Jak AI předchází únikům dat: 7 obran, které zastavily skutečné útoky (2026)

Jak AI předchází únikům dat: 7 obran, které zastavily skutečné útoky (2026)

V dubnu 2026 se přibližně 275 milionů studentů a učitelů probudilo do zjištění, že Canvas, systém pro správu výuky provozovaný společností Instructure, byl napaden. K odpovědnosti se přihlásila skupina ShinyHunters, označila za oběti přibližně 9 000 škol a stanovila termín pro zaplacení výkupného na 12. května 2026. Skutečné děti, skuteční učitelé, skutečné známky – a nikdo z nich se o to, být terčem, nehlásil. Mohla tomu AI zabránit? Pravděpodobně ano, a zde je vysvětlení, jak stejné obranné mechanismy už dnes fungují v produkčním prostředí.

Klíčové závěry

• AI předchází únikům dat tím, že odhaluje behaviorální anomálie, blokuje phishing a automaticky odnímá přístup – často během minut, ne měsíců.
• Zpráva IBM Cost of a Data Breach Report 2024 zjistila, že rozsáhlé využití AI šetří organizacím v průměru 2,2 milionu dolarů na každý únik.
• Sedm nejvyužívanějších AI obran jsou UEBA, detekce anomálií, AI phishingové filtry, automatizovaná odezva, prediktivní analýza zranitelností, AI DLP a agentní lov hrozeb.
• AI není všelék. Falešně pozitivní výsledky, drift modelu a adversariální ML jsou reálná omezení a lidská kontrola v SOC stále hraje roli.

Jak AI předchází únikům dat: odpověď za 60 sekund

AI předchází únikům dat tak, že se naučí, jak vypadá normální provoz ve vašich systémech, a poté označí (a často i zastaví) cokoli, co se od této základní linie odchýlí, ještě než data opustí budovu. Podle zprávy IBM Cost of a Data Breach Report 2024 organizace, které rozsáhle využívají AI a automatizaci, ušetřily v průměru 2,2 milionu dolarů na únik a odhalily incidenty přibližně o 100 dní rychleji než ty, které tak nečinily.

Čtyři pilíře, které opakovaně citují i vlastní AI Overviews od Googlu, jsou:

• Detekce anomálií: statistické a ML modely, které vyhodnocují každou událost vůči základní linii.
• Obrana proti phishingu a e-mailová obrana: NLP modely, které si zprávu přečtou dřív než člověk.
• Automatizovaná odezva na incidenty: odvolání tokenu, izolace relace, uzamčení – bez toho, aby se kohokoli volalo.
• Prediktivní analýza: řazení CVE ve vašem stacku podle toho, které budou skutečně zneužity.

Zbytek tohoto článku je ta dlouhá odpověď. Pokud si právě teď děláte starosti o vlastní aplikaci, přejděte rovnou na 7 obranných mechanismů nebo přeskočte na plán, jak to zprovoznit tento týden.

Co nám únik u Canvas / Instructure říká o obraně pomocí AI

Únik z dubna 2026 vypadá jako většina moderních průniků: ne hollywoodský zero-day, ale exfiltrace založená na přihlašovacích údajích v masovém měřítku. ShinyHunters nevyrazili díru v perimetru. Prošli dveřmi pomocí relací, které vypadaly jako platné, a tiše odčerpávali data – což je učebnicový vzor, který jsou UEBA a AI DLP navrženy odhalovat.

Základní fakta podle dostupných zpráv: odhalení kolem 30. dubna 2026, veřejné prohlášení kolem 3. května, pojmenováno přibližně 9 000 škol, odhad ~275 milionů záznamů včetně jmen studentů, známek a dat pedagogů a termín pro výkupné 12. května 2026 (podle TechCrunch a navazujícího zpravodajství v Inside Higher Ed a Malwarebytes Labs). Pitva incidentu (post-mortem) zatím nebyla zveřejněna, takže každý, kdo vám přesně řekne, které údaje unikly, jen hádá.

Co můžeme říct poctivě: odpovídá to credential-stuffingu nebo exfiltraci ukradených tokenů – a přesně na tento vzor je obrana pomocí AI nejlepší.

• UEBA by si všimlo, když účty začaly stahovat 100násobek svého obvyklého objemu záznamů.
• AI DLP by zaznamenalo, že osobní údaje (PII) odcházejí tempem, jaké žádná legitimní integrace API nikdy nevytváří.
• Detekce anomálií na autentizaci by označila vlnu credential-stuffingu ještě předtím, než by první relace vygenerovala token.

Když po obavách z úniku auditujeme autentizační logy klienta, jako první zjišťujeme, zda vůbec někdo zaznamenával objem požadavků a geografii na uživatele. Většina menších týmů to nedělá. Přesně tuto mezeru obrana pomocí AI zaceluje – ale jen pokud existují logy, kterými ji lze napájet.

Pokud chcete klidnější, technický postup pro den, kdy se vaše vlastní aplikace objeví v titulcích, napsali jsme playbook pro reakci na incidenty ve stylu Vercel 2025. Je to nejblíže k checklistu, který pro situaci „právě nám zavolali" najdete.

7 AI obran, které zastavují skutečné úniky

Těchto sedm obran není hypotetických. Každá z nich dnes běží v produkčním prostředí v několika SOC týmech firem ze žebříčku Fortune 500 a každá zachytí konkrétní třídu útoků, které lidé buď přehlédnou, nebo si jich všimnou příliš pozdě.

1. UEBA: Naučit stroje, jak vypadá „normál"

User and Entity Behavior Analytics (UEBA) vytváří základní linii toho, jak se každý uživatel, servisní účet a zařízení chová v čase (obvyklé hodiny, obvyklé země, obvyklé objemy dat), a poté vyhodnocuje živé události vůči této linii. Když účet, který se vždy přihlašuje z Bostonu mezi 9:00 a 18:00, najednou ve 3:00 ráno stáhne 40 000 záznamů z Rumunska, skóre UEBA vyletí a relace se ukončí.

Superschopností UEBA není zachytit samotný útok. Je zachytit okamžik, kdy se legitimní účet začne chovat jako cizinec. To je zóna hrozeb od insiderů a zneužití přihlašovacích údajů, kterou téměř nic jiného nepokryje.

2. Detekce anomálií v reálném čase

Detekce anomálií hází širší síť než UEBA: bezdozorové (unsupervised) modely sledují jakýkoli tok událostí (volání API, přístupy k souborům, vzorce dotazů, síťové toky) a označují statistické odlehlé hodnoty, aniž by potřebovaly označené příklady útoků. Proto zachytí i nové hrozby, které UEBA mine (UEBA potřebuje „entitu"; detekci anomálií stačí telemetrie).

V praxi ji spustíte nad Kafkou nebo SIEM pipeline, nakrmíte ji posledními 30–90 dny běžného provozu a necháte ji vyhodnocovat nové události. Většina platforem pak k lidské kontrole předkládá horní 1 % podivností.

3. Obrana proti phishingu poháněná AI

Phishing je stále hlavní příčinou úniků dat. Verizon 2024 DBIR opakovaně řadí phishing a ukradené přihlašovací údaje na vrchol vektorů počátečního přístupu. Moderní obrana pomocí AI vrství nad obsah e-mailu NLP model (záměr, náznaky naléhavosti, napodobování značky) a k tomu model grafu odesílatelů (komunikovala s námi tato doména už dřív? odpovídá stopa SPF/DKIM?). Dohromady zachytí cílený spear-phishing, který brány založené na signaturách přehlédnou.

Produkční filtry od Microsoftu, Google Workspace a Proofpointu dnes u známých vzorů uvádějí míru detekce ve vysokých 90. procentech. Zbývající mezerou je nový sociální inženýring, kde lidé stále musí být ostražití.

4. Automatizovaná odezva na incidenty

Toto je ta obrana, která mění AI z „poplašného systému" v „hasicí systém". Když behaviorální skóre překročí práh pro zásah, systém SOAR (Security Orchestration, Automation, Response) řízený AI dokáže odvolat refresh tokeny, izolovat relaci, rotovat API klíč a zavolat pohotovostní službu za méně než sekundu. Průměrná doba reakce (MTTR) se zkrátí z dnů na sekundy.

Háček: musíte svou autentizační a identity vrstvu zapojit tak, aby přijímala programové odvolací příkazy, a musíte modelu důvěřovat natolik, abyste ho u událostí úrovně 1 nechali jednat bez zásahu člověka.

5. Prediktivní analýza zranitelností

Místo záplatování podle abecedy ML modely trénované na CVE feedech, signálech predikce exploitů (EPSS) a vašem vlastním grafu závislostí seřadí, které zranitelnosti ve vašem stacku budou skutečně zneužity v příštích 30 dnech. Viděli jsme, jak to zredukovalo backlog 600 CVE na seznam „opravit tento týden" o 20 CVE: stejné snížení rizika, desetina dřiny.

To se přirozeně doplňuje s AI observabilitou pro telemetrické pipeline. Jakmile vidíte, co vaše závislosti dělají v produkci, přestává být prioritizace dohadováním.

6. AI Data Loss Prevention (AI DLP) a stínová AI (Shadow AI)

Klasické DLP skenuje e-maily odcházející s čísly platebních karet a SSN. AI DLP je stejná myšlenka, jen chytřejší a širší: rozumí kontextu (jsou tyto osobní údaje součástí legitimní odpovědi zákaznické podpory, nebo se vkládají do ChatGPT?) a sleduje nové exfiltrační kanály, jmenovitě stínovou AI (shadow AI), kdy zaměstnanci vkládají zákaznická data do neschválených LLM.

Zde se také vyskytuje prompt injection. Pokud váš produkt volá LLM, útočník může do vstupu uživatele skrýt instrukce, které se snaží vyzradit systémové prompty nebo interní data. S nedůvěryhodným textem zacházejte stejně jako s nedůvěryhodným SQL. Jak to vypadá v kódu, ukazuje vzory zranitelností při kopírování/vkládání.

7. Agentní lov hrozeb (Agentic Threat Hunting)

Nejnovější ze sedmi: autonomní LLM agenti, kteří uvažují nad telemetrií SIEM, procházejí související události a sepisují zjištění tak, jak by to udělal analytik úrovně 3. Běží celou noc, neunaví se a místo surových alertů předkládají příběhy („toto zařízení, tento uživatel, tato tři přihlášení – tady je to, co je spojuje").

Tato oblast se teprve rozvíjí. Dema z roku 2025 jsou reálná, ale míra falešně pozitivních výsledků je vyšší, než naznačují prezentace prodejců. Berte agentní lovce jako násobitele síly pro analytika úrovně 2, ne jako náhradu expertízy úrovně 3.

Phishing, hrozby od insiderů a stínová AI: kde si AI zaslouží své peníze

Sedm obran se čistě mapuje na tři útočné plochy, kterým většina týmů ve skutečnosti čelí. Phishing je stále hlavní příčinou úniků dat. Verizon 2024 DBIR ho drží na 1. místě spolu s ukradenými přihlašovacími údaji, a proto první dolar návratnosti investic (ROI) z AI téměř vždy skončí v e-mailové obraně.

Hrozby od insiderů, ať už záměrné, nebo náhodné, jsou oblastí, kde UEBA zazáří. Většina „insiderských" incidentů není sabotáž; je to dodavatel, který naletěl phishingu, nebo administrátor, který exportoval zákaznickou tabulku, aby něco odladil, a zapomněl ji na USB klíčence. Behaviorální skóre zachytí obojí.

Stínová AI (Shadow AI) je útočná plocha, která před pěti lety neexistovala. Sledování od Zscaler ThreatLabz dlouhodobě ukazuje, že podnikový GenAI provoz exploduje, zatímco využívání schválených nástrojů se sotva hýbe – což znamená, že zaměstnanci používají ChatGPT, Claude a Copilot bez ohledu na to, zda je IT schválilo. AI DLP je jediná obrana, která rozumí větě „tento pracovník podpory právě vložil 80 e-mailových adres zákazníků do veřejného LLM" a zablokuje to přímo v toku.

Pokud jste malý tým bez SOC, zaměřte svůj rozpočet na AI v tomto pořadí: phishingový filtr, AI DLP a poté UEBA. Pokrytí hrozeb od insiderů je bonus, který získáte s UEBA zdarma.

AI v cloudu: zachycení úniků tam, kde data skutečně žijí

Pokud vaše data žijí v AWS, GCP nebo Azure, perimetr, na který jste zvyklí, je pryč. Neexistuje žádný firewall, za který by se AI schovala. Cloud-native obrana pomocí AI funguje ve třech vrstvách: DSPM (Data Security Posture Management) vytváří inventuru toho, kde leží citlivá data a která oprávnění se jich dotýkají; AI služby s ohledem na identitu (AWS GuardDuty, Microsoft Defender for Cloud) vyhodnocují aktivitu IAM vůči naučeným základním liniím; a cloud-native platformy pro detekci anomálií sledují provoz mezi službami (east-west).

Třída úniků, kterou toto zachytí, není sexy: je to špatně nakonfigurovaný S3 bucket, o kterém nikdo nevěděl, že je veřejný, servisní účet s přílišnými oprávněními, vývojový sandbox, který si tiše drží produkční data. DSPM to najde dřív než útočník. Detekce anomálií s ohledem na identitu zachytí okamžik, kdy k tomuto bucketu přistoupí IP adresa, ze které se ve vaší organizaci nikdo nikdy nepřihlásil.

Pro tým, který cokoli z toho zavádí, není prvním krokem nástroj. Je jím revize architektury cloudové bezpečnosti, která zjistí, která vrstva proteče jako první. Většina cloudových úniků, které vidíme v post-mortem rozborech, by selhala už na identity vrstvě, kdyby byly zapnuté ty správné nudné věci.

UEBA vs. SIEM vs. DSPM vs. AI DLP: kdy použít co

Tyto čtyři nástroje se neustále zaměňují, a právě tak týmy skončí se třemi z nich a s mezerami ve čtvrtém. Zde je poctivá rozhodovací matice:

Zjednodušeně: UEBA bez SIEM je senzor bez záznamníku; SIEM bez UEBA je záznamník, který netuší, co právě slyšel. DSPM vám řekne, kde leží rodinné stříbro. AI DLP sleduje, jak se ho někdo snaží odnést.

Pokud v tomto čtvrtletí nasadíte jen jeden, vyberte AI DLP. Má u týmů, které ještě nevybudovaly kapacity SOC, nejvyšší poměr „zablokovalo skutečný únik" na dolar a je jediný ze čtyř, který chrání před stínovou AI. A nezapomeňte na vrstvu na úrovni kódu: nástroje statické analýzy jako SonarQube zachytí chyby SQL injection a úniku tajných klíčů, které žádná behaviorální obrana nikdy neuvidí, protože se spustí dávno před runtime.

Zabudujte to do své aplikace tento týden: plán v 5 krocích

K nasazení odlehčeného UEBA nepotřebujete SOC tým. Potřebujete 30 dní autentizačních logů a funkci, která vrátí číslo mezi 0 a 100. Zde je minimální životaschopná AI obrana, kterou dokáže postavit jakýkoli malý vývojový tým během jednoho sprintu.

1. Logujte každou autentizační událost se strukturovanými poli. Zachyťte user_id, ip, user_agent, geo, action a ts u každého přihlášení, obnovení tokenu a citlivé akce. Behaviorální základní linie potřebují data; pokud je nelogujete, nemůžete je vyhodnocovat. Posílejte je do Postgresu, ClickHouse nebo spravované observability platformy.

2. Spočítejte behaviorální základní linii pro každého uživatele. Spusťte noční úlohu nad klouzavým 30denním oknem pro každého uživatele: ze kterých zemí se přihlašuje, ve které hodiny, s jakými user agenty. Uložte základní linii jako malý JSON blob klíčovaný podle user_id. Tohle je odlehčené UEBA.

3. Vyhodnoťte nové události vůči základní linii. Když dorazí událost, spočítejte rizikové skóre 0–100. Zde je celý postup ve 12 řádcích:

def behavior_score(event, baseline):
    # Cheap UEBA-lite: flag events that diverge from a user's 30d norm.
    score = 0
    if event.country not in baseline.countries: score += 30
    if event.hour not in baseline.usual_hours: score += 15
    if event.user_agent not in baseline.devices: score += 25
    if event.failed_login_count > 0: score += 10
    return score  # 0-100; >= 50 = step-up MFA, >= 80 = revoke session

4. Zapojte skóre do svého autentizačního middlewaru. U každého požadavku zavolejte behavior_score. Skóre >= 50 spustí dodatečné MFA (step-up). Skóre >= 80 dá relaci do karantény a vynutí opětovnou autentizaci ze známého zařízení.

5. Spusťte automatizované odvolání a alert ve chvíli, kdy skóre překročí práh pro zásah. Skóre 80+ by mělo odpálit webhook: poslat příspěvek do Slacku, odvolat refresh token, zapsat záznam do audit logu. To je vaše MTTR, které se posouvá od „někdo si toho všimne v pondělí" k „relace zemřela ve 3:14 ráno".

Je to stejná páteř, kterou používáme při přidávání AI funkcí do existující aplikace. Logování připravené na anomálie je ta nevzhledná nutná podmínka, která umožňuje vše ostatní.

Poctivá omezení obrany pomocí AI

Marketing kolem AI bezpečnosti přehání. Zde je to, co AI nedokáže, a proč ticket stejně uzavírá člověk.

Falešně pozitivní výsledky způsobují únavu z alertů. Míra falešné pozitivity 1 % zní skvěle, dokud vaše autentizační služba nezpracovává 10 milionů událostí denně a vaše pohotovostní služba nedostává 100 000 falešných alertů. Ladění prahu je ta skutečná práce a většina týmů podceňuje, jak dlouho trvá.

Drift modelu je reálný. Váš „normál" se změní, když vstoupíte na nový trh, vydáte novou funkci nebo navýšíte počet zaměstnanců. Základní linie natrénovaná v lednu je v červenci průměrná. Přetrénujte na klouzavém okně, jinak vám míra falešné pozitivity poroste, zatímco míra skutečné pozitivity klesá.

Adversariální ML funguje. Útočníci mohou váš model sondovat – posílat crafted „téměř normální" relace, aby se naučili hranici, a pak se těsně pod ni proklouznout. MITRE ATLAS tyto techniky katalogizuje a už nejsou jen teoretické.

Prompt injection je nová útočná plocha. Pokud používáte LLM ve svém obranném stacku (nebo kdekoli, kde uživatel může ovlivnit prompt), OWASP LLM Top 10 uvádí prompt injection jako LLM01 z dobrého důvodu. Nedůvěryhodný vstup může unést instrukce modelu a vyzradit cokoli, k čemu má přístup.

AI je násobitelem síly, ne náhradou. Ticket stejně uzavírá lidský SOC analytik. A pokud to vše zní draze, můžete si odhadnout náklady na bezpečnostní audit, než se k čemukoli zavážete.

Jak Techsy zabudovává bezpečnost poháněnou AI do aplikací na míru

Když klientovi dodáváme webovou nebo mobilní aplikaci, připravenost na AI obranu je zabudovaná do základů, ne přišroubovaná po prvním incidentu. To znamená strukturované schéma logování autentizačních událostí od prvního dne (takové, které UEBA a AI DLP potřebují, aby skutečně fungovaly), middleware pro behaviorální základní linii na autentizační vrstvě a volitelný hook odlehčeného UEBA, který vyhodnocuje každou relaci. Pokud klient později přidá GenAI funkci, zapojíme AI DLP a guardraily proti prompt injection dřív, než se funkce vydá, ne až poté.

Když auditujeme schéma logování klienta, jako první hledáme, zda jsou vůbec viditelné vzorce požadavků na uživatele. V polovině případů nejsou – a právě tato jediná mezera je rozdílem mezi „zachytili jsme to za 4 minuty" a „našli jsme to až v post-mortem rozboru".

Obáváte se, že by vaše aplikace neprošla „testem Canvas"? Získejte bezplatnou 30minutovou bezpečnostní revizi.

Často kladené otázky

Jak AI předchází únikům dat?

AI předchází únikům dat tím, že se naučí normální chování napříč uživateli, zařízeními a datovými toky a poté v reálném čase označí nebo zablokuje odchylky. Čtyři základní techniky jsou detekce anomálií, klasifikace phishingu, automatizovaná odezva na incidenty a prediktivní analýza zranitelností. Výsledkem je rychlejší odhalení, automatické zadržení a méně úniků, které eskalují z „alertu" na „titulek".

Dokáže AI odhalit úniky dat rychleji než lidé?

Ano, měřitelně. Zpráva IBM Cost of a Data Breach Report 2024 zjistila, že organizace rozsáhle využívající AI a automatizaci odhalily a zadržely úniky přibližně o 100 dní rychleji než ty, které tak nečinily, a ušetřily v průměru 2,2 milionu dolarů na incident. AI nespí, nepropásne nárůst přihlášení ve 3 ráno a nedělá si prodloužený víkend, než zkontroluje včerejší logy.

Co je UEBA a jak funguje?

UEBA (User and Entity Behavior Analytics) vytváří statistický profil toho, jak se každý účet běžně chová (obvyklé hodiny, lokace, zařízení, objemy dat), a poté vyhodnocuje živé události vůči této základní linii. Když se účet začne chovat mimo svou normu, UEBA vyvolá alert nebo spustí automatizovanou odezvu. Je obzvlášť dobré v zachycování hrozeb od insiderů a ukradených přihlašovacích údajů, které projdou klasickými kontrolami perimetru.

Jak AI detekuje phishingové e-maily?

Detekce phishingu pomocí AI kombinuje NLP analýzu obsahu e-mailu (náznaky naléhavosti, napodobování značky, klasifikace záměru) s modely grafu reputace odesílatele, které kontrolují, zda s vámi doména už dříve komunikovala a zda SPF/DKIM/DMARC souhlasí. Produkční filtry od velkých poskytovatelů uvádějí u známých vzorů míru detekce ve vysokých 90. procentech; nové pokusy o sociální inženýring stále vyžadují lidskou ostražitost.

Jaká je hlavní příčina úniků dat?

Phishing a ukradené přihlašovací údaje dlouhodobě vedou žebříček. Verizon 2024 DBIR je rok co rok řadí na přední místa vektorů počátečního přístupu. Špatné konfigurace (zejména v cloudových úložištích) a nezazáplatované zranitelnosti doplňují první trojku. Proto investice do obrany pomocí AI obvykle začínají u e-mailu a identity, kam nejdřív dopadá největší objem útoků.

Způsobuje AI více úniků dat, než kolik jich odvrátí?

Upřímně, AI má dvojí použití. Útočníci používají LLM ke škálování phishingu, klonování hlasů a generování přesvědčivých záminek. Stínová AI a prompt injection jsou reálné nové útočné plochy. Bilance je ale stále obranná: AI zachytí behaviorální vzory, které lidem unikají, automatizuje odezvu v řádu sekund místo dnů a data z IBM jasně ukazují, že organizace rozsáhle využívající AI utratí za úniky méně, ne více.

Jak se AI využívá k prevenci úniků dat v cloudu?

V cloudových prostředích AI funguje ve třech vrstvách: DSPM vytváří inventuru citlivých dat a oprávnění napříč AWS, GCP a Azure; služby s ohledem na identitu jako AWS GuardDuty a Microsoft Defender for Cloud vyhodnocují aktivitu IAM vůči naučeným základním liniím; a cloud-native platformy pro detekci anomálií sledují provoz mezi službami. Dohromady zachytí špatné konfigurace a účty s přílišnými oprávněními, které způsobují většinu cloudových úniků.

Co je AI DLP a jak se liší od běžného DLP?

Klasické DLP porovnává vzory: čísla platebních karet, SSN, regex na odchozí poštu. AI DLP rozumí kontextu: jsou tyto osobní údaje součástí legitimní odpovědi zákazníkovi, nebo se vkládají do ChatGPT? Pokrývá také stínovou AI a exfiltraci přes GenAI, což klasické DLP zcela mine, protože data odcházejí přes HTTPS do domény, která vypadá jako schválená. Právě tohle zachytí AI DLP.

Mohla AI zabránit úniku u Canvas / Instructure?

Post-mortem rozbor zatím nebyl zveřejněn, takže každý, kdo vám dá jednoznačnou odpověď, jen hádá. Co můžeme říct: vzor odpovídá exfiltraci založené na přihlašovacích údajích v masovém měřítku, což je přesně to, co jsou UEBA, AI DLP a detekce anomálií na autentizaci navrženy odhalovat. AI obrany vyladěné na správné prahy by s vysokou pravděpodobností zachytily nárůst objemu nebo geografické anomálie dřív, než by 275 milionů záznamů opustilo budovu.

Kolik stojí přidání AI bezpečnosti do mé aplikace?

Záleží na tom, zda začínáte od „žádné logy", nebo od „máme SIEM". Autentizační vrstva s behaviorální základní linií, jako je ta v tomto článku, je obvykle 1–2týdenní vývojová práce. Plné nasazení AI DLP plus UEBA je 4–12 týdnů plus náklady na nástroje. Pro odhad mezery, než se k něčemu zavážete, si můžete odhadnout náklady na bezpečnostní audit. Většina týmů zjistí, že práce na autentizační vrstvě se zaplatí už při prvním incidentu, kterému zabrání.