Почти половина данных в облаке не зашифрована. Почему IAM больше не спасает?

Привет, %username%! Кажется, мы так сильно увлеклись настройкой политик доступа и укреплением периметра, что начали забывать про базовую защиту самих данных. Мне попался отчет Thales Data Threat Report 2026​ и цифры там заставляют напрячься: 47% чувствительных данных в облаках хранятся вообще без шифрования.

Долгое время парадигма безопасности строилась вокруг крепкого IAM (Identity and Access Management). Считалось, что если мы надежно закрыли контур, настроили SSO и выдали правильные RBAC-роли, то данные в безопасности. Но сейчас правила игры меняются, и вот что показывает отчет:

  • Вектор атак сместился: главной мишенью стали именно системы управления доступом. Злоумышленники активно используют ИИ-мошенничество и deepfake для обхода аутентификации.
  • Главный риск — это ИИ: 70% организаций называют искусственный интеллект основной угрозой для безопасности данных.
  • Внутренние угрозы растут: массовое внедрение корпоративных AI-инструментов и LLM дает алгоритмам беспрецедентно широкий доступ к базам знаний и хранилищам.

Для SRE и DevSecOps это четкий сигнал: модель безопасности «только IAM и строгий контроль доступов» без повсеместного шифрования больше не работает. Если злоумышленник с помощью ИИ пробивает систему идентификации или получает токен, незашифрованные данные становятся легкой добычей.

Чтобы адаптироваться к этой реальности, нам нужно пересматривать инженерные подходы:

  • Внедрять повсеместное шифрование (encryption-by-default) как для Data at Rest, так и для Data in Transit, независимо от того, насколько глубоко в приватном VPC лежат базы.
  • Расширять парадигму Zero Trust — теперь она должна охватывать не только сети и пользователей, но и сами данные.
  • Жестко контролировать и аудировать то, к каким именно массивам информации получают доступ внутренние ИИ-агенты.

Делись опытом в комментариях. Как у тебя в проекте обстоят дела с шифрованием в облаке — шифруете всё подряд или только самое критичное по compliance? Сталкивался ли ты с тем, что классических политик доступа уже не хватает для безопасной работы? Какие практики или инструменты (Vault, KMS и т.д.) помогли тебе наладить управление ключами на масштабе?

#SRE #DevSecOps #CloudSecurity #IAM #Encryption #ZeroTrust #AI #CyberSecurity