Стандарты ИИ для пентеста от CREST: новая аккредитация для провайдеров кибербезопасности

Международная некоммерческая организация CREST, известная своими аккредитациями для поставщиков услуг кибербезопасности, объявила о внедрении новых стандартов, регулирующих использование искусственного интеллекта в пентесте. Эти стандарты, названные AI Standards, являются добровольным дополнением к существующим программам сертификации. Компании, которые хотят продемонстрировать ответственный подход к применению ИИ, смогут пройти проверку и получить соответствующую отметку. Инициатива направлена на повышение доверия к ИИ-инструментам в сфере безопасности и стандартизацию практик в индустрии.

CREST запускает стандарты ИИ для пентеста: подробности

Новые стандарты CREST, получившие название «AI Standards», представляют собой опциональное расширение текущих аккредитационных программ для провайдеров кибербезопасности. Они разработаны, чтобы помочь организациям продемонстрировать, что они используют искусственный интеллект ответственно и безопасно. Стандарты охватывают такие аспекты, как управление рисками, прозрачность, подотчетность и безопасность при внедрении ИИ в процессы пентеста и других услуг безопасности. Ожидается, что первые сертификации по новым стандартам будут выданы уже в ближайшие месяцы. CREST планирует проводить аудиты и проверки для оценки соответствия требованиям. Инициатива направлена на повышение доверия к использованию ИИ в кибербезопасности и стандартизацию подходов в индустрии.

Предыстория и контекст

CREST уже много лет является одной из ведущих организаций, устанавливающих стандарты для пентеста и кибербезопасности. Ее аккредитации признаются во всем мире и часто требуются для работы с крупными корпорациями и государственными структурами. С ростом популярности искусственного интеллекта в кибербезопасности возникла необходимость в регулировании его применения. Многие компании начали использовать ИИ для автоматизации тестов на проникновение, анализа уязвимостей и моделирования угроз. Однако отсутствие единых стандартов вызывало вопросы о надежности и безопасности таких решений. Новые стандарты CREST призваны заполнить этот пробел. Они основаны на существующих фреймворках, таких как NIST AI Risk Management Framework, и адаптированы под специфику пентеста. Это не первый случай, когда CREST обновляет свои требования в ответ на технологические изменения: ранее организация уже вводила стандарты для облачной безопасности и мобильного тестирования.

Чем новые стандарты отличаются от существующих аккредитаций?

Основное отличие в том, что AI Standards не заменяют, а дополняют основные аккредитации CREST, например CREST Penetration Testing. Компания, уже имеющая базовую аккредитацию, может подать заявку на дополнительную сертификацию по ИИ. Для этого необходимо продемонстрировать, что процессы разработки и использования ИИ-инструментов соответствуют требованиям: наличие политик управления рисками, документирование алгоритмов, обеспечение прозрачности решений, принимаемых ИИ, и механизмы контроля ошибок. Таким образом, стандарты позволяют компаниям выделиться на рынке, подтвердив компетентность в области ИИ.

Технические детали и требования

Стандарты CREST AI включают несколько ключевых областей. Во-первых, это управление данными: компании должны гарантировать, что данные, используемые для обучения ИИ, не содержат уязвимостей и обрабатываются в соответствии с законодательством. Во-вторых, требуется валидация моделей: пентестеры должны уметь объяснять, как ИИ пришел к тому или иному выводу, и проверять результаты на ложные срабатывания. В-третьих, вводятся требования к безопасности самих ИИ-систем: они должны быть защищены от атак, таких как отравление данных или состязательные примеры. По словам представителей CREST, стандарты разрабатывались при участии экспертов из индустрии и академических кругов. Они учитывают как возможности, так и риски ИИ: например, возможность автоматизации рутинных задач при сохранении человеческого контроля над критическими решениями. Компании, прошедшие сертификацию, смогут маркировать свои услуги как «AI-Enabled Pentesting» с подтвержденным качеством.

Кого затронут новые стандарты и как

Новые стандарты в первую очередь коснутся компаний, предоставляющих услуги пентеста и кибербезопасности, которые уже имеют или планируют получить аккредитацию CREST. Для них это возможность выделиться на рынке и подтвердить компетентность в области ИИ. Крупные заказчики, особенно из финансового и государственного секторов, все чаще требуют от поставщиков доказательств ответственного использования технологий, поэтому сертификация может стать конкурентным преимуществом. Для разработчиков инструментов пентеста стандарты могут означать необходимость доработки продуктов для соответствия требованиям. В России и СНГ аккредитация CREST пока не так распространена, но крупные компании, работающие с международными клиентами, могут заинтересоваться новыми стандартами, чтобы укрепить доверие.

Как ИИ меняет пентест и почему это важно?

Искусственный интеллект трансформирует пентест, автоматизируя рутинные задачи, такие как сканирование уязвимостей и анализ логов, и позволяя специалистам сосредоточиться на сложных аспектах. Однако ИИ также вносит новые риски: модели могут быть подвержены предвзятости, ошибкам или атакам. Стандарты CREST помогают минимизировать эти риски, устанавливая четкие требования к прозрачности, безопасности и управлению. Без таких стандартов компании рискуют доверять ИИ-инструментам, которые могут давать ложные результаты или быть скомпрометированы. Поэтому внедрение стандартов — это шаг к более надежной и этичной кибербезопасности.

Что будет дальше

CREST планирует начать прием заявок на сертификацию в ближайшее время. Ожидается, что первые аккредитованные компании будут объявлены в течение полугода. В перспективе организация намерена расширять стандарты по мере развития технологий ИИ. Также возможно, что другие аккредитационные органы последуют примеру CREST и введут аналогичные требования. Это может привести к формированию общеотраслевого стандарта для использования ИИ в пентесте. Для компаний, которые хотят оставаться на передовой, сертификация по новым стандартам станет важным шагом.

Итог

Внедрение стандартов CREST по ИИ — важный шаг к регулированию использования искусственного интеллекта в кибербезопасности. Компании, которые первыми пройдут сертификацию, смогут укрепить свою репутацию и получить преимущество на рынке. Для клиентов это дополнительная гарантия того, что ИИ-инструменты применяются безопасно и этично. Следите за развитием событий: возможно, скоро такие стандарты станут обязательными для всех серьезных игроков в индустрии.