AI in Resilience Framework - фреймворк по устойчивости организаций в эпоху ИИ

Disaster Recovery Journal выпустил первую версию The AI in Resilience Framework v1.0. Документ рассматривает ИИ не как технологию саму по себе, а с точки зрения организационной и операционной устойчивости.

В основе фреймворка две связанные задачи:

- AI for Resilience - как использовать ИИ для повышения устойчивости
- Resilience for AI - как управлять новыми рисками, зависимостями и сценариями отказа, которые создают AI-системы

Фреймворк построен вокруг трех направлений.

1. GOVERN - управление

- ответственность за действия AI-систем
- human-in-the-loop
- аудит и трассируемость решений
- регулирование, стандарты, прозрачность и доверие

2. DEFEND - защита

- AI-assisted атаки и социальная инженерия
- deepfake и synthetic identity
- model drift и poisoning
- зависимости от внешних моделей и AI-провайдеров
- автономные AI-агенты как отдельный класс инцидентов

Особенно важна идея о том, что ошибка автономного агента может масштабироваться с машинной скоростью и привести к большому инциденту еще до вмешательства человека.

3. APPLY - применение

ИИ предлагается использовать для:

- BIA и анализа зависимостей
- оценки рисков
- подготовки и актуализации планов
- сценариев учений
- обнаружения аномалий
- реагирования и восстановления
- кризисного управления и коммуникаций

При этом критические решения не должны полностью выводиться из-под человеческого контроля.

Модель зрелости AI Resilience

Документ предлагает пять уровней:

1. Ad Hoc - ИИ не контролируется системно
2. Aware - риски осознаются, но работа реактивная
3. Defined - процессы и ответственность определены
4. Integrated - AI-риски и возможности встроены в программу устойчивости
5. Adaptive - процессы постоянно тестируются и улучшаются

Оценка проводится по пяти направлениям: Governance, Threat Defense, Lifecycle Application, Tooling и Workforce.

Фреймворк дополняет существующие подходы, включая ISO/IEC 42001, NIST AI RMF, ISO 22301 и EU AI Act.

Отдельно полезна практическая часть - 90-дневный план: оценить текущую зрелость, определить основные AI-риски и зависимости, выбрать действия по Govern, Defend и Apply, затем повторно оценить прогресс.

Для ИБ особенно полезны вопросы, которые документ переводит в практическую плоскость:

- какие процессы уже зависят от ИИ
- кто отвечает за действия автономных систем
- как остановить ошибочно работающего AI-агента
- что делать при отказе внешней модели или AI-провайдера
- как резервировать модели, веса, vector stores, prompts и конфигурации агентов
- какие ручные процедуры должны существовать при недоступности AI-инструментов
- как включить AI-сценарии в BIA, DR, BCM и incident response


Источник: Disaster Recovery Journal, The AI in Resilience Framework, Version 1.0, September 2026
https://drj.com/wp-content/uploads/2026/09/AI-in-Resilience-Framework-v1.pdf