ИИ навалил CISO работы под завязку, а бюджет остался прежним

Компании валят на CISO всё больше задач по внедрению генеративного ИИ, но бюджет и штат под это не растут. По данным отчёта Proofpoint 2026 Voice of the CISO, 79% руководителей ИБ разбираются с рисками нейросетей без роста финансирования или экспертизы, а 78% уже считают genAI серьёзным источником угроз для бизнеса.

Генеративные модели давно перестали быть игрушкой для энтузиастов и залезли туда же, где раньше рулила служба безопасности, в данные, доступы, аккаунты сотрудников, облака и регуляторные требования. ИИ не превратился в отдельный инструмент где-то сбоку, он прошёлся сразу по всем болевым точкам, за которые и так отвечает ИБ-отдел.

Сотрудник закидывает нейросети рабочий документ, фрагмент переписки или кусок клиентской базы ради самой обычной задачи, а для безопасников это тут же превращается в новый канал слива данных наружу компании. Публичные ИИ-сервисы стали любимой дырой для утечек, и закрыть её одним запретом не выходит.

Бизнес латает эту дыру сразу с нескольких сторон:

• ограничивает доступ сотрудников к публичным генеративным сервисам;
• присматривается к защитным решениям на базе ИИ, чтобы ловить ошибки персонала быстрее;
• встраивает контроль прямо в мессенджеры, редакторы документов и облачные диски;
• пробует автоматизировать реакцию на инциденты, не раздувая штат ИБ.

Отмечается, что нейросети перестают жить отдельными приложениями и просто оказываются внутри привычных рабочих сервисов, из-за чего сотруднику незачем открывать отдельный чат с ИИ ради нужной функции.

Из-за этого политика в духе «разрешить один сервис, запретить другой» потихоньку теряет смысл. Защитникам приходится следить не только за списком используемых приложений, но и за тем, где сотрудники получают доступ к данным, что передают нейросетям и какие процессы автоматизируют.

Индия показала самый высокий уровень обеспокоенности рисками генеративного ИИ и одновременно самый заметный дефицит ресурсов на борьбу с ними. Франция сильнее всех ограничивала GenAI для персонала, а в Сингапуре больше всего боялись передачи чувствительных данных через ИИ-сервисы.

Корпоративные копилоты и ИИ-помощники встраивают в мессенджеры и CRM российских компаний ничуть не медленнее, чем на западных рынках, поэтому вопрос контроля доступов и утечек через нейросети встаёт так же остро.

Столкнуться с киберинцидентом в ближайшие 12 месяцев ждут 61% CISO против 76% годом ранее, ожидания серьёзной атаки в целом просели. Расстановка угроз тоже поменялась, на первое место вышел захват или компрометация облачных аккаунтов, а электронное мошенничество, вымогатели и вредоносное ПО просели в рейтинге, уступив место проблемам с сервисами, которыми сотрудники пользуются каждый день.

Самыми опасными категориями сервисов CISO сейчас считают:

• платформы для совместной работы вроде корпоративных мессенджеров и таск-трекеров;
• SaaS-приложения со сторонними интеграциями и встроенными ИИ-функциями;
• публичные генеративные сервисы, куда персонал сам тащит рабочие файлы;
• облачные хранилища и инструменты автоматизации процессов.

Уточняется, что данные в компаниях сейчас путешествуют сразу через несколько платформ подряд, а вместе с ними перемещаются права доступа и потенциальные точки утечки, из-за чего контроль одних только приложений уже ничего не даёт.

Главным слабым местом 79% CISO по-прежнему называют собственных сотрудников. Среди компаний с серьёзной потерей данных 93% руководителей ИБ связали инциденты с увольнением персонала, доступы и накопленные за годы файлы превращаются в проблему ровно в момент ухода человека из компании.

Среди причин утечек чаще всего называют:

• действия злонамеренных или настроенных на криминал сотрудников;
• неосторожность персонала и скомпрометированные учётные записи;
• неправильную настройку или использование ИИ-инструментов;
• атаки извне и проблемы на стороне подрядчиков.

Расходы на восстановление, штрафы регуляторов и удар по репутации становятся тяжелее с каждым годом, хотя сами серьёзные инциденты компании фиксируют реже. Кража учётных данных и потеря критичной информации остаются среди самых болезненных последствий для бизнеса.

Российским компаниям, где регуляторка вокруг ИИ и защиты данных тоже закручивается, есть смысл присмотреться к этой статистике заранее, а не разбираться с последствиями постфактум.

Глобальный Resident CISO Proofpoint Патрик Джойс называет позитивным сигналом рост интереса советов директоров к киберрискам. Вместе с этим вниманием на CISO ложится новая ответственность, теперь ИБ приходится увязывать не только с техническими сбоями, но и со стоимостью компании, простоем, доверием клиентов и репутацией. По словам Джойса, одного интереса руководства мало, руководителям ИБ нужны реальные полномочия, экспертиза и постоянная поддержка, чтобы разговоры о киберрисках наверху превращались в рабочие бизнес-решения.

Чтобы этот разговор не оставался разговором, компаниям нужно:

• выстраивать контроль идентичностей и разрешений, а не только список разрешённых приложений;
• отслеживать, куда движутся данные между сервисами и ИИ-инструментами;
• считать защиту данных, управление ИИ и безопасность идентичностей одной системой;
• закладывать под ИИ-риски отдельный бюджет, а не распределять его по остаточному принципу.

Ранее сообщалось, что почти 80% руководителей служб информационной безопасности европейских компаний считают, что топ-менеджмент недооценивает киберриски, связанные с действиями рядовых сотрудников. Компания MetaCompliance опросила более 200 CISO. В исследовании также отмечается, что аналогичные угрозы актуальны для российских компаний и пользователей: фишинг, дипфейки и утечки данных через ИИ-сервисы уже используются против них.

Эксперты CISOCLUB считают, что рост нагрузки на CISO из-за ИИ будет только продолжаться, пока внедрение нейросетей опережает готовность бизнеса их контролировать. Разрозненные запреты отдельных сервисов работать перестали, поскольку функции ИИ встроены слишком глубоко в привычные рабочие цепочки.

Реальный эффект даст только связка контроля идентичностей, отслеживания данных и прозрачных правил использования ИИ на уровне всей компании. Отдельного бюджета и полномочий для CISO этот процесс требует не меньше, чем внимания со стороны совета директоров. Компаниям, которые отложат эту работу, придётся разбираться с последствиями в разы дороже, чем стоило бы потратить на неё заранее.