AI tự chủ trong an ninh mạng là gì?

Hệ thống AI tự chủ thường được tích hợp sẵn cơ chế giám sát của con người để cân bằng giữa tính tự chủ và khả năng kiểm soát.

Trong cách tiếp cận của Microsoft đối với AI tự chủ cho an ninh mạng, cơ chế này được thiết kế dưới dạng mô hình cộng tác, trong đó người vận hành có thể giám sát và định hướng hành vi của hệ thống.

Một số ví dụ phổ biến bao gồm:

• Khả năng suy luận minh bạch. Các hệ thống của Microsoft cho biết ngữ cảnh hỗ trợ và lý do căn bản kèm theo các đề xuất để giúp nhà phân tích hiểu rõ dữ liệu đầu ra của hệ thống và những lộ trình ra quyết định.

• Khả năng phê duyệt và điều chỉnh. Các nhóm có thể xem xét, phê duyệt, từ chối hoặc tinh chỉnh hành động của hệ thống, từ đó lồng ghép ý kiến phản hồi để liên tục cải thiện kết quả.

• Biện pháp kiểm soát có thể kiểm tra. Các hoạt động được quản lý bằng những biện pháp kiểm soát bảo mật doanh nghiệp như quyền truy cập dựa trên vai trò, nhật ký kiểm tra và biện pháp bảo vệ quy trình làm việc để hỗ trợ yêu cầu về trách nhiệm giải trình và mặt tuân thủ.

AI tự chủ có thể ứng phó một cách linh hoạt với các điều kiện đang thay đổi và điều chỉnh hành vi dựa trên ngữ cảnh nhờ một quy trình gọi là vòng lặp tự chủ, tức là một chuỗi bước mà trợ lý ảo lặp lại cho đến khi đạt được mục tiêu.

Nhận biết → Suy luận → Lập kế hoạch → Hành động → Học hỏi

• Nhận biết. Hệ thống thu thập thông tin từ môi trường của mình, bao gồm cả nhật ký, cảnh báo, hoạt động của người dùng, thông tin về mối đe dọa và dữ liệu từ các công cụ cũng như hệ thống được kết nối.
• Suy luận. Hệ thống phân tích thông tin, xác định quy luật, đánh giá rủi ro và xác định ý nghĩa của dữ liệu trong ngữ cảnh.
• Lập kế hoạch. Dựa trên mục tiêu của mình, hệ thống xây dựng một chuỗi hành động để đạt được kết quả mong muốn.
• Hành động. Trợ lý ảo thực hiện các tác vụ (chẳng hạn như cô lập thiết bị, mở phiếu yêu cầu hỗ trợ, chuyển cảnh báo lên cấp cao hơn hoặc thu thập thêm bằng chứng) bằng cách tương tác với công cụ, hệ thống hoặc quy trình làm việc.
• Học hỏi. Hệ thống đánh giá kết quả của các hành động và sử dụng ý kiến phản hồi, dữ liệu mới cũng như kết quả trước đây để cải thiện các quyết định và phản hồi trong tương lai.

Để AI tự chủ hoạt động một cách hiệu quả, các nhóm cũng cần quyết định xem họ muốn dùng hệ thống dựa trên một trợ lý ảo hay hệ thống dựa trên nhiều trợ lý ảo. Hệ thống dựa trên một trợ lý ảo phụ thuộc vào một trợ lý ảo duy nhất để quản lý tác vụ và quyết định. Điều này rất hữu hiệu khi các quy trình làm việc tương đối khép kín và quyền ra quyết định được tập trung về một mối. Nếu quy trình làm việc phức tạp hoặc cần nhiều loại chuyên môn khác nhau, các tổ chức thường thiết lập hệ thống dựa trên nhiều trợ lý ảo có dùng nhiều trợ lý ảo AI chuyên biệt cho an ninh mạng sẽ cùng nhau hướng đến một mục tiêu chung.

Ngay cả khi có các chức năng tự chủ, sự giám sát của con người vẫn rất quan trọng. Nhiều tổ chức dùng điểm kiểm có con người giám sát và cổng phê duyệt đối với các hành động nhạy cảm hoặc tiềm ẩn rủi ro cao để duy trì quyền kiểm soát về mặt vận hành, trách nhiệm giải trình và quản trị.

Sự khác biệt giữa AI tự chủ, AI tạo sinh và phương thức tự động hóa truyền thống trở nên rõ ràng hơn khi được so sánh theo các khía cạnh cốt lõi.

Đáng tiếc là không chỉ có doanh nghiệp và chính phủ mới áp dụng AI với tốc độ nhanh. Các tác nhân đe dọa đang dùng hệ thống tự chủ để tăng tốc độ và quy mô của các cuộc tấn công qua mạng, từ đó gây ra hoặc làm trầm trọng thêm một số thách thức an ninh mạng, bao gồm cả:

• Thách thức về quy mô. Các nhóm bảo mật thường phải đối mặt với lượng cảnh báo quá lớn, độ phức tạp ngày càng tăng của dữ liệu và tình trạng thiếu nhà phân tích đang diễn ra.
• Thách thức về tốc độ. Những kẻ tấn công qua mạng tự động hóa hoạt động vận hành của mình ngày càng nhiều, trong khi nhiều bên phòng thủ vẫn dựa vào quy trình phân loại và ứng phó sự cố thủ công.
• Thách thức về độ tin cậy và tính chính xác. Việc liên tục làm ca đêm và xử lý một lượng lớn tác vụ lặp đi lặp lại có thể dẫn đến tình trạng mệt mỏi và kiệt sức của nhà phân tích, từ đó làm tăng rủi ro về sự thiếu nhất quán và lỗi do con người.
• Thách thức về khả năng phục hồi. Các tổ chức hiện đại hoạt động trên những môi trường kết hợp bao gồm nền tảng đám mây, điểm cuối, danh tính, ứng dụng và dịch vụ bên thứ ba. Bề mặt tấn công ngày càng mở rộng này làm tăng rủi ro vận hành và tạo ra nhiều cơ hội hơn cho kẻ tấn công qua mạng.

AI tự chủ trong an ninh mạng giúp các nhóm bảo mật vận hành hiệu quả hơn trong các môi trường đang trở nên quá phức tạp, biến động quá nhanh và liên kết quá chặt chẽ với nhau đối với hoạt động bảo mật (SecOps) mang tính thủ công hoàn toàn. Điều này khác với quy trình bảo mật bằng AI tự chủ ở phạm vi rộng hơn (tập trung vào việc bảo vệ chính các hệ thống AI).

Thay vì thay thế các nhóm bảo mật, AI tự chủ đóng vai trò củng cố năng lực ở nhiều hoạt động an ninh mạng, từ đó đem lại các lợi ích như:

• Giảm thời gian trung bình cần dành ra để phát hiện và ứng phó (MTTD/MTTR). AI tự chủ có thể điều tra cảnh báo, tìm mối tương quan giữa các tín hiệu và điều phối các hành động ứng phó một cách nhanh chóng, nhằm giúp các nhóm giảm thời gian phát hiện và ứng phó.
• Giảm tình trạng mệt mỏi cho nhà phân tích và tăng thời gian cho công việc có giá trị cao. Nhờ việc xử lý các tác vụ lặp đi lặp lại và tốn thời gian, AI tự chủ giúp giảm tình trạng mệt mỏi vì giải quyết cảnh báo, cũng như tạo điều kiện để nhà phân tích tập trung vào việc ra quyết định và điều tra mang tính chiến lược hơn.
• Phân loại và ứng phó theo cách nhất quán, có thể lặp lại. AI tự chủ áp dụng quy trình làm việc và quy trình một cách nhất quán đối với các sự cố, nhằm cải thiện độ tin cậy về mặt vận hành bằng cách giảm độ biến đổi do thao tác thủ công gây ra.
• Quy mô linh hoạt và phạm vi bao phủ 24/7. Khác với các nhóm do con người đảm nhiệm, AI tự chủ có thể vận hành liên tục và mở rộng quy mô để xử lý một lượng lớn cảnh báo, sự kiện và dữ liệu mà không cần thêm nhân sự.
• Cải thiện khả năng ưu tiên và tỷ lệ tín hiệu trên nhiễu. AI tự chủ có thể phân tích một lượng lớn dữ liệu ngữ cảnh để giúp xác định các mối đe dọa quan trọng nhất, nhằm giảm lượng cảnh báo không cần thiết và cải thiện khả năng ưu tiên.
• Phục hồi mạnh hơn và kiểm soát rủi ro một cách chủ động. AI tự chủ có thể giám sát môi trường liên tục, xác định các điểm yếu tiềm ẩn, đồng thời hỗ trợ các biện pháp bảo mật chủ động để giúp tổ chức giảm rủi ro và cải thiện khả năng phục hồi về mặt vận hành theo thời gian.

Một số trường hợp sử dụng cho thấy cách để con người và trợ lý phối hợp với nhau nhằm tăng cường bảo mật.

Các nhóm bảo mật thường phải xử lý nhiều cảnh báo hơn so với mức họ có thể điều tra theo cách thủ công nên việc ưu tiên là rất cần thiết để ứng phó sao cho hiệu quả.

Vai trò của trợ lý ảo:

• Bổ sung thông tin về mối đe dọa, ngữ cảnh của tài sản và dữ liệu về hành vi người dùng cho cảnh báo.
• Ưu tiên sự cố dựa trên cách tính điểm về độ tin cậy và rủi ro.
• Đề xuất các bước tiếp theo cho việc điều tra hoặc khắc phục.

Vai trò của nhà phân tích:

• Xem xét các sự cố có mức độ ưu tiên cao.
• Xác thực các kết luận và quyết định chuyển lên cấp cao hơn.
• Xử lý các cuộc điều tra phức tạp hoặc nhạy cảm.

Các nhóm bảo mật dựa vào một lượng lớn dữ liệu về mối đe dọa, từ đó gây khó cho việc nhanh chóng trích xuất thông tin chuyên sâu liên quan và thiết thực.

Vai trò của trợ lý ảo:

• Thu thập và tóm tắt thông tin về mối đe dọa từ nhiều nguồn.
• Hỗ trợ khả năng nhận thức tình huống theo thời gian thực và lập báo cáo nhanh.
• Tìm mối tương quan về hoạt động đe dọa giữa nhiều môi trường.

Vai trò của nhà phân tích:

• Diễn giải các xu hướng về mối đe doạ và rủi ro mang tính chiến lược.
• Xác thực mức độ liên quan và tác động của thông tin.
• Định hướng cách lập kế hoạch và ưu tiên ứng phó.

Để xác định những mối đe dọa tiềm ẩn hoặc mới nổi thì cần phân tích liên tục đối với các tập dữ liệu lớn và phức tạp.

Vai trò của trợ lý ảo:

• Tạo giả thuyết tìm kiếm và truy vấn các nguồn dữ liệu.
• Lặp lại đối với các tập dữ liệu lớn để xác định hoạt động đáng ngờ.
• Tìm kiếm liên tục trong nền để phát hiện các mối đe dọa mới nổi.

Vai trò của nhà phân tích:

• Xác thực các kết luận và xác định tác động đến doanh nghiệp.
• Điều tra hoạt động tấn công qua mạng tinh vi hoặc có chủ đích.
• Tinh chỉnh các chiến lược và mức độ ưu tiên về hoạt động tìm kiếm.

Để ứng phó với sự cố bảo mật thì cần điều phối nhanh giữa các hoạt động phát hiện, điều tra và kiềm chế.

Vai trò của trợ lý ảo:

• Tự động thu thập bằng chứng và ghi lại sự cố.
• Lập dòng thời gian và tóm tắt hoạt động tấn công qua mạng.
• Hoàn tất các hành động kiềm chế với sự phê duyệt của nhà phân tích.
• Giúp bảo vệ điểm cuối và tự động hóa quy trình khắc phục lỗ hổng.

Vai trò của nhà phân tích:

• Phê duyệt các hành động ứng phó có rủi ro cao.
• Giám sát các nỗ lực khắc phục và phục hồi.
• Điều phối hoạt động giao tiếp và xem xét sau sự cố.

Tổ chức phải xác định và ưu tiên các điểm yếu bảo mật trước khi tác nhân đe dọa lợi dụng những điểm yếu đó.

Vai trò của trợ lý ảo:

• Ưu tiên lỗ hổng dựa trên mức độ rủi ro và giá trị của các tài sản có nguy cơ.
• Xác định các điểm sơ hở trên môi trường danh tính, điểm cuối và đám mây.
• Đề xuất các lộ trình khắc phục và hành động giảm thiểu.

Vai trò của nhà phân tích:

• Xác định mức độ ưu tiên của biện pháp khắc phục dựa trên rủi ro đối với doanh nghiệp.
• Xác thực các hành động được đề xuất.
• Điều phối các nỗ lực vá lỗi và giảm thiểu rủi ro.

Việc giám sát hoạt động về danh tính rất quan trọng đối với việc phát hiện hành vi truy cập trái phép và ngăn chặn lạm dụng đặc quyền.

Vai trò của trợ lý ảo:

• Phát hiện các quy luật đăng nhập và truy cập bất thường.
• Xác định quyền nguy hiểm và rủi ro leo thang đặc quyền.
• Liên tục giám sát các mối đe dọa liên quan đến danh tính.

Vai trò của quản trị viên phụ trách về quyền truy cập và danh tính:

• Xem xét các sự kiện truy cập có rủi ro cao.
• Phê duyệt các thay đổi về chính sách hoặc quyền.
• Điều tra hoạt động xâm phạm tài khoản hoặc hoạt động nội bộ tiềm ẩn.

Các nhóm bảo mật phải liên tục tạo và tinh chỉnh logic phát hiện để bắt kịp các mối đe dọa đang thay đổi.

Vai trò của trợ lý ảo:

• Viết và thử nghiệm logic phát hiện.
• Xác thực các điểm thiếu sót về danh tính và phạm vi phát hiện.
• Đề xuất các điểm cải tiến cần điều chỉnh để giảm báo động giả.

Vai trò của nhà phân tích:

• Xem xét và phê duyệt các điểm cập nhật về mặt phát hiện.
• Điều chỉnh các quy trình phát hiện theo ưu tiên của tổ chức.
• Giám sát kiến trúc và chiến lược bảo mật dài hạn.

Để bảo vệ dữ liệu nhạy cảm thì cần liên tục giám sát, phân loại và thực thi chính sách bảo mật.

Vai trò của trợ lý ảo:

• Điều tra và ưu tiên các rủi ro từ nội bộ và rủi ro về việc ngăn mất dữ liệu.
• Tự động hóa việc phát hiện và phân tích rủi ro về dữ liệu nhạy cảm trong các môi trường.
• Xác định các trường hợp vi phạm chính sách và điểm thiếu sót về mặt tuân thủ.

Vai trò của quản trị viên bảo mật dữ liệu:

• Xem xét các sự kiện lộ dữ liệu có rủi ro cao.
• Xác định các yêu cầu về mặt tuân thủ và quản trị.
• Giám sát các quyết định khắc phục và thực thi chính sách.

AI tự chủ trong an ninh mạng mang lại giá trị lớn nhất khi giúp các nhóm phân tích dữ liệu, bổ sung thông tin cho cảnh báo, ứng phó với các lỗ hổng và mối đe dọa trong toàn bộ môi trường. Để làm điều này, các tổ chức dùng API để kết nối những trợ lý ảo bảo mật với các công cụ mà họ đang sử dụng, chẳng hạn như SOAR, phát hiện và phản hồi mở rộng (XDR), quản lý vị thế bảo mật trên đám mây (CSPM), quản lý truy cập và danh tính (IAM), quản lý sự kiện và thông tin bảo mật (SIEM), phát hiện điểm cuối và phản hồi (EDR) cùng giải pháp quản lý phiếu yêu cầu hỗ trợ. Nhờ đó, các hệ thống AI tự chủ có thể truy xuất thông tin, điều phối quy trình làm việc, kích hoạt hành động và cập nhật hệ thống theo thời gian thực.

Mặc dù quy trình tự động hóa giúp các nhóm tiết kiệm rất nhiều thời gian, nhưng họ vẫn cần duy trì khả năng kiểm soát và trách nhiệm giải trình nhằm tránh các hành động ngoài ý muốn. Các nhóm bảo mật thường yêu cầu nhà phân tích xem xét các quyết định có rủi ro cao, đồng thời cho phép mức tự chủ cao hơn đối với các hành động có rủi ro thấp hơn. Trong cả hai trường hợp thì đều cần thiết lập các biện pháp kiểm soát quyền truy cập và quản trị dữ liệu để đảm bảo AI chỉ tương tác với những hệ thống và dữ liệu được phê duyệt.

Những nhóm bảo mật đạt thành công lớn nhất với AI tự chủ đều triển khai các công cụ đo lường để đánh giá mức độ đáp ứng mục tiêu. Nhờ vậy, họ có được thông tin cần thiết để điều chỉnh và tinh chỉnh cách triển khai.

Các số liệu chính về mức độ thành công bao gồm:

Những dữ liệu giúp xác định hiệu quả của các hoạt động bảo mật bao gồm:

• MTTD và MTTR.
• Số lượng cảnh báo được phân loại hoặc đóng tự động.
• Mức giảm về tỷ lệ báo động giả.
• Thời gian cần dành ra để điều tra và giải quyết sự cố.

Những số liệu này giúp ban lãnh đạo hiểu sâu hơn xem AI tự chủ đang thay đổi cách các nhóm bảo mật sử dụng thời gian như thế nào:

• Số giờ mà nhà phân tích lấy lại được từ việc điều tra và phân loại thủ công.
• Tỷ lệ chuyển lên cấp cao hơn đối với các cảnh báo cần nhà phân tích can thiệp.
• Thời gian để những nhà phân tích mới làm quen với các quy trình làm việc có AI hỗ trợ.
• Mức giảm về các tác vụ lặp đi lặp lại hoặc có giá trị thấp.

Lãnh đạo cũng có thể biết các điểm cải tiến về mặt bảo mật tác động như thế nào đến toàn bộ tổ chức nhờ những số liệu như:

• Chi phí cho mỗi sự cố bảo mật.
• Phạm vi bao phủ đối với các môi trường, danh tính, điểm cuối và tài nguyên đám mây
• Mức độ sẵn sàng kiểm tra và vị thế tuân thủ tổng thể.
• Mức giảm về tổn thất do rủi ro vận hành theo thời gian.

Vì các hệ thống tự chủ vận hành với nhiều mức độ tự chủ khác nhau, việc quản trị, tính minh bạch, và hoạt động kiểm soát đóng vai trò thiết yếu trong việc triển khai sao cho an toàn.

• Trợ lý ảo tiềm ẩn và quy trình tự động hóa không được quản lý. Khi các hệ thống tự chủ mở rộng quy mô, tổ chức có thể vô tình tạo ra những trợ lý ảo không được quản lý hoặc bị trùng lặp. Nếu không có sự giám sát phù hợp, các “trợ lý ảo tiềm ẩn” này có thể thực hiện hành vi không nhất quán hoặc hành động trái phép.
• Ảo giác và báo động giả. Giống như các hệ thống AI khác, AI tự chủ có thể đưa ra kết luận sai hoặc diễn giải sai dữ liệu, từ đó có thể dẫn đến các cảnh báo không cần thiết hoặc các hành động sai nếu không được xác thực.
• Tự động hóa quá mức và mất khả năng giám sát. Việc phụ thuộc quá nhiều vào giải pháp tự động hóa có thể làm giảm khả năng nắm bắt quy trình ra quyết định, làm tăng nguy cơ thiếu ngữ cảnh hoặc thực hiện các hành động không phù hợp.
• Quyền riêng tư về dữ liệu và việc kiểm soát truy cập. Hệ thống AI tự chủ cần truy cập vào dữ liệu bảo mật nhạy cảm. Do đó, các biện pháp kiểm soát nghiêm ngặt đóng vai trò rất quan trọng đối với quyền, ranh giới dữ liệu và quyền truy cập có đặc quyền tối thiểu.
• Hiệu suất suy giảm của mô hình và hành vi thao túng của bên đối nghịch. Theo thời gian, hiệu suất của mô hình có thể suy giảm khi các môi trường thay đổi. Ngoài ra, kẻ tấn công qua mạng có thể cố thao túng dữ liệu đầu vào hoặc số liệu để tác động đến hành vi của trợ lý ảo.

• Khuôn khổ Kiểm soát Rủi ro đối với AI của NIST (AI RMF) đề ra hướng dẫn về cách kiểm soát các rủi ro liên quan đến AI trong toàn bộ vòng đời, bao gồm cả quản trị, ánh xạ, đo lường và quản lý.
• ISO/IEC 42001 đề ra các yêu cầu đối với một hệ thống quản lý AI, tập trung vào việc phát triển và sử dụng hệ thống AI một cách có trách nhiệm.
• Đạo luật của Liên minh châu Âu (EU) về AI đưa ra các yêu cầu về mặt tuân thủ và phân loại dựa trên rủi ro đối với những hệ thống AI hoạt động tại hoặc ảnh hưởng đến Liên minh châu Âu.
• Các quy định riêng theo từng ngành là các yêu cầu riêng cho một số ngành, chẳng hạn như Đạo luật về Trách nhiệm Giải trình và Cung cấp Thông tin Bảo hiểm Y tế (HIPAA) đối với việc bảo vệ dữ liệu chăm sóc sức khỏe, Tiêu chuẩn Bảo mật Dữ liệu trong Ngành Thẻ Thanh toán (PCI DSS) đối với việc bảo mật hoạt động thanh toán, cũng như Đạo luật Sarbanes-Oxley (SOX) đối với việc kiểm soát cách lập báo cáo tài chính.

Khi các nhóm bảo mật triển khai và mở rộng quy mô áp dụng AI tự chủ cho an ninh mạng trên toàn tổ chức, một chiến lược thấu đáo sẽ giúp cải thiện kết quả bảo mật, đồng thời duy trì tính minh bạch, trách nhiệm giải trình và niềm tin giữa các nhóm.

Các tổ chức thường áp dụng AI tự chủ theo từng giai đoạn có kiểm soát, với khởi điểm là những trường hợp sử dụng hỗ trợ có rủi ro thấp, rồi mới mở rộng sang các hành động có tác động cao hơn. Các tổ chức cũng cần ưu tiên tính minh bạch trong cách trợ lý ảo bảo mật đưa ra quyết định.

Các rào chắn được xác định rõ ràng giúp giới hạn hành vi của trợ lý ảo trong phạm vi an toàn và đúng như dự kiến. Để giảm rủi ro xảy ra hành vi bất ngờ, các nhóm xác định những hành động mà trợ lý ảo AI dành cho an ninh mạng có thể thực hiện một cách tự chủ, thiết lập quy trình phê duyệt cho các hoạt động vận hành có tác động mạnh hoặc nhạy cảm, cũng như đặt ngưỡng để xác định khi nào trợ lý ảo bảo mật cần chuyển lên cho nhà phân tích.

Cơ chế kiểm soát quyền truy cập dựa trên vai trò (RBAC) giúp giảm rủi ro xảy ra hoạt động ngoài ý muốn bằng cách chỉ cho phép trợ lý ảo truy cập vào những hệ thống, dữ liệu và hành động cần thiết để thực hiện chức năng cụ thể của mình. Do đó, những nguyên tắc về đặc quyền tối thiểu mà các nhóm quản lý danh tính áp dụng cho trợ lý ảo cũng giống như đối với con người.

Để duy trì khả năng nắm bắt hành vi của trợ lý ảo, các nhóm bảo mật ghi nhật ký và kiểm tra tất cả các hành động của trợ lý ảo, bao gồm cả quyết định, cách sử dụng công cụ và kết quả. Nhờ vậy, họ có thể điều tra sự cố, đáp ứng yêu cầu về mặt tuân thủ và phát hiện các vấn đề triển khai cần được tinh chỉnh.

Nhà phân tích có nhiều khả năng sẽ áp dụng AI tự chủ hơn nếu họ cảm thấy được cung cấp thông tin đầy đủ và có quyền kiểm soát. Tổ chức có thể tạo dựng niềm tin bằng cách đảm bảo rằng các đề xuất của trợ lý ảo đều rõ ràng và dễ hiểu. Họ cũng đạt được nhiều thành công hơn khi dùng AI để củng cố chứ không phải thay thế quy trình ra quyết định của nhà phân tích.

Trung tâm điều hành an ninh (SOC), nhóm CNTT và nhóm tuân thủ đều đóng vai trò trong việc triển khai AI tự chủ theo cách an toàn, hiệu quả và phù hợp với mức độ chấp nhận rủi ro của tổ chức. Một nhóm liên chức năng giúp tổ chức xác định các trường hợp sử dụng vận hành, quản lý cách tích hợp và hạ tầng cũng như đáp ứng yêu cầu theo quy định.

Việc xây dựng các quy trình làm việc tự chủ hoàn toàn, có thể áp dụng trên nhiều khía cạnh bảo mật là một quá trình gồm nhiều giai đoạn. Khi mức độ chín muồi về mặt vận hành của tổ chức tăng lên, họ cần cơ chế quản trị và giám sát mạnh hơn.

Ở giai đoạn sớm nhất, tổ chức dùng các kịch bản và quy trình làm việc được xác định trước để xử lý những tác vụ bảo mật lặp đi lặp lại.

Dấu hiệu của thành công:

• Hoàn thành các tác vụ thường nhật một cách nhất quán, chẳng hạn như bổ sung thông tin cho cảnh báo hoặc tạo phiếu yêu cầu hỗ trợ.
• Giảm công sức xử lý thủ công trong các quy trình làm việc có độ phức tạp thấp.
• Phụ thuộc vào các quy tắc và cẩm nang cố định.

Chỉ báo về mức độ sẵn sàng:

• Quy trình tích hợp giải pháp quản lý phiếu yêu cầu hỗ trợ, SIEM và SOAR vận hành ổn định.
• Các quy trình bảo mật được xác định rõ ràng và có thể áp dụng lại.
• Một lượng lớn các tác vụ lặp đi lặp lại của nhà phân tích.

Ở giai đoạn này, AI hỗ trợ nhà phân tích bằng cách cải thiện khả năng nắm bắt, tóm tắt và ra quyết định nhưng không thực hiện hành động trực tiếp.

Dấu hiệu của thành công:

• Điều tra nhanh hơn nhờ các bản tóm tắt và thông tin chuyên sâu do AI tạo ra.
• Cải thiện khả năng nắm rõ cảnh báo và bổ sung thông tin cho ngữ cảnh.
• Nhà phân tích vẫn chịu trách nhiệm hoàn toàn về các quyết định và hành động.

Chỉ báo về mức độ sẵn sàng:

• Quy trình chín muồi về dữ liệu và các số liệu được quy về một mối.
• Các quy trình đã được thiết lập cho hoạt động bảo mật.
• Cần hỗ trợ phân loại ưu tiên và điều tra nhanh hơn.

Ở giai đoạn này, AI tự chủ bắt đầu thực hiện các hành động giới hạn trong phạm vi rào chắn đã xác định, trong khi con người vẫn giữ quyền phê duyệt đối với các hoạt động vận hành có rủi ro cao hơn.

Dấu hiệu của thành công:

• Tự động thực hiện bước phân loại, bổ sung thông tin và khắc phục theo đề xuất.
• Giảm khối lượng công việc cho nhà phân tích đối với các tác vụ điều tra lặp đi lặp lại.
• Quy trình phê duyệt có con người giám sát đối với các hành động kiềm chế và khắc phục.

Chỉ báo về mức độ sẵn sàng:

• Biện pháp kiểm soát quyền truy cập và danh tính mạnh cho các hệ thống tự động hóa.
• Các quy trình làm việc được xác định rõ ràng cho việc phê duyệt và chuyển lên cấp cao hơn.
• Niềm tin vào quy trình tích hợp hệ thống và chất lượng dữ liệu.

Ở giai đoạn chín muồi nhất, AI tự chủ hoạt động ở nhiều khía cạnh, điều phối hành động mà không cần nhà phân tích can thiệp nhiều trong các ranh giới đã thiết lập. Điều này cho phép điều phối bảo mật toàn diện trên khắp tổ chức.

Dấu hiệu của thành công:

• Phát hiện, điều tra và ứng phó một cách tự chủ, liên tục trong nhiều môi trường.
• Điều phối ở nhiều khía cạnh giữa các hệ thống bảo mật, CNTT, danh tính và tuân thủ.
• Con người tập trung vào việc quản trị, lập chiến lược và xử lý ngoại lệ.

Chỉ báo về mức độ sẵn sàng:

• Khuôn khổ quản trị chín muồi cho AI và quy trình tự động hóa.
• Các số liệu có độ tin cậy cao và tính toàn vẹn dữ liệu trên nhiều hệ thống.
• Sự đồng bộ liên chức năng chặt chẽ giữa các nhóm bảo mật, CNTT và tuân thủ.
• Niềm tin đã được thiết lập vào việc ra quyết định tự động với khả năng kiểm tra và giám sát.

AI tự chủ vẫn còn ở giai đoạn đầu trong quá trình được áp dụng, nhưng một số xu hướng rõ ràng đang định hình cách loại AI này sẽ phát triển ở khía cạnh bảo mật.

• Mô phỏng kẻ tấn công theo cách tự chủ. Trợ lý ảo AI sẽ mô phỏng hành vi của bên đối nghịch ngày càng nhiều để liên tục thử nghiệm giải pháp phòng thủ, xác định điểm yếu và xác thực biện pháp kiểm soát bảo mật theo thời gian thực.
• Vòng lặp của trợ lý ảo. AI tự chủ cho hoạt động bảo mật sẽ vận hành theo kiểu ít bị ngắt quãng hơn và tự cải thiện nhiều hơn, cụ thể là trợ lý ảo nhận biết, hành động và học hỏi từ kết quả để tinh chỉnh khả năng phát hiện và ứng phó.
• Xung đột trên mạng giữa AI và AI. Khi kẻ tấn công qua mạng cũng áp dụng AI, các cuộc đối đầu trên mạng trong tương lai có thể bao gồm những hệ thống tự chủ mang tính phòng thủ và tấn công, cạnh tranh trực tiếp với nhau.
• Phòng thủ theo dự đoán. Thay vì phản ứng với sự cố, hệ thống tự chủ sẽ dự đoán mối đe dọa bằng cách phân tích quy luật, dữ liệu về mức rủi ro và hành vi của kẻ tấn công để ngăn chặn các cuộc tấn công qua mạng trước khi chúng xảy ra.
• Trợ lý ảo AI cộng tác. Nhiều trợ lý ảo chuyên biệt sẽ phối hợp với nhau về các tác vụ (ví dụ như phát hiện, điều tra, khắc phục và báo cáo) để tạo ra quy trình bảo mật dễ điều chỉnh quy mô hơn và dễ phục hồi hơn.
• Vai trò đang thay đổi của nhà phân tích. Nhà phân tích sẽ chuyển từ các tác vụ điều tra và ứng phó lặp đi lặp lại sang các trách nhiệm có giá trị cao hơn, chẳng hạn như giám sát trợ lý ảo, thiết kế chính sách và kiểm soát rủi ro mang tính chiến lược.

Các tổ chức có thể phát hiện, điều tra và ứng phó với các mối đe dọa trên tài sản kỹ thuật số của họ nhờ một nền tảng bảo mật hợp nhất, có AI hỗ trợ từ Microsoft. Trọng tâm là Microsoft Security Copilot – một giải pháp bảo mật có AI hỗ trợ, sử dụng ngôn ngữ tự nhiên, tạo điều kiện để nhà phân tích suy luận về sự cố, tóm tắt mối đe dọa và điều phối hành động ứng phó trong nhiều môi trường. Các trợ lý ảo tích hợp sẵn sẽ mở rộng các khả năng này trên những giải pháp Microsoft Security.

Các nhóm bảo mật thường cảm thấy choáng ngợp trước lượng cảnh báo, cách phân loại thủ công và những cuộc điều tra rời rạc. Trong Microsoft Defender XDR, AI tự chủ giúp ưu tiên các vấn đề có rủi ro cao, điều tra sự cố nhanh hơn và cải thiện hiệu suất ứng phó.

• Trợ lý ảo phân loại cảnh báo bảo mật – Ưu tiên cảnh báo để giảm nhiễu và giúp nhà phân tích tập trung xử lý các sự cố tiềm ẩn rủi ro cao một cách nhanh chóng hơn.
• Trợ lý ảo trình phân tích bảo mật – Điều tra sự cố, tìm mối tương quan giữa các tín hiệu và đề xuất hành động ứng phó để tinh gọn quy trình làm việc của SOC.
• Trợ lý ảo Tìm kiếm mối đe dọa – Tìm kiếm trong nhiều môi trường để phát hiện các mối đe dọa tiềm ẩn, hành vi đáng ngờ và quy luật tấn công mới nổi.
• Trợ lý ảo Phát hiện mối đe dọa động – Liên tục phân tích hoạt động và điều chỉnh logic phát hiện để xác định các mối đe dọa và điểm bất thường đang thay đổi.
• Trợ lý ảo tóm tắt thông tin về mối đe dọa – Tóm tắt thông tin về mối đe dọa thành các thông tin chuyên sâu thiết thực để các nhóm luôn phòng bị sẵn trước những rủi ro mới nổi.

Những trợ lý ảo này phối hợp cùng nhau để giảm công sức điều tra thủ công và đẩy nhanh tiến độ ứng phó sự cố đối với các khối lượng công việc trên đám mây, email, danh tính và điểm cuối.

Trong Microsoft Sentinel, Security Copilot giúp nhà phân tích chuyển từ việc điều tra thủ công sang quy trình làm việc bằng ngôn ngữ tự nhiên dựa trên nhóm yêu cầu. Nhà phân tích có thể tạo KQL, tóm tắt sự cố, bổ sung thông tin cho thực thể, phân tích người dùng và thiết bị, cũng như tự động hóa các bước điều tra thông qua Logic Apps và nhóm yêu cầu.

Trợ lý ảo báo cáo sự cố tùy chỉnh cho Sentinel có thể trích xuất kết luận điều tra, thực thể, thông tin chuyên sâu và các bước khắc phục từ sự cố. Nhóm yêu cầu cũng có thể tự động hóa quy trình phân tích người dùng và thêm kết luận vào thẳng nhật ký hoạt động của sự cố.

Các chức năng này giúp giảm công sức viết truy vấn thủ công, cải thiện tính nhất quán của quá trình điều tra và tiết kiệm thời gian cho nhà phân tích bằng cách tự động hóa các tác vụ có thể lặp lại.

Trong Microsoft Purview, Security Copilot giúp các nhóm bảo vệ và quản trị dữ liệu ở khía cạnh Quản lý vị thế bảo mật dữ liệu, Ngăn mất dữ liệu, Quản lý rủi ro nội bộ, Khám phá điện tử, Kiểm tra, và Tuân thủ về Giao tiếp.

• Trợ lý ảo Phân loại bảo mật dữ liệu – Ưu tiên các cảnh báo về DLP và Rủi ro từ nội bộ, giải thích ngữ cảnh của rủi ro và có thể khởi tạo quy trình khắc phục với chủ sở hữu dữ liệu.
• Trợ lý ảo Vị thế bảo mật dữ liệu – Phát hiện dữ liệu nhạy cảm, xác định rủi ro tiềm ẩn và thông tin xác thực bị lộ, cải thiện việc gắn nhãn theo mức nhạy cảm và tạo bản tóm tắt mà cấp quản lý có thể dùng ngay.

Nhờ các trợ lý ảo này, nhóm bảo mật có thể giảm công sức phân loại thủ công, ưu tiên những rủi ro quan trọng một cách nhanh chóng hơn, cũng như tăng cường hoạt động tuân thủ và bảo mật dữ liệu.

Trong Microsoft Entra, Security Copilot giúp các nhóm điều tra người dùng có rủi ro, lần đăng nhập bất thường, quyền truy cập đặc quyền và những mối đe dọa dựa trên danh tính. Copilot có thể tóm tắt ngữ cảnh của danh tính, giải thích tín hiệu rủi ro và đề xuất các hành động như thu hồi phiên, xem xét quyền truy cập hoặc tinh chỉnh chính sách Truy cập có điều kiện.

Các chức năng bao gồm trợ lý ảo quản lý quyền truy cập và danh tính cũng như ID trợ lý ảo Microsoft Entra, nhằm tạo điều kiện để các tổ chức đăng ký, quản lý và quản trị danh tính của trợ lý ảo AI với khả năng kiểm soát bảo vệ danh tính, quản trị quyền truy cập và quản lý vòng đời.

Với những khả năng này, tổ chức có thể giảm rủi ro về danh tính và áp dụng nguyên tắc Zero Trust cho cả danh tính của AI và con người.

Trong Microsoft Intune, Security Copilot giúp các nhóm CNTT và điểm cuối nắm rõ tình trạng tuân thủ của thiết bị, độ sai lệch cấu hình, mức rủi ro của lỗ hổng và nhu cầu khắc phục. Copilot có thể tóm tắt rủi ro của thiết bị, giải thích các vấn đề về việc không tuân thủ, đề xuất những bước tiếp theo và giúp các nhóm ứng phó nhanh hơn.

Các trợ lý ảo quản lý điểm cuối giúp tự động hóa việc kiểm tra tuân thủ, điều tra sự cố của thiết bị và hướng dẫn khắc phục trên các điểm cuối được quản lý.

Những chức năng này giúp giảm công sức điều tra điểm cuối thủ công, cải thiện hoạt động tuân thủ và khắc phục điểm thiếu sót trong cấu hình một cách nhanh chóng hơn.

Microsoft Security Copilot và các trợ lý ảo tích hợp sẵn cùng nhau phối hợp để giúp các tổ chức chuyển từ hoạt động bảo mật thủ công, phản ứng một cách thụ động sang biện pháp phòng thủ mang tính thích ứng, có AI hỗ trợ, nhằm cải thiện khả năng bảo vệ, tốc độ và quy mô trong toàn bộ vòng đời bảo mật.