Hiljutistes turvatestides pääsesid AI-mudelid iseseisvalt päris ettevõtete süsteemidesse — mitte nutika nullpäeva-rünnaku, vaid avalikust koodihoidlast leitud ligipääsuvõtme ja äraarvatud nõrga parooli abil. Väikefirma jaoks on sõnum ebameeldivalt lihtne: teie kõige igavamad turvavõlad on nüüd leitavad masskiirusel.
Rünnaku hind kukkus, teie nõrgim koht jäi samaks
Need haavatavused ei ole uued. API-võtmeid on koodi sisse jäetud aastakümneid ja nõrku paroole on ära arvatud sama kaua. Muutus on ainult majanduslik: varem pidi keegi viitsima teie konkreetset firmat uurida. Nüüd saab sama töö teha automaatselt, tuhandete organisatsioonide peal korraga, ilma et keegi teie nime kunagi teadlikult valikusse paneks.
Seega lakkas töötamast kõige levinum Eesti väikefirma turvastrateegia — "meie oleme liiga väikesed, meid ei viitsi keegi rünnata". Te ei ole enam sihtmärk, te olete valim. Ja iga uus AI-integratsioon, automatiseering või Zapieri-laadne ühendus lisab sellesse valimisse veel ühe võtme.
Tunni töö, mis katab suurema osa riskist
Soovitame alustada kõige tüütumast, mitte kõige põnevamast otsast. Tehke võtmete inventuur: kirjutage ühte tabelisse kõik teenused, millele teie süsteemid masinana ligi pääsevad — makselahendus, e-poe liides, raamatupidamine, CRM, AI-mudelite API-d, uudiskirjatööriist. Iga rea kohta kolm veergu: kes vastutab, kus võti füüsiliselt asub ja millal seda viimati vahetati.
Praktikas selgub siit kaks asja. Esiteks elavad võtmed sageli kohtades, kuhu neid kunagi ei plaanitud — Slacki vestlustes, e-kirjades, Google Sheetsi failides, ammu lahkunud partneri sülearvutis. Teiseks pole enamikku neist kunagi rotateeritud. Vahetage ära vähemalt need, mis on olnud kättesaadavad inimestele, kes teie juures enam ei tööta, lülitage koodihoidlas sisse saladuste skaneerimine ning viige kõik inimeste paroolid paroolihaldurisse koos kaheastmelise kinnitusega. See ei ole projekt, see on üks pärastlõuna.
Teine uks käib inimese, mitte koodi pihta
Paralleelselt käib kampaania, mis ei ürita teie tarkvara murda, vaid teie inimest veenda. Muster on korduv: saabub huvitav töö- või koostööpakkumine, järgneb videokõne, ja kõne käigus palutakse installida mingi "kohtumise plugin" või kleepida terminali käsk, mille ohver lõikelaualt kopeerib. Sihtmärgiks on eelkõige arendajad ja tehnilised juhid — täpselt need inimesed, kelle masinas on kõik ligipääsud.
Vastumeede maksab null eurot: leppige tiimis kokku üks kirjalik reegel. Tundmatu osapoolega kõne ajal ei installi keegi tarkvara, ei kleebi käsurea käske ega ava skripte — ükskõik kui usutav lugu on. Kahtluse korral katkestatakse kõne ja kontrollitakse teist kanalit pidi. Sama reegel kaitseb ka juhti, kellele saabub "kiire" makse- või ligipääsupalve justkui omalt inimeselt.
Kus on piir
Aus nüanss: ühe uudise pealt ei tasu osta suurt turbeprojekti ega käivitada sertifitseerimist. Kümneinimeselise firma jaoks katab paroolihaldur, kaheastmeline kinnitus, võtmete nimekiri ja üks kokkulepitud reegel ausalt suurema osa reaalsest riskist — ja teeb seda odavamalt kui ükski konsultatsioonipakett.
Piir tuleb ette kahel juhul. Esiteks siis, kui teie äri sisuks on teiste inimeste tundlikud andmed — tervis, finants, suured kliendiandmebaasid. Siis on välist ülevaatust vaja päriselt, mitte kontrollnimekirja. Teiseks siis, kui annate AI-agendile ligipääsu oma andmebaasile. Seal ei piisa mudeli valikust: õiguste loogikat tuleb testida sama hoolikalt kui funktsionaalsust, sest agent proovib asju, mida ükski teie kasutaja poleks osanud proovida. Kui te ei tea, mis andmeid agent näeb, siis te ei tea, mis andmed võivad välja lekkida.