Бизнесингизда минглаб муаммо бор. Лекин ҳақиқатда фақат 3 таси муҳим — қайсилари?

Bu raqam seni qo'rqitishi kerak (lekin boshqa sababdan)

Senga bir son aytaman: 974. Microsoft shu sentyabrda bir kunda tuzatgan xavfsizlik zaifliklarining soni. Ulardan 100 dan ortig'i muhim deb belgilangan. Kompaniya 2026-yilda allaqachon 2700 dan ortiq kamolni yamaxladi, va yilning uch oyi hali qolmagan.

Ammo mendi tunda uyg'otadigan narsa boshqacha: shu ikkita sentyabr zaifligi — yamaxlar paydo bo'lishidan oldin hujumchilar tomonidan foydalanilayotgan edi. Va eng qiziqi — hech biri "kritik" deb baholanmagan. Ikkalasi ham "muhim" deb yozilgan.

Biri Windows Update Stack'da yashiringan edi. Ikkinchisi Advanced Local Procedure Call deb ataladigan narsada. Ikkalasi ham allaqachon kompyuteringizda bo'lgan hujumchiga o'zini to'liq admin qilishga ruxsat beradi. Va agar siz Microsoftning xavf darajasi bo'yicha nimani birinchi olishni hal qilayotgan bo'lsangiz — ikkalasini ham pastga surishingiz mumkin edi.

Yaxshi, asosiy sabab nima? Bu kuniga mingta yamax olishga qodir ekanligingizni tekshirish emas. Ko'pchilik kichik bizneslar buni qila olmaydi — to'g'risi. Savol boshqa va juda oddiy: Sen o'zida nima borligini bilasanmi?

---

Nima uchun inboxingiz yamaxlar bilan to'ldi

Meni hayratga solgan narsa — bu tendentsiya haqida birinchi marta o'qiganimda. Dasturlar yomonroq bo'layotgani yo'q. Bu xatolar developerlar dangasa bo'lib qolgani uchun paydo bo'lmagan. Ko'pchiligi yillar davomida — ba'zilari hatto o'n yillar davomida — kod ichida yotgan.

Nima o'zgardi? Sun'iy intellekt.

Microsoft, Google, Adobe, Cisco, Mozilla va Oracle — barchasi xavfsizlik kamchiliklarini qidirish uchun AI vositalaridan foydalanmoqda. Va ular odam tadqiqotchilari hech qachon qila olmaydigan tezlikda topmoqda. Google'ning AI tizimi ikkita Chrome versiyasida mingdan ortiq xavfsizlik xatosini tuzatdi — oldingi ikki yilning yig'indisidan ko'proq.

Zero Day Initiative'dan Dustin Childs buni "yangi normal" deb atadi, va rostini aytsam — to'g'ri. Bir necha yil oldin normal deb hisoblagan raqamlarga qaytishni kutmang.

Bu yomon yangilikmi? Ko'pchilik uchun yo'q. Yaxshi odamlar tomonidan topilayotgan va tuzilayotgan ko'proq teshiklar — bu g'alaba. Yamaxlar oqimi hujumlar oqimi bilan mos kelmayapti — kamida hozircha. Ammo muammo shundaki: biror narsa qurollanib qolganda, zaiflik oshkor qilinganidan hujumchilar foydalanishni boshlaguncha bo'lgan vaqt oralig'i qisqarib boradi. Bu oralik ilgari senga yamaxlash uchun vaqt berar edi. Endi esa qahvani tugatishga ham yetmaydi.

---

Hech kim haqida gapirmaydigan ko'rinish muammosi

Tasavvur qil. Yamax Seshanba (yoki Microsoft oylik yig'masini tashlashni qaror qilgan kun). Boshqaruv panelingizni ochsangiz — 50 ta yangilanish kutib turibdi. Balki 100 ta. Balki undan ko'proq. Sening strategiyang nima?

Aksariyat kichik bizneslar kabi bo'lsang — ehtimol kritiklardan boshlaysan, keyin pastga tushasansan va omadga umid qilasiz. Balki hammasini avtoyangilashga qo'yasan va kun tartibidan olib tashlaysan.

Muammo shundaki: kritik "albatta senga zarar yetkazadi" degani emas va muhim "ahamiyatsiz" degani ham emas.

Windows Server'dagi DNS zaifligi Windows Server ishlatadigan odam uchun halokatli. Agar ishlatmasa — umuman tegishli emas. Ammo sen Windows Server ishlatayotganini bilmasang — va rostini aytsam, qancha kichik biznes egasi tekshirmasdan javob bera oladi — xavfsizlik o'yinini ko'r bo'lib o'ynayapsan.

Ko'pchilik kichik bizneslar bilan gaplashganimda aniq inventarizatsiya yo'q. Nechta noutbuk aylanmoqda? Qaysi biri hali xavfsizlik yangilanishlari olmoqda va qaysi biri 2017-yildan beri qo'llab-quvvatlanmaydigan operatsion tizimda ishlayapti? Qaysi server dasturlari ishlamoqda va oxirgi marta qachon tekshirilgan? Kompaniya emailiga kirish huquqi bo'lgan qandaydir qadimgi smartfonlar yo'lganda yo'qmi?

Yamaxlar kam bo'lganida, noaniq qamrov qoniqarli edi. Taxminlar bilan yashash mumkin edi, chunki raqamlar shunchalik kichik ediki, umumiy yangi tutib turish amalda to'liq yangi tutib turishga yetarli edi.

Oyiga mingta tuzatma bo'lganda, taxmin ishlamaydi. O'lchamagan xashaqni saralash mumkin emas.

---

Hech kim haqida gapirishni xohlamaydigan inventarizatsiya

Mana bu nojo'ya yechim: ro'yxat tuz.

Bilaman, bilaman. Bu cybersecurity'dagi superqahramonlik maskasi kabi ko'rinmaydi. Ammo eshit.

Aktiv inventarizatsiyasi senga zerikarli tuyuladi, toki bir narsani anglab yetmaguningcha. U boshqarib bo'lmaydigan sonni (bu oyda 974 ta yamax!) sening aniq sozlamalaringga tegishli uchtaga aylantiradi. Har bir boshqa xavfsizlik qarorini arzonroq qiladi, chunki endi taxmin qilmayapsan.

Buning uchun murakkab vosita kerak emas. Oddiydan boshla. Qaysi qurilmalar tarmoqqa ulangan? Ularda qaysi dasturlar ishlaydi? Haqiqatan ishlatiladimi yoki shunchaki o'rnatilgan va unutilganmi? "Oddiy" deganimda, rostini aytaman. Jadval yetarli. Hujjatlashtirilgan ofis aylanma yetarli. Muhimi — uni haqiqatan qil va o'zgarish bo'lganda yangila.

Bu yangi haqiqatga yaxshi moslashadigan bizneslar — eng tez yamaxlaydiganlar emas. Eng yaxshilar — oddiy savolga javob beradiganlar: Nima ishlatamiz va qayerda turibdi?

---

Sening AI vositalaring ham hujum sathiga kiradi

Senga garov qilib aytaman — bu haqda o'ylab ko'rmagansan: AI yordamchilaring — bu dastur. Dasturlarda kamchiliklar bo'ladi. Kamchiliklaridan foydalanish mumkin.

Qaysi vositalar kirish huquqiga ega ekanligini o'ylab ko'r. Inboxingizga, fayllaringizga, mijozlar ma'lumotlar bazangizga kirish huquqi bor copilot — bu hisoblar jadvalidan butunlay boshqa xavf profili. Bu vositalar emaillarini o'qiy oladi, o'rniga javoblar yozishi mumkin va tobora ko'proq — topgan narsalari asosida harakat qilishi mumkin.

Kichik bizneslar AI vositalarini deyarli o'sib-unchog'li qabul qilgan. Bir kishi foydali brauzer kengaytmasi o'rnatgan. Bir kishi uchrashuv eslatmalarini kompaniya kalendariga ulagan. Bir kishi kunlik ishni tejash uchun yordamchiga umumiy papkaga kirish berga.

Har bir qaror o'sha paytda mukammal ma'noli edi.

Orqada qolgan narsa — buning ro'yxatda bo'lmasligi. Ko'pchilik biznes egalaridan so'rasangiz — kompaniyangizda qanday AI vositalari ishlatiladi va ular qanday ma'lumotlarga kirishi mumkin — ehtimol o'ylab qoladi.

Bu shadow AI va bu — sening nomingdagi ko'rinmaslik teshigi.

Yechim — to'satdan AI vositalarini taqiqlash va panikaga tushish emas — ba'zilari haqiqatan foydali va raqobatchilaring ehtimol allaqachon ishlatmoqda. Yechim — ularni shu zerikarli jadvalga qo'shish. Qaysi vositalar qayerga ulangan? Ular nima ko'radi?

---

Bu senga nima degani

Seni barchasini amaliy bir narsa bilan yakunlayman.

Yamaxlar oqimi yo'qolmaydi. AI yordamida zaifliklarni topish — bu qoladi va bu aslida ko'proq yaxshi yangilik — avvalgi kabi ko'p teshiklar bekilmoqda. Ammo kichik bizneslarning xavfsizlikka yondashuvini o'zgartiradi.

Bu orqali hajm bo'yicha yamaxlab chiqish mumkin emas. Har bir xavfsizlik byulletenini o'qib, barchasi bo'yicha bilimli qaror qabul qilish mumkin emas. Kunlarda yetarli vaqt yo'q, va rostini aytsam, ko'pchilik xavfsizlik tadqiqotchisi emas.

Nima qila olasan — nima egaligingni bilishni jiddiy olish. Aktiv inventarizatsiyasini yarat. Murakkab bo'lishi shart emas. Faqat mavjud bo'lishi kerak.

Nima ishlatayotganingni bilganingdan so'ng — yamaxlar oqimi birdan boshqariladigan maydonga aylanadi. Tegishli bo'lmagan zaifliklarni e'tiborsiz qoldirish va haqiqatan tegishlilariga e'tibor qaratish mumkin.

Ko'rmagan narsani yamaxlab bo'lmaydi. Bu cybersecurity'dagi eng qadimgi maslahat va somehow hozirgi kunda undan ham muhimroq bo'lmagan.

Xashaqlar kattalashmoqda. Bu degani — ignorallaring qayerdaligini bilish muammolari hech qachon bunday yuqori bo'lmagan.

Etiketlar ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']