I skuggan av Mythos – därför är det grundläggande dataskyddet viktigare än någonsin

I det här blogginlägget ger en av våra informations- och it-säkerhetsspecialister ett dataskyddsperspektiv på det förändrade hotlandskapet.

Begreppet “Mythos” har fått spridning i analyser av AI och cybersäkerhet, och syftar ursprungligen på en avancerad AI-modell utvecklad av det amerikanska företaget Anthropic. Modellen har uppmärksammats för sin förmåga att identifiera sårbarheter och genomföra komplexa angreppsscenarier med hög grad av automatisering.

Samtidigt används “Mythos” i ett vidare sammanhang för att beskriva en framväxande typ av AI-drivna hot, där flera sådana förmågor kombineras i mer eller mindre autonoma angreppssystem. Även om tekniken fortfarande är under utveckling illustrerar begreppet en tydlig riktning i hotlandskapet – där angrepp blir snabbare, mer skalbara och svårare att upptäcka.

Lösningen ligger i grundläggande informations- och it-säkerhetsskydd

Generativ AI förändrar hotlandskapet i grunden, vilket väcker frågor om etablerade säkerhetsmetoder fortfarande räcker till. Även när organisationen ställs inför avancerade hot visar det sig dock ofta att lösningen ligger i ett starkt grundläggande informations- och it-säkerhetsskydd. Genom att automatisera så mycket som möjligt i det dagliga informationssäkerhetsarbetet kan organisationen skapa det utrymme som krävs för att stärka resiliensen mot den nya generationens AI-drivna attacker.

Enligt Center for Internet Security (CIS) kan en organisation skydda sig mot cirka 90 procent av de vanligaste cyberattackerna genom att implementera ett antal prioriterade säkerhetsåtgärder (CIS CDM v2.0, 2024). Relevansen i dessa siffror prövas nu mot en ny våg av autonoma AI-agenter och de sofistikerade hot som beskrivs i rapporteringen om så kallade Mythos-kapaciteter. Det går att konstatera att de grundläggande skydden fortfarande är effektiva, men marginalerna för att brista i genomförandet har i princip raderats ut.

Maskinhastighet kräver maskinförsvar

Den tekniska utvecklingen pekar mot en era där angrepp sker i så kallad maskinhastighet. Analyser från Cloud Security Alliance (CSA) gällande Mythos-beredskap understryker att AI-drivna hot numera kan identifiera sårbarheter och genomföra intrång på bråkdelar av den tid det tidigare tog en mänsklig aktör (CSA, Mythos Ready v.95, 2026).

Detta ställer krav på att organisationens dataskydd utvecklas i samma takt som hoten. Dataskyddsförordningen, GDPR, föreskriver att lämpliga tekniska och organisatoriska åtgärder ska vidtas för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken (GDPR Artikel 32). När risken accelererar genom AI-teknik behöver även de skyddande åtgärderna automatiseras för att bibehålla en adekvat skyddsnivå.

Data är data

Ur ett systemperspektiv är angreppsytan densamma oavsett om målet är immateriella rättigheter eller personuppgifter. I den tekniska miljön består all data av ettor och nollor som kräver likvärdiga tekniska skyddsåtgärder oavsett innehåll. Data är data, det är juridiken som avgör om det är personuppgifter eller inte.

Organisationer måste ha kontroll på sina digitala flöden, annars försvåras möjligheten att efterleva kraven på både datastyrning och cybersäkerhet.

Från grundläggande dataskydd till resiliens

Siffran på 90 procents skyddseffekt utgör det fundament som tillåter en organisation att fokusera på mer komplexa hot. Genom att etablera ett gott grundläggande dataskydd filtreras en betydande del av hotbilden bort, vilket frigör resurser för att bygga resiliens mot mer avancerade angrepp. Detta innefattar bland annat följande:

1. Identifiering: En kontinuerlig inventering av organisationens it-miljö och digitala tillgångar är en förutsättning för allt skyddsarbete. Man måste veta vad man har för att kunna ge det ett lämpligt skydd.
2. Sårbarhetshantering: Automatiserade processer har alltid varit en viktig pusselbit i informationssäkerhet och dataskyddet. Nu kommer det att vara en förutsättning för att möta den hastighet med vilken AI-drivna verktyg kan exploatera svagheter.
3. Detektering och respons: Organisationer behöver snabbt kunna upptäcka, hantera och begränsa incidenter för att minska skada. Att snabbt kunna isolera system vid en incident samt aktivera en kontinuitetshanteringsprocess för att kunna återgå till normal verksamhet, mitigera dataläckaget kan bli avgörande för en organisations överlevnad.

Sammanfattning

Att värna individens integritet i en tid av generativ AI kräver en robust informationssäkerhet och ett starkt dataskydd. Genom att säkerställa att den grundläggande cyberhygienen är på plats, skapas den nödvändiga beredskapen för att möta framtidens hotlandskap. 

Cybersäkerhet är därmed inte enbart en teknisk fråga, utan en grundläggande förutsättning för att upprätthålla förtroendet för den digitala hanteringen av personuppgifter.

Andreas Majunie, it- och informationssäkerhetsspecialist på IMY