Центробанк России озаботился безопасностью ИИ в финсекторе — и описал возможные тактики атак
Банк России опубликовал первые методические рекомендации по ИБ при использовании ИИ в финансовой сфере. В документе систематизированы риски, описаны тактики атак и предложены меры защиты, в том числе подтверждение операций сотрудником в критически важных процессах. Организациям рекомендовано разработать собственные модели угроз и учитывать участие модели поставщика в программах обнаружения уязвимостей.
Банк России опубликовал методические рекомендации, посвященные обеспечению информационной безопасности при использовании технологий искусственного интеллекта в финансовых организациях. Как следует из сообщения регулятора, это первый документ, в котором систематизированы риски применения ИИ, описаны возможные тактики атак злоумышленников на системы ИИ и даны рекомендации по мерам защиты.
В частности, в документе отмечается, что если финансовая организация использует ИИ в критически важных процессах с высокими рисками информационной безопасности, например в платежных операциях, то операцию рекомендуется подтверждать сотруднику.
Помимо этого, как сообщили в Банке России, участникам рынка рекомендовано разработать собственные модели угроз и политику информационной безопасности для работы с ИИ. Ответственным за подготовку этих внутренних документов предлагается назначать заместителя руководителя организации по вопросам защиты информации.
Отдельный раздел рекомендаций касается информационной безопасности при использовании ИИ-сервисов сторонних поставщиков. Как указывается в документе, наличие у поставщика модели ИИ, которая участвует в программе обнаружения уязвимостей, повышает доверие к ней.
Ранее SecPost писал о том, что Банк России впервые с 2020 года обновил требования по информационной безопасности для операторов карточных платежных систем, усилив контроль за HSM-модулями, двухфакторной аутентификацией и безопасностью на всех этапах жизненного цикла устройств. Новый документ делает акцент на отечественных криптосредствах и расширяет перечень защищаемых данных, включая критические ключи и коды аутентификации.
