Само 8% вежбаат AI-инциденти, иако 87% веќе користат AI

Во резимето на ISACA, објавено на 5 октомври 2026 година, се наведува дека само 8% од организациите редовно вежбаат одговор на инциденти специфични за AI, додека 13% од испитаните безбедносни професионалци воопшто не користат AI во своите операции — односно 87% го користат. Истражувањето опфатило повеќе од 1.800 професионалци ширум светот. Двата процента опишуваат различни субјекти: организациите што ги претставуваат испитаниците и самите испитаници.

Размерот на јазот се гледа и во известувањето на Cyber Insider: 64% од испитаниците рекле дека нивната организација не спровела вежба за AI-инцидент, 17% дека такви случаи се дел од пошироки сајбер-вежби, а 48% дека немаат посебен план за постапување или не знаат дали постои. За ИТ и безбедносен тим во Северна Македонија, првата вежба треба да разјасни кој го води случајот, кој смее да ја запре засегнатата алатка и кои докази мора да се зачуваат.

Употребата расте побрзо од подготвеноста за одговор

Редовната употреба на AI во безбедносните операции и вежбањето инцидент се различни способности. Алатка што помага да се открие закана може истовремено да обработува чувствителни податоци, да предизвика погрешна автоматизирана акција или да создаде нова патека што тимот мора да ја истражи. Во вежба не е доволно да се открие сомнителен резултат: треба да се утврди од каде дошол, што системот направил потоа и како безбедно ќе се ограничи неговото дејство.

Првичното соопштение на ISACA наведува дека 45% од испитаниците гледаат недостиг од вештини за LLM SecOps, а 51% учествуваат во развој, воведување или имплементација на AI-решенија; Џон Брант, директор за професионални практики и иновации во организацијата, повикува на „AI-specific incident exercises, clear playbooks and upskilling“. Ова ги става безбедносните професионалци и во улога на корисници и во улога на луѓе што треба да ја објаснат работата на системот при инцидент.

Посебен план има вредност само ако одговорностите во него можат да се извршат. Ако AI-алатката е поврзана со пошта, складиште на документи или деловна апликација, одлуката за прекин може да бара учество и од сопственикот на таа услуга. Пред исклучување, тимот мора да знае кои записи се достапни и кој има право да ги зачува. По исклучување, треба да може да утврди дали спорната содржина останала во друг систем или стигнала до други корисници.

Четири сценарија за првата AI-вежба

Следната матрица е редакциски предложена вежба за мал тим, а случаите се условни. Секое сценарио бара три одговори: сопственик на случајот, одлука за запирање и доказ што ќе остане достапен за истрагата. Улогите може да се доделат на луѓето што веќе ги има организацијата; пресудно е однапред да биде јасно кој ја носи одлуката кога учесниците имаат нецелосни информации.

• Чувствителни податоци внесени во AI-алатка. Случајот го води одговорното лице за информациска безбедност, со лицето задолжено за заштита на податоците. Учесниците одлучуваат дали ќе го прекинат пристапот на конкретниот корисник, интеграцијата или употребата на алатката додека ја утврдуваат патеката на податоците. Ги зачувуваат времето на внесување, корисничката сметка, поставките за пристап и записите за пренос. Самата чувствителна содржина се прибира само кога е неопходна за истрагата, со ограничен пристап до неа.
• Фишинг-порака создадена со AI. Тимот што управува со електронската пошта го презема техничкото ограничување, а безбедносниот тим ја проценува поврзаноста со други пораки и сметки. Одлуката е кога да се изолираат испратените пораки, да се блокира изворот и да се известат примателите. Оригиналната порака со техничките заглавија, адресите, времињата и записите од системот за пошта останува доказ; слика од екранот сама по себе не ја покажува целата патека на испорака.
• Злоупотреба на генеративна AI од вработен. Безбедносниот тим ја води проверката на пристапот, а лицето за човечки ресурси се вклучува според внатрешната постапка. Учесниците одлучуваат кој може привремено да го ограничи пристапот без однапред да ја утврдува намерата на вработениот. Се зачувуваат релевантните активности, овластувањата и времето на нивните промени. Увидот во личните податоци треба да остане ограничен на она што е потребно за конкретниот случај.
• Погрешна автоматизирана акција. Сопственикот на засегнатата услуга ја води одлуката за прекин, со поддршка од безбедносниот тим. Вежбата проверува дали може да се исклучи автоматизацијата, да се запре натамошното извршување и да се врати претходната состојба. Тимот ги зачувува активирачкиот настан, одлуката што ја донел системот, промените што веќе ги направил и трагата за човечко одобрување, ако такво постои.

Сценаријата намерно бараат различни видови одлуки. Кај истекување податоци најважно е да се утврди каде завршиле информациите; кај фишингот, колку пораки стигнале до примателите. Внатрешната злоупотреба бара внимателна проверка на овластувањата, а автоматизираната акција бара да се разликува запирањето на идните дејства од поправањето на она што веќе се случило.

Што открива една завршена вежба

Мал тим може да ја спроведе вежбата со опис на условен настан и со постојните канали за пријавување. Водителот постепено открива нови детали: пријава од корисник, запис за пристап или потврда дека алатката извршила дејство. Учесниците мора да кажат што знаат во тој момент, кому му го предаваат случајот и дали имаат доволно основа да ја запрат услугата. Така се гледа и дали потребните записи навистина се достапни на луѓето од кои се очекува да одлучуваат.

Завршниот запис треба да покаже кој ја донел секоја одлука, врз кои информации се потпрел и што недостасувало. Ако никој нема овластување да ја исклучи интеграцијата, ако записите се чуваат пократко отколку што трае откривањето на проблемот или ако сопственикот на услугата не е дел од постапката, вежбата открила конкретен прекин во одговорот. Тој прекин може да се поправи пред вистински случај, кога истите одлуки ќе треба да се донесат додека засегнатиот систем сè уште работи.

Прочитајте и:

• Само 9% од работодавачите се подготвени за AI-судири со вработените
• Slack export не ги носи датотеките: ZIP-архивата содржи само врски
• Трговска марка во Македонија: 600 денари се само првата такса