ФСТЭК России обновила Банк данных угроз безопасности информации
Регулятор добавил подраздел «Угрозы безопасности информации систем ИИ»: в БДУ появилось новое описание угроз, а ряд старых угроз из области ИИ (УБИ.218-222) признаны утратившими актуальность. Заместитель департамента по консалтингу и аудиту iTPROTECT Алёна Лукашева изучила изменения и прокомментировала, как они повлияют на разработчиков и пользователей ИИ-решений или систем, содержащих такие модули.
ФСТЭК формализовала угрозы, связанные с:
Напомним, составление модели угроз является обязательным при защите ПДн, КИИ, ГИС и иных информационных систем.
Нужна консультация по соответствию требованиям? Напишите нам, мы поможем разобраться.
ФСТЭК формализовала угрозы, связанные с:
- кражей модели машинного обучения и обучающих данных,
- отравлением обучающих выборок и модификацией весов модели (LoRA, RAG и т.п.),
- атаками через запросы к API/агентам (получение конфиденциальной информации, искажение поведения модели),
- отказом в обслуживании систем ИИ (в т.ч. через токены/квоты).
- угрозы в инфраструктуре разработчика — связаны с разработкой и обучением ИИ-систем,
- угрозы в инфраструктуре оператора системы — реализуются на этапе эксплуатации ИИ-систем.
Появление отдельного раздела по ИИ в БДУ означает, что в системах с использованием искусственного интеллекта необходимо пересмотреть модель угроз. Теперь при построении модели необходимо дополнительно опираться на специализированный раздел по ИИ.
Для таких систем модель, обучающие данные, RAG/LoRA, системные промпты и агенты следует рассматривать как самостоятельные объекты воздействия для реализации угроз. Меры защиты теперь логично выбирать с учётом именно ИИ-специфичных сценариев атак, а не только общих инфраструктурных угроз.
Для таких систем модель, обучающие данные, RAG/LoRA, системные промпты и агенты следует рассматривать как самостоятельные объекты воздействия для реализации угроз. Меры защиты теперь логично выбирать с учётом именно ИИ-специфичных сценариев атак, а не только общих инфраструктурных угроз.
Алёна Лукашева
Заместитель руководителя департамента консалтинга и аудита iTPROTECT
Напомним, составление модели угроз является обязательным при защите ПДн, КИИ, ГИС и иных информационных систем.
Нужна консультация по соответствию требованиям? Напишите нам, мы поможем разобраться.
Хотите получать наши новости?
