güvenlik platformları uyarıları önceliklendirebilir, anormallikleri tespit edebilir ve olay bilgilerini özetleyebilir. Bu durum analistlerin iş yükünü azaltabilir, ancak otomatik güvenlik kararları hâlâ yönetişim gerektirir. Yanlış negatifler gerçek saldırıları gözden kaçırabilirken, aşırı yanlış pozitifler ekipleri zorlayabilir ve dikkati dağıtabilir.

Yapay zeka sistemlerinin kendisi yeni saldırı yüzeyleri oluşturur

Üretken ve ajan tabanlı sistemler, geleneksel uygulamaların aynı biçimde sunmadığı riskler getirir. Örneğin, istem enjeksiyonu, harici içeriklere yerleştirilen kötü amaçlı talimatlar aracılığıyla bir yapay zeka sistemini manipüle etmeye çalışabilir. Bir yapay zeka aracının veri tabanlarına, e-postaya veya operasyonel sistemlere erişim izni olduğunda bu risk daha da önemli hale gelir.

Bu nedenle izinler, en az ayrıcalık ilkesine uygun olmalıdır. Yalnızca metin üreten bir asistanın risk profili, mesaj gönderebilen veya işlem gerçekleştirebilen bir ajandan farklıdır. Kurum, sürecin ve kontrollerin güvenilir olduğunu kanıtlayana kadar hassas işlemler için açık onay mekanizması korunmalıdır.

Üçüncü taraf yapay zeka sağlayıcıları da tedarikçi riski oluşturur. Bankalar, verilerin nerede işlendiğini, güvenlik olaylarının nasıl bildirildiğini ve sağlayıcının hizmet veremez hale gelmesi veya hizmeti önemli ölçüde değiştirmesi durumunda ne olacağını anlamalıdır. DORA, bu tür bağımlılıklar için ilgili bir operasyonel dayanıklılık çerçevesi sunar.

Eğitim ve yönetişim gelişmelidir

Siber güvenlik farkındalık programları artık yapay zeka destekli oltalama saldırılarını, sentetik medyayı ve kamuya açık yapay zeka araçlarının yarattığı riskleri de içermelidir. Çalışanlar, olağandışı talepleri nasıl doğrulayacaklarını ve şüpheli faaliyetleri nereye bildireceklerini bilmelidir. Finans, hazine ve müşteri hizmetleri ekipleri, rollerine özgü saldırı yöntemleri farklı olduğu için farklı örneklere ihtiyaç duyabilir.

Geliştiricilerin de yönlendirmeye ihtiyacı vardır. Yapay zeka destekli kodlama asistanları üretkenliği artırabilir, ancak üretilen kod hâlâ test edilmeli, gözden geçirilmeli ve zafiyet taramasından geçirilmelidir. Daha hızlı geliştirme, güvensiz yazılımları daha hızlı üretmemelidir.

Yönetim kurulları ve üst düzey yöneticiler, siber risk senaryolarının bu değişiklikleri yansıtıp yansıtmadığını sorgulamalıdır. Temel soru, bankanın yapay zeka güvenlik ürünleri satın alıp almadığı değil; tehdit modellerinin, tedarikçi değerlendirmelerinin, çalışan eğitimlerinin ve olay simülasyonlarının, hem savunmacıların hem de saldırganların giderek daha yetkin sistemler kullandığı bir ortama göre güncellenip güncellenmediğidir.

Sonuç

Yapay zeka, siber güvenliğin temel ilkelerinin yerini almaz. Çok faktörlü kimlik doğrulama, yamalama, erişim kontrolü, güvenli yazılım geliştirme, izleme, yedekleme ve olay müdahalesi hâlâ esastır. Değişen şey, her iki tarafın da faaliyet gösterebildiği hız ve karmaşıklıktır. Bu nedenle bankalar, yapay zeka yönetişimi, siber risk ve operasyonel dayanıklılık arasındaki entegrasyonu güçlendirmelidir.

eBSI Bankacılık Akademisi, siber olayların müşterileri, operasyonları, itibarı ve düzenleyici yükümlülükleri etkilediği için siber güvenliği profesyonel bankacılık yetkinliğinin bir parçası olarak ele alır. Yapay zeka destekli tehditleri yönetmek için en uygun konumda olan kurumlar, güçlü teknolojiyi disiplinli süreçler ve bilinçli çalışanlarla birleştirenler olacaktır.

Kimlik doğrulama ve yazılım geliştirme yenilenen bir dikkati hak ediyor

Sentetik medyanın büyümesi, tanıdık bir sesin, yüzün veya yazı stilinin tanınmasına dayanan güvenlik prosedürlerini zayıflatır. Bankalar, yüksek riskli onayların bu gayri resmi sinyallere aşırı derecede dayanıp dayanmadığını gözden geçirmelidir. Ödeme talimatları, ayrıcalık değişiklikleri ve hassas bilgilerin ifşası, ses veya video ikna edici bir şekilde taklit edilebildiğinde bile güvenilirliğini koruyan kimlik doğrulamalı kanallar aracılığıyla doğrulanmalıdır.

Güvenli yazılım geliştirme de uyum sağlamalıdır. Yapay zeka destekli kodlama asistanları üretkenliği önemli ölçüde artırabilir, ancak üretilen kod hâlâ gözden geçirilmeli, test edilmeli ve zafiyet taramasından geçirilmelidir. Kodun daha hızlı üretilmesi, bankanın güvenliğine ilişkin sorumluluğunu azaltmaz. Bu nedenle geliştirme ekipleri, üretilen kodu ayrı bir kategori olarak ele almak yerine yapay zeka kullanımını mevcut güvenli geliştirme standartlarına entegre etmelidir.

Bu örnekler daha geniş bir noktayı pekiştirmektedir: Yapay zeka siber riski güvenlik departmanı ile sınırlı değildir. Ödeme kontrollerini, çalışan eğitimlerini, yazılım mühendisliğini, tedarikçi yönetimini ve yönetim kurulu denetimini etkiler. Saldırganların da giderek bu sınırlar arasında hareket edebildiği göz önüne alındığında, kurumun koordineli bir yaklaşıma ihtiyacı vardır.

Dayanıklılık nihai hedeftir

Siber güvenlik programları, bazı saldırıların önleyici kontrolleri aşacağını varsaymalıdır. Bu nedenle bankalar, test edilmiş kurtarma süreçlerine, güvenli yedeklemelere, alternatif iletişim düzenlemelerine ve bozulmuş olabilecek sistemlere dayanmadan kritik hizmetleri geri yükleme yeteneğine sahip olmalıdır. Yapay zeka bu ilkeyi değiştirmez; yalnızca bir olayın gelişme hızını artırır.

Yönetim ayrıca yapay zeka kaynaklı olaylardan çıkarılan derslerin model yönetişimine ve çalışan eğitimlerine aktarıldığından emin olmalıdır. Bir istem enjeksiyonu olayı, sentetik kimlik dolandırıcılığı girişimi veya kodlama asistanının kötüye kullanımı, siber güvenliğin ötesine uzanan kontrol zayıflıklarını ortaya çıkarabilir. Fonksiyonlar arası inceleme, aynı temel zayıflığın başka yerlerde yeniden ortaya çıkmasını önlemeye yardımcı olur.