Generatyvinis dirbtinis intelektas atvėrė naują galimą duomenų nutekėjimo kelią, kurio dauguma įmonių dar nespėjo įvertinti. Darbuotojai kasdien įklijuoja konfidencialius dokumentus, klientų duomenis ir vidines strategijos pastabas į viešai prieinamus DI įrankius, dažnai neturėdami jokios politikos, kuri tai draustų. Rezultatas – auganti duomenų saugumo pažeidimų kategorija, kuri neturi nieko bendro su įsilaužėliais, prasibrovusiais pro ugniasienę, o beveik visada susijusi su geros valios darbuotojais, netinkamai pasinaudojusiais pokalbių robotu.
Rizika nėra maža. Vidutinė duomenų saugumo pažeidimo kaina šiuo metu siekia 4,8–5 mln. dolerių, ir šis skaičius nuosekliai kyla metai iš metų. Į sumą įskaičiuojami incidentų valdymo, teisinių paslaugų, reguliavimo baudų, klientų netekimo ir ilgalaikės žalos reputacijai kaštai. Vien 2024 metais visame pasaulyje nutekėjo milijardai paskyrų duomenų, kai kas sekundę buvo pažeidžiama šimtai paskyrų, o pasaulyje užregistruota tūkstančiai pažeidimų, apie kuriuos reikėjo pranešti reguliuotojams. DI nebūtinai turi būti tiesioginė pažeidimo priežastis, kad dėl jo pažeidimas įvyktų: pakanka, kad jis būtų įrankis, kurį darbuotojas panaudojo nepagalvojęs.
DI valdymas nebėra pasirenkamas dalykas
Į DI diegimą žiūrėti vien kaip į produktyvumo iniciatyvą, nepridedant valdymo, yra tiesus kelias, kuriuo konfidencialūs duomenys atsiduria už įmonės sienų. Gera žinia ta, kad sprendimas nėra egzotiškas. Tai ta pati disciplina, kurią įmonės jau taiko finansų kontrolei ir IT saugumui, tik pritaikyta tam, kaip žmonės naudoja DI. Toliau pateikiame sistemą, kurią pristatome savo klientams.
Nustatykite aiškias DI naudojimo taisykles ir susiklasifikuokite duomenis
Pradėkite nuo aiškaus patvirtintų DI platformų sąrašo. Jei įrankio šiame sąraše nėra, jis neturėtų prisiliesti prie įmonės duomenų, ir be išimčių. Tai uždaro duris šešėliniam DI – nepatvirtintiems įrankiams, kuriuos darbuotojai patys pradeda naudoti, nes jie patogūs, o ne dėl to, kad kas nors juos patikrino.
Viena paprasta taisyklė išsklaido daugumą neaiškumų: jei nesiruoštumėte to įklijuoti į viešą pokalbio langą ar paskelbti socialiniuose tinkluose, neturėtumėte to įklijuoti ir į DI įrankį. Šią taisyklę papildykite paprasta duomenų klasifikavimo sistema (vieša, vidinė, konfidenciali ir riboto naudojimo informacija), kad darbuotojai turėtų greitą būdą patikrinti, kuriai kategorijai priskiriama prieš akis esanti informacija, prieš imantis veiksmų.
Kurkite saugią architektūrą ir kontroliuojamas integracijas
Kur tik galima, rinkitės privačius DI diegimus arba įmonėms pritaikytus DI planus su sutartinėmis duomenų apsaugos garantijomis, o ne nemokamus, plataus naudojimo įrankius. Integruokite DI per kontroliuojamas sąsajas, kurios užtikrina jau taikomas prieigos teises, o ne per šalutines duris, apeinančias jas.
Čia taip pat svarbu išsamus registravimas: sekite užklausas, dokumentus ir rezultatus, kad turėtumėte aiškų vaizdą, kas iš tikrųjų siunčiama į DI sistemas, ir stebėkite tinklo srautą, ieškodami neleistinų DI paslaugų, kurias darbuotojai galėjo pradėti naudoti be patvirtinimo.
Taikykite minimalių privilegijų principą ir stiprią tapatybės kontrolę
DI galimybėms turėtų būti taikomas tas pats minimalių privilegijų principas, kurį taikote visoms kitoms sistemoms: suteikite žmonėms prieigą tik prie to, ko jiems reikia savo pareigoms, ir nieko daugiau. Eksperimentavimo aplinkas laikykite atskirai nuo gamybinės aplinkos, naudokite kelių faktorių autentifikaciją ir sąlyginės prieigos politikas, o apsaugos priemones įtraukite tiesiai į programas, pavyzdžiui, filtrus, kurie automatiškai blokuoja jautrius laukus, tokius kaip mokėjimo kortelių numeriai, kad jie niekada nepasiektų DI užklausos.
Mokykite savo komandą ir kurkite pranešimo kultūrą
Vien technologijos negali apsaugoti nuo su DI susijusių nutekėjimų. Žmonių elgesys tebėra lemiamas veiksnys. Renkite realistiškus, konkrečiam padaliniui pritaikytus mokymų scenarijus, kad finansų, klientų aptarnavimo ir pardavimų komandos supratų savo pačių kasdieniame darbe iškylančią riziką, o ne žiūrėtų bendrą skaidrių pristatymą, kurio niekas neprisimins po savaitės.
Ne mažiau svarbu sukurti kultūrą, kurioje žmonės praneša apie klaidą, pavyzdžiui, netyčia įklijavę kliento duomenis į netinkamą įrankį, nebijodami būti nubausti. Komanda, kuri slepia savo klaidas, jas kartos ir toliau. Periodiškai peržiūrėkite savo politiką, nes įrankiai ir su jais susijusios grėsmės nuolat kinta, o prieš metus parašyta valdymo sistema jau gali turėti spragų, kurios egzistuoja šiandien.
DI kaip saugus jėgos daugintuvas
Visa tai nėra apie DI diegimo lėtinimą. Tai apie tai, kad produktyvumo augimas iš tikrųjų išliktų, o ne būtų sunaikintas dėl pažeidimo, reguliavimo baudos ar kliento, kuris nebepasitiki jumis, kad dalintųsi savo duomenimis. Sujunkite saugią architektūrą, aiškias taisykles ir gerai apmokytą komandą, ir DI tampa saugiu jėgos daugintuvu, o ne rizika, kuri tik laukia progos pasireikšti.
Jei norite valdymo sistemos, sukurtos remiantis tuo, kaip jūsų komandos iš tikrųjų naudoja DI kasdien, susisiekite su mūsų komanda ir padėsime jums nustatyti reikiamas apsaugos priemones anksčiau, nei jų prireiks.