Ваша команда уже общается с ИИ. Вот как обеспечить безопасность ИТ-инфраструктуры.

Инструменты искусственного интеллекта невероятно быстро вошли в нашу повседневную рабочую жизнь! Кто-то из вашей команды пишет электронное письмо с помощью ChatGPT. Другой использует ИИ-помощника, встроенного в вашу бухгалтерскую программу. Третий подключает плагин ИИ для ускорения ответов клиентам в Chrome или Outlook. Ничто из этого не получило одобрения ИТ-отдела, и большинство малых предприятий почти не заметили происходящих изменений. Этот взрывной рост использования ИИ — нормальная часть ведения бизнеса в современном мире. Однако, если вы сейчас, а не потом, сосредоточитесь на формировании нескольких полезных привычек, вы, возможно, избежите некоторых проблем, с которыми сталкиваются первые пользователи ИИ.

Старые привычки в сфере безопасности не были рассчитаны на это.

В течение многих лет сетевая безопасность фокусировалась на том, куда направляется трафик. Межсетевые экраны проверяли соединения, блокировали вредоносные веб-сайты и предотвращали проникновение известных угроз. Этот подход долгое время хорошо работал. Хотя он по-прежнему важен сегодня, ИИ добавляет совершенно новый уровень активности, который большинство инструментов так и не научились отслеживать: запросы ИИ, загрузка файлов с конфиденциальными и критически важными данными (даже IP-адресами) и автоматизированные действия между приложениями и сервисами ИИ. Межсетевой экран видит соединение с веб-сайтом ИИ и пропускает его, даже не зная, что было введено в поле ввода. Контекст этих действий теряется для большинства современных инструментов безопасности. Так что же нам всем делать?

Риск заключается в том, что именно набирается на компьютере, а не в самом искусственном интеллекте.

Инструменты искусственного интеллекта — не враги. Риск проявляется в том, чем люди делятся с ними, не задумываясь. Список клиентов, вставленный в чат-бот для помощи в форматировании. Договор с информацией о ценах, загруженный в инструмент ИИ для быстрого анализа. Учетные данные для входа, по ошибке вставленные в запрос. Резюме с домашним адресом и номером социального страхования, загруженное в инструмент для редактирования резюме. Ни одно из этих действий не кажется рискованным в данный момент и не требует злого умысла, но каждое из них передает конфиденциальную информацию в систему, неподвластную вашему контролю.

Эксперты по безопасности уже переосмысливают концепцию межсетевого экрана.

Недавнее произведение в Новости Хакер Это описывает переломный момент в сетевой безопасности. Двадцать пять лет назад межсетевые экраны на основе прокси-серверов проверяли содержимое каждого пакета на наличие угроз. Они были более безопасны, но слишком медленны. CheckPoint и другие поставщики завоевали рынок с помощью межсетевых экранов с проверкой состояния, которые отслеживали соединения, не считывая их содержимое. Скорость оказалась важнее безопасности, и межсетевые экраны на основе прокси-серверов постепенно исчезли.

Теперь ИИ отбрасывает индустрию назад. Традиционный межсетевой экран, отслеживающий веб-сайт, работающий на основе ИИ, видит обычное, разрешенное соединение. Он не может определить, привела ли утечка списка ваших клиентов через запрос или плагин ИИ вызвал несанкционированное действие. Новые конструкции межсетевых экранов, описанные в статье, делают то же, что и прокси-межсетевые экраны десятилетия назад: проверяют фактическое содержимое, входящее и исходящее из вашей сети. Та же самая глубокая проверка, от которой индустрия отказалась ради скорости, теперь является одним из немногих способов увидеть, какие данные сотрудники фактически отправляют в ИИ.

Как это выглядит в обычный рабочий день

Представьте себе небольшое маркетинговое агентство в обычный понедельник. Сотрудник вставляет полный бюджет кампании клиента в бесплатный инструмент для написания текстов на основе ИИ, чтобы быстрее перефразировать текст. В соседнем кабинете кто-то из отдела расчетов с поставщиками загружает счет-фактуру поставщика в инструмент на основе ИИ, чтобы обобщить условия оплаты, не замечая, что банковские реквизиты поставщика находятся прямо в файле. Никто из них не желает зла. Оба пытаются сэкономить десять минут. Именно так конфиденциальная информация оказывается за пределами компании, и никто этого не замечает.

Бесплатные инструменты имеют свои недостатки.

Бесплатные потребительские инструменты искусственного интеллекта часто оставляют за собой право хранить введенный вами текст и использовать его для обучения будущих версий инструмента. Это одна из причин, почему бесплатная версия остается бесплатной. Платные бизнес-планы от тех же компаний обычно предлагают более надежную защиту конфиденциальности, включая возможность полностью исключить ваши данные из процесса обучения. Прежде чем ваша команда начнет использовать бесплатный инструмент ИИ в повседневной работе, потратьте пять минут на проверку его настроек на предмет наличия опции сохранения данных или отказа от обучения. Если ваш бизнес регулярно работает с данными клиентов, недорогой бизнес-план часто окупается за счет одной только дополнительной защиты.

Простые привычки лучше больших бюджетов.

Для формирования более безопасных привычек использования ИИ вам не понадобится корпоративное программное обеспечение. Начните с короткого разговора с вашей командой о том, что никогда не должно попадать в общедоступные инструменты ИИ: пароли, финансовые или медицинские записи, данные клиентов, интеллектуальная собственность и все, что подпадает под соглашение о конфиденциальности. Запишите это на одной странице. Пересматривайте это раз в квартал. Составьте короткий список одобренных инструментов ИИ, чтобы люди не гадали, каким из них доверяет ваша компания. Небольшие, повторяемые привычки защищают бизнес надежнее, чем один дорогостоящий инструмент, который никто не понимает. В библиотеке документов CyberHoot есть готовая политика допустимого использования ИИ, которую вы можете отредактировать и использовать в качестве отправной точки.

Двухминутная привычка, которую стоит выработать уже сегодня.

Прежде чем вставлять что-либо в инструмент искусственного интеллекта, сделайте паузу и проведите самоанализ: чувствовали бы вы себя комфортно, если бы этот текст завтра попал в почтовый ящик незнакомого человека? Если ответ отрицательный, удалите его и переработайте запрос, убрав конфиденциальные данные. Анонимизируйте данные: зачастую вам нужны не сами данные, подвергающиеся обработке (иногда это и есть цель), а форматирование и четкая коммуникация с клиентом в электронном письме, требующем большей эмпатии или краткости. Выработка привычки замедлять темп и оценивать вставляемый текст занимает всего несколько секунд, когда становится привычной, и позволяет выявлять большинство рискованных случаев распространения информации еще до того, как они произойдут.

Осознанность растет с практикой.

Каждая команда совершенствует свои навыки выявления рискованных привычек ИИ с помощью практики, позитивного поощрения за хорошее поведение, чрезмерного наказания или публичного осуждения. Когда кто-то делится опасениями по поводу использованного инструмента ИИ, рассматривайте это как возможность учиться вместе, а не как ошибку, которую нужно отметить. Некоторые команды выделяют пять минут на еженедельном совещании для демонстрации и описания ИИ, где каждый может рассказать об использованном инструменте и о любых неожиданных результатах. Уверенность растет, когда люди чувствуют себя в безопасности, задавая вопросы, а уверенность со временем приводит к принятию более взвешенных решений.

Ваш следующий шаг

Выберите один инструмент ИИ, который ваша команда использует на этой неделе, и обсудите его вместе в течение десяти минут. Проверьте соглашение об использовании и обучении инструментов ИИ, чтобы убедиться, что вы используете лицензионный уровень, который защищает ваши данные от обучения ИИ более эффективному выполнению задач. Спросите свою команду, что именно вводится в систему, и согласуйте типы данных, которые в дальнейшем не будут передаваться ИИ. Заодно проверьте настройки инструмента на наличие опции конфиденциальности данных. Загрузите соглашение об использовании инструментов ИИ от CyberHoot и начните его обновлять, чтобы направлять и контролировать работу ваших сотрудников. Такие небольшие разговоры формируют привычки безопасности, которые люди продолжают использовать, и каждый из них делает ваш бизнес немного безопаснее, чем вчера.

---

источники:

• Hacker News: Сеть стала управляющей плоскостью для безопасности ИИ.

---

Часто задаваемые вопросы

Имеет ли брандмауэр Посмотреть, что сотрудники вводят в инструменты искусственного интеллекта?
Нет. Традиционный межсетевой экран видит подключение к веб-сайту ИИ и разрешает его, не читая сам запрос. Он никак не может определить, вставил ли кто-то список клиентов или пароль в поле ввода. Более современные межсетевые экраны проверяют входящий и исходящий контент, что является одним из немногих способов увидеть, какие данные ваша команда отправляет в ИИ.

Какие конфиденциальные данные случайно попадают в инструменты искусственного интеллекта?
Наиболее распространённые утечки происходят в ходе повседневной работы. Сотрудники вставляют списки клиентов для форматирования, загружают контракты с указанием цен, вставляют резюме с домашними адресами и номерами социального страхования или составляют сводные данные по счетам-фактурам, включающие банковские реквизиты поставщиков. Ничто из этого не кажется рискованным в данный момент, но каждая из этих операций передаёт конфиденциальные данные в систему, неподвластную вашему контролю.

Обучаются ли бесплатные инструменты искусственного интеллекта на основе информации, которую вы вводите?
Часто да. Бесплатные потребительские инструменты искусственного интеллекта часто оставляют за собой право сохранять ваши входные данные и использовать их для улучшения будущих версий. Платные бизнес-планы от тех же компаний обычно предлагают более надежная защита конфиденциальностиВ том числе, есть возможность исключить ваши данные из процесса обучения. Прежде чем ваша команда начнет использовать бесплатный инструмент для повседневной работы, проверьте настройки хранения данных или отказа от участия в обучении.

Как проще всего малому бизнесу сократить утечку данных, связанных с искусственным интеллектом?
Начните с правила на одной странице, в котором будет перечислено, чего никогда не следует помещать в общедоступный инструмент ИИ: пароли, финансовые или медицинские записи, данные клиентов. интеллектуальная собственностьа также все, что находится под соглашением о конфиденциальности. Составьте короткий список утвержденных инструментов, чтобы людям не приходилось гадать. Пересматривайте оба списка раз в квартал. Небольшие, повторяемые привычки защищают бизнес надежнее, чем один дорогостоящий инструмент.

Почему межсетевые экраны с проверкой содержимого снова становятся доступными?
Двадцать пять лет назад межсетевые экраны на основе прокси-серверов считывали содержимое каждого пакета на предмет угроз. Они были безопасны, но медленны, поэтому рынок перешел к проверке состояния, которая отслеживает соединения без чтения содержимого. Искусственный интеллект изменил ситуацию. Теперь межсетевой экран видит разрешенное соединение с сайтом, использующим ИИ, не имея представления о передаче данных, поэтому отрасль возвращается к... глубокая проверка контента.

Защитите свой бизнес с CyberHoot сегодня!