«Если злоумышленники находят уязвимости с помощью искусственного интеллекта быстрее, смогут ли наши процессы обновления и установки патчей угнаться за этой скоростью?» Этот вопрос сегодня стоит на повестке не только ИТ-команд, но и комитетов по рискам и советов директоров.
У этой проблемы есть актуальное подтверждение. В ежеквартальном исследовании возникающих рисков, которое Gartner опубликовал 25 августа 2026 года, обнаружение киберуязвимостей с помощью ИИ вышло на первый план как наиболее критичный возникающий риск, с которым организации сталкивались во втором квартале 2026 года. Исследование проводилось в апреле и мае 2026 года среди 316 топ-менеджеров и риск-менеджеров из разных отраслей и регионов.
В этой статье мы рассматриваем, о чём говорит этот риск, как государственные органы перестраивают приоритизацию установки патчей и какие шаги могут предпринять организации, чтобы ускорить управление патчами. Что делать после того, как нарушение уже произошло, — отдельная тема; мы разбирали её в нашей статье о кибернарушениях и реагировании на инциденты. Здесь же в центре внимания — скорость закрытия уязвимости до наступления нарушения.
О чём говорит этот риск?
По оценке Gartner, ИИ делает обнаружение уязвимостей одновременно более эффективным и более доступным, и традиционным подходам к управлению рисками становится труднее выдерживать этот темп. Если управление (governance), операции по обеспечению безопасности и способность устранять уязвимости (remediation) не будут развиваться синхронно с этими изменениями, обнаружение уязвимостей с помощью ИИ, как отмечается, может обогнать корпоративную защиту.
Gartner предлагает четыре пути, чтобы организации обновили свои допущения относительно этого риска:
- скорректировать оценки влияния рисков с учётом растущей подверженности;
- обновить риск-аппетит с учётом непрерывного характера обнаружения уязвимостей;
- усилить контроль над третьими сторонами, чтобы поставщики не приносили новых рисков;
- ускорить стратегии реагирования на киберугрозы ради более быстрой установки патчей и автоматического устранения уязвимостей.
Договорные аспекты и вопросы уведомления на стороне поставщика мы разбирали в нашей статье об утечке данных по вине поставщика. Эта статья посвящена четвёртому пункту — скорости установки патчей.
Как государственные органы перестраивают приоритеты установки патчей?
Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) 10 июня 2026 года опубликовало обязательную для федеральных ведомств директиву BOD 26-04. В обосновании директивы подчёркивается, что использование злоумышленниками ИИ может ещё больше сократить время на реагирование между выпуском патча и эксплуатацией уязвимости. Директива отменяет два прежних документа (BOD 19-02 и BOD 22-01) и объединяет их в рамках единого риск-ориентированного подхода.
Директива обязательна только для федеральных ведомств США и не создаёт обязательств для турецких компаний. Однако логика приоритизации предлагает чёткую модель, которую каждая организация может адаптировать под собственный процесс. Насколько срочно нужно закрыть уязвимость, определяется по четырём вопросам:
- Доступен ли актив из интернета?
- Входит ли уязвимость в каталог CISA «известных эксплуатируемых уязвимостей» (KEV)?
- Может ли злоумышленник автоматизировать все этапы эксплуатации?
- Получает ли злоумышленник после эксплуатации частичный или полный контроль над системой?
В зависимости от ответов на эти вопросы сроки заметно различаются. Для уязвимости, доступной из интернета, включённой в каталог и дающей полный контроль, срок составляет 3 календарных дня; кроме того, требуется предварительная криминалистическая проверка на предмет компрометации системы. На другом конце спектра уязвимости, недоступные из интернета, отсутствующие в каталоге и не поддающиеся автоматизации, могут быть устранены при ближайшем плановом крупном обновлении. Между этими полюсами — ступени в 14 и 60 дней.
Наблюдение, лежащее в основе этого подхода, содержалось и на странице BOD 22-01, которую CISA опубликовало в 2021 году. Согласно тогдашнему анализу, менее 4% всех уязвимостей, получивших идентификатор CVE, эксплуатировались публично; при этом из числа эксплуатируемых 42% были использованы в день раскрытия, 50% — в течение двух дней, а 75% — в течение 28 дней. Иными словами, вместо того чтобы закрывать каждую уязвимость с одинаковой срочностью, нужно очень быстро закрывать те, которые действительно эксплуатируются.
Правовые рамки в Турции
Статья 7 Закона № 7545 о кибербезопасности (Siber Güvenlik Kanunu), опубликованного в Resmî Gazete (Официальная газета Турции) 19 марта 2025 года, возлагает на тех, кто подпадает под действие закона и при помощи информационных систем оказывает услуги, собирает или обрабатывает данные, обязанность незамедлительно уведомлять Siber Güvenlik Başkanlığı (Управление по кибербезопасности Турции) об уязвимостях или киберинцидентах, выявленных в области, где они оказывают услуги. Как сфера действия закона применяется к вашей организации, следует оценить вместе с юридической службой. Однако фиксация того, кто и какое решение принял с момента выявления уязвимости, — общая потребность и для уведомления, и для устранения.
Практический путь к ускорению управления патчами
Национальный институт стандартов и технологий США (NIST) в руководстве SP 800-40 Rev. 4 определяет корпоративное управление патчами как «профилактическое обслуживание». Один из основных принципов руководства: проводить отдельную оценку риска для каждой новой уязвимости невозможно; решение нужно принимать быстро, на основе заранее подготовленных планов. Другой принцип: из-за числа активов, программ и патчей удержать темп установки патчей без автоматизации нельзя. Исходя из этих положений, приводим контрольный список:
- Поддерживайте инвентаризацию в актуальном состоянии. Не зная, какое ПО какой версии где работает и какие активы доступны из интернета, невозможно расставить приоритеты. NIST рекомендует при обновлении инвентаризации по возможности опираться на автоматизацию.
- Разделите активы на группы обслуживания. Группировка активов со схожими характеристиками и схожими потребностями в обслуживании позволяет составить один план для каждой группы.
- Заранее пропишите четыре сценария. NIST рекомендует определить отдельные сценарии для плановых патчей, экстренных патчей, срочных временных мер до выхода патча и активов, которые невозможно пропатчить. Откладывание плановых патчей усугубляет и сам кризис, поскольку в экстренной ситуации сначала приходится устанавливать накопившиеся патчи.
- Закрепите правило приоритизации в письменном виде. Четыре вопроса CISA (доступность из интернета, известная эксплуатация, возможность автоматизации, уровень контроля) — хорошая отправная точка для внутренней таблицы приоритетов. Сроки определите в соответствии с собственным риск-аппетитом и, как рекомендует Gartner, обновляйте и сам риск-аппетит.
- Определите не только патч, но и все варианты реагирования на риск. NIST называет четыре варианта: принятие, снижение (патч, отключение функции, сегментация сети), передача (например, страхование или использование SaaS, где патчи берёт на себя поставщик) и избежание (удаление ПО, вывод актива из эксплуатации). Если установить патч сразу невозможно, решение о временной мере также следует привязать к определённому сроку.
- Автоматизируйте развёртывание и проверку. Убедиться, что патч установлен и уязвимость закрыта, так же важно, как запустить установку. Если отчётность не автоматизирована, целевые сроки невозможно измерить.
- Проверьте договоры с поставщиками и облачными провайдерами. Письменно уточните, в какие сроки провайдер закрывает уязвимости в собственной инфраструктуре и как уведомляет вас об этом.
- Регулярно отчитывайтесь перед руководством. Среднее время закрытия критических уязвимостей, число уязвимостей, превысивших установленный срок, и перечень активов, которые невозможно пропатчить, — простые показатели, по которым совет директоров может отслеживать риск.
Заключение
По мере того как ИИ ускоряет обнаружение уязвимостей, время между обнаружением уязвимости и её эксплуатацией может сокращаться. Gartner называет это наиболее критичным возникающим риском квартала, а агентство CISA перестроило для федеральных ведомств приоритеты установки патчей по таким признакам, как доступность из интернета, известная эксплуатация, автоматизация и уровень контроля. Урок для организаций — не в том, чтобы пытаться закрывать каждую уязвимость с одинаковой скоростью, а в том, чтобы по заранее написанному правилу за считаные дни закрывать действительно опасные.
С точки зрения Orient Global, взвешенным первым шагом может стать составление инвентаря активов, доступных из интернета, и подготовка для них письменной таблицы приоритетов и сроков.
Эта статья носит общий информационный характер и не заменяет юридическую консультацию.
#interimmanagement #forwarddeployedengineering