Искусственный интеллект уже в вашем бизнесе. Если у вас нет гарантий, вы отстаете

ИИ уже вошел в вашу организацию, независимо от того, внедрили вы его официально или нет. Сотрудники используют ChatGPT для составления документов, потенциально загружают конфиденциальную информацию в онлайн-инструменты для ускорения анализа и полагаются на генеративные инструменты, чтобы ускорить все процессы - от создания кода до поддержки клиентов. ИИ развивается с вашего одобрения или без него, и эта реальность должна беспокоить каждого руководителя службы информационной безопасности.

Это тихое распространение непроверенных инструментов ИИ по всем отделам породило быстро растущий слой теневых ИТ. Он децентрализован, часто не обнаруживается и изобилует уязвимостями. Последствия - от нарушения нормативных требований и утечки данных до неконтролируемого принятия решений - весьма значительны. Тем не менее многие организации до сих пор считают, что могут сдержать его с помощью политик или брандмауэров.

Реальность такова, что ИИ невозможно остановить, его можно только защитить. Чем быстрее компании признают это, тем быстрее они смогут устранить пробелы в системе безопасности, которые уже создал ИИ.

Теневой ИИ - это растущая слепая зона безопасности в организациях.

Мы уже сталкивались с подобным сценарием. Первоначальный всплеск внедрения облачных технологий в начале 2010-х годов развивался по схожей траектории - команды использовали инструменты, повышающие их производительность, часто в обход протоколов безопасности. Многие службы безопасности пытались противостоять этому, но в результате оказались вынуждены бороться с утечками, неправильной конфигурацией и нарушениями нормативных требований.

Сегодня та же тенденция повторяется с ИИ. Наш отчет "Состояние безопасности ИИ в 2024 году" показывает, что более половины организаций используют ИИ для создания пользовательских приложений, но мало кто имеет четкое представление о том, где размещены эти модели, как они настроены и не подвергают ли они риску конфиденциальные данные.

Такая ситуация представляет собой два основных риска:

1. Сотрудники, использующие общедоступные инструменты ИИ с собственными или конфиденциальными данными, открывают эту информацию для внешних систем без надлежащего надзора.
2. Внутренние команды, развертывающие модели ИИ без достаточного контроля безопасности, что приводит к использованию слабых мест и практикам, которые могут не пройти проверку на соответствие нормативным требованиям.

Теневой ИИ - это не только проблема безопасности; он может перерасти в кризис управления. Не имея возможности отслеживать использование ИИ, вы не сможете управлять процессами обучения, доступом к данным и формированием результатов. Невозможность отслеживать решения, принимаемые на основе ИИ, означает, что вы не сможете объяснить или защитить их, что делает вашу организацию уязвимой перед угрозами со стороны регулирующих органов, репутации и операционной деятельности.

Почему традиционные средства безопасности неадекватны

Большинство решений для обеспечения безопасности не были разработаны для решения специфических проблем ИИ. Они не могут выявлять артефакты моделей, сканировать пути передачи данных ИИ, отслеживать взаимодействие больших языковых моделей (LLM) или обеспечивать управление моделями. Даже специализированные инструменты, как правило, затрагивают лишь отдельные аспекты, вынуждая организации управлять разрозненными решениями без единой перспективы безопасности.

Это критическая проблема. Безопасность искусственного интеллекта не может быть дополнительным или побочным решением. Она должна быть интегрирована в стратегию управления облаком, протоколы защиты данных и рабочие процессы DevSecOps. В противном случае вы недооцениваете растущую роль ИИ в ваших операциях и упускаете шанс защитить его как фундаментальную инфраструктуру бизнеса.

Необходимо отказаться от ошибочной стратегии блокирования ИИ

Может показаться простым решением ввести тотальные запреты с помощью таких политик, как "никаких сторонних инструментов ИИ" или "никаких внутренних экспериментов с ИИ". Однако такой подход нереален. Сотрудники уже используют ИИ для повышения производительности, но не со злым умыслом, а потому что он приносит результаты.

ИИ способствует повышению производительности, и люди будут продолжать использовать его до тех пор, пока он помогает им укладываться в сроки, сокращать количество повторяющихся задач и эффективно решать проблемы.

Попытки полностью заблокировать использование ИИ не приведут к его исчезновению, а лишь загонят его еще глубже в подполье. Когда в конце концов возникнут проблемы, вы столкнетесь с ними без видимости, установленной политики или плана реагирования.

Внедряйте ИИ с помощью стратегии, безопасности и видимости

Более разумный подход предполагает активное внедрение ИИ на ваших собственных условиях с упором на три ключевые области:

1. Предоставьте сотрудникам безопасные, одобренные альтернативы. Чтобы снизить зависимость от рискованных инструментов, предложите безопасные варианты. Будь то внутренние LLM, проверенные сторонние приложения или интегрированные в основные платформы помощники ИИ - цель состоит в том, чтобы предоставить инструменты, которые будут столь же эффективны, но при этом значительно более безопасны.

2. Разработать и внедрить четкие политики. Управление ИИ должно быть четким, практичным и простым в реализации. Определите, какими данными можно делиться с инструментами ИИ, установите четкие границы и назначьте ответственных за проверку и утверждение внутренних инициатив в области ИИ. Широко распространите эти правила и обеспечьте применение технических и процедурных мер по их соблюдению.

3. Приоритет отдавайте видимости и мониторингу. Невозможно защитить то, что не видно. Внедрите инструменты, способные обнаружить использование теневого ИИ, выявить открытые ключи доступа, отметить неправильно сконфигурированные модели и проследить за тем, как конфиденциальные данные могут просочиться в наборы данных для обучения или выходные данные. Управление безопасностью ИИ быстро становится таким же важным, как и управление безопасностью облачных сред.

CISO должны направлять эту трансформацию.

Сейчас наступил переломный момент для руководства службы безопасности. Роль CISO выходит за рамки защиты инфраструктуры и включает в себя поддержку безопасных инноваций. Это означает помощь организации в использовании искусственного интеллекта для повышения скорости и эффективности, а также обеспечение безопасности, конфиденциальности и соответствия нормативным требованиям на каждом этапе.

Такое руководство включает в себя:

• информирование членов совета директоров и руководителей о фактических и предполагаемых рисках ИИ
• Сотрудничество с инженерными и продуктовыми командами для обеспечения безопасности на ранних этапах цикла внедрения ИИ
• Инвестирование в современные инструменты, предназначенные для обеспечения безопасности систем ИИ
• Формирование культуры, в которой ответственное использование ИИ является общей обязанностью.

CISO не обязательно быть специалистами по ИИ, но они должны задавать критические вопросы: Какие модели мы используем? Какими данными они питаются? Какие меры защиты применяются? Можем ли мы подтвердить свою позицию в области безопасности?

Главный вывод: Бездействие представляет наибольший риск

ИИ уже меняет бизнес-операции. Будь то ускорение обслуживания клиентов, улучшение финансового прогнозирования или ускорение рабочих процессов разработки, ИИ глубоко интегрирован в повседневные задачи. Отрицание этой реальности не замедлит внедрение ИИ, а лишь увеличит уязвимость, подверженность риску передачи данных и нарушение нормативных требований.

Самый опасный подход - ничего не делать. CISO и руководители служб безопасности должны признать неоспоримый факт: ИИ присутствует в ваших системах и рабочих процессах, и он не заставит себя ждать. Важнейший вопрос заключается в том, будете ли вы защищать его проактивно или будете ждать, пока он нанесет непоправимый вред.

Принимайте ИИ, но всегда с учетом требований безопасности. Это единственный способ подготовиться к будущему.