W skrócie
Europejska firma produkcyjna analizowała, jak sztuczna inteligencja może wspierać planowanie produkcji, kontrolę jakości, utrzymanie maszyn, obsługę klienta i zarządzanie wiedzą.
Kilka zespołów rozpoczęło już testowanie rozwiązań AI. Część pracowników korzystała z ogólnodostępnych narzędzi generatywnej AI. Inne zespoły współpracowały z dostawcami nad wewnętrznym asystentem AI, automatycznym przetwarzaniem dokumentów i rozwiązaniami do predykcyjnego utrzymania maszyn.
Firma dostrzegała możliwe korzyści. AI mogła ułatwić wyszukiwanie informacji, ograniczyć powtarzalne zadania i pomóc wcześniej wykrywać problemy operacyjne. Projekty rozwijały się jednak w różnym tempie i nie były oceniane w ramach jednego procesu zarządzania ryzykiem.
Zespół bezpieczeństwa posiadał informacje o systemach, podatnościach i zabezpieczeniach. Zespół ochrony danych prowadził rejestry przetwarzania danych osobowych. Dział zakupów odpowiadał za umowy i oceny dostawców, a zespoły biznesowe znały planowane zastosowania AI. Informacje te nie były jednak systematycznie łączone.
Utrudniało to odpowiedź na podstawowe pytania:
- ?Które procesy biznesowe będą zależały od planowanych rozwiązań AI?
- ?Jakie informacje będą wykorzystywane do trenowania, obsługi lub przekazywania poleceń modelom?
- ?Czy może dojść do ujawnienia danych poufnych, osobowych lub produkcyjnych?
- ?Które aplikacje i elementy infrastruktury wspierają poszczególne zastosowania?
- ?Którzy zewnętrzni dostawcy mogą uzyskać dostęp do informacji firmy?
- ?Co się stanie, jeżeli wynik wygenerowany przez AI będzie błędny?
- ?Które zabezpieczenia już działają, a których nadal brakuje?
- ?Kto odpowiada za zatwierdzanie i monitorowanie każdego zastosowania AI?
Pomogliśmy klientowi stworzyć połączony model cyberbezpieczeństwa obejmujący zastosowania AI, procesy biznesowe, aplikacje, dane, infrastrukturę, dostawców, ryzyka, zabezpieczenia i odpowiedzialnych właścicieli.
Model nie podejmował automatycznie decyzji o zatwierdzeniu projektu. Zapewniał wspólny obraz sytuacji, dzięki któremu zespoły mogły rozpoznawać zależności, omawiać ryzyka i uzgadniać odpowiednie środki ochronne.
O kliencie
To studium przypadku przedstawia reprezentatywny i zanonimizowany scenariusz klienta. Wybrane szczegóły operacyjne oraz rezultaty zostały dostosowane w celu ochrony poufności.
Wyzwanie
Projekty AI nie rozpoczynały się w ramach jednego procesu. Poszczególne działy testowały różne rozwiązania, a część pracowników korzystała już z publicznych narzędzi AI podczas codziennej pracy.
Pojedyncze zastosowanie mogło wyglądać na mało ryzykowne. Szerszy obraz często pokazywał jednak, że rozwiązanie przetwarza poufne dokumenty techniczne, korzysta z danych klientów, współpracuje z systemami wewnętrznymi lub zależy od zewnętrznego dostawcy modelu.
Istniejące rejestry ryzyka i aktywów nie przedstawiały tych zależności w wystarczający sposób.
Główne problemy obejmowały:
Co klient chciał osiągnąć
Projekt miał sześć głównych celów:
Stworzyć wiarygodny rejestr aktywnych, planowanych i eksperymentalnych zastosowań AI.
Połączyć każde zastosowanie z celem biznesowym, systemami, danymi, modelami i dostawcami.
Wspólnie oceniać ryzyko cybernetyczne, operacyjne i ryzyko dla prywatności.
Określić zabezpieczenia wymagane przed zatwierdzeniem rozwiązania.
Wyznaczyć właścicieli biznesowych, technicznych i właścicieli ryzyka.
Wprowadzić monitoring i reguły ponownej oceny po istotnych zmianach.
Co zrobiliśmy
Zaczęliśmy od biznesowego celu każdego zastosowania AI
Dla każdego przypadku określiliśmy problem biznesowy, użytkowników, wspierane decyzje, oczekiwane korzyści i możliwe konsekwencje błędnego wyniku.
Stworzyliśmy wspólną strukturę opisu zastosowań AI
Każdy wpis obejmował cel, proces biznesowy, aplikacje, infrastrukturę, model, dane, użytkowników, dostawców, właścicieli, ryzyka, zabezpieczenia i status zatwierdzenia.
Połączyliśmy zastosowania AI z danymi i technologią
Model pokazywał, skąd pochodziły informacje, jak trafiały do usługi AI, gdzie przechowywano wyniki i które procesy z nich korzystały.
Oceniliśmy ryzyka związane z AI i cyberbezpieczeństwem w jednym procesie
Ocena obejmowała nieuprawniony dostęp, ujawnienie danych, manipulację danymi wejściowymi, nierzetelne wyniki, nadmierne poleganie na automatyzacji, awarie dostawców i brak możliwości prześledzenia decyzji.
Sprawdziliśmy, czy zabezpieczenia rzeczywiście ograniczają ryzyko
Dla każdego istotnego zabezpieczenia określiliśmy zakres, właściciela, wymagane dowody, częstotliwość przeglądu, ograniczenia i ryzyko pozostające.
Wprowadziliśmy proporcjonalny proces zatwierdzania
Podzieliliśmy zastosowania na trzy kategorie: o niewielkim wpływie, kontrolowane zastosowania biznesowe i zastosowania o dużym wpływie. Zakres oceny zależał od przetwarzanych danych, integracji i możliwych konsekwencji.
Określiliśmy monitoring oraz zdarzenia wymagające ponownej oceny
Nowe źródła danych, dodatkowi użytkownicy, zmiana dostawcy, nowe zastosowanie wyniku, incydent lub nieskuteczne zabezpieczenie powodowały konieczność ponownego przeglądu.
Usprawniliśmy raportowanie
Raporty pokazywały aktywne inicjatywy, wykorzystanie danych wrażliwych, najważniejsze ryzyka, brakujące zabezpieczenia, zależności od dostawców, wyjątki i decyzje wymagane od kierownictwa.
Co dostarczyliśmy
- ✓centralny rejestr zastosowań AI;
- ✓połączony model rozwiązań AI, procesów, aplikacji, danych i dostawców;
- ✓wspólną metodę oceny ryzyka;
- ✓ścieżki zatwierdzania dostosowane do poziomu ryzyka;
- ✓jasno określone obowiązki właścicieli;
- ✓bibliotekę zabezpieczeń wraz z wymaganiami dotyczącymi dowodów;
- ✓reguły ponownej oceny po zmianach;
- ✓proces obsługi wyjątków i eskalacji;
- ✓szablony raportów dla kierownictwa i zespołów projektowych;
- ✓praktyczne zasady utrzymywania modelu.
Rezultaty
W ciągu dziewięciu miesięcy firma:
Wyniki są częścią reprezentatywnego scenariusza.
Co zmieniło się dla klienta
Firma uzyskała wspólny obraz wykorzystania AI, lepszą podstawę do podejmowania decyzji i wyraźnie określoną odpowiedzialność. Niewielkie eksperymenty nie były już oceniane tak samo jak rozwiązania wpływające na ważne procesy. Zmiany dotyczące danych, modeli, użytkowników i dostawców mogły uruchomić ponowną ocenę ryzyka.
Czego się nauczyliśmy
- ✓Ocena powinna zaczynać się od celu biznesowego, a nie od technologii.
- ✓Ryzyka AI są powiązane z istniejącymi ryzykami cybernetycznymi.
- ✓Przydatny rejestr AI musi zawierać więcej niż nazwy produktów.
- ✓Automatyzacja wymaga wiarygodnych danych źródłowych.
- ✓Nadzór człowieka musi mieć konkretne znaczenie i odpowiedzialnego właściciela.
- ✓Zatwierdzenie nie powinno obowiązywać bezterminowo.
Komentarz klienta
„Przed rozpoczęciem projektu nasze inicjatywy AI były omawiane oddzielnie przez różne zespoły. Połączony model pokazał nam, gdzie rozwiązania zależały od danych wrażliwych, ważnych systemów i zewnętrznych dostawców. Mogliśmy wspierać wartościowe projekty, a jednocześnie znacznie precyzyjniej określać wymagane zabezpieczenia i odpowiedzialność.”
Powyższy komentarz jest przykładem przygotowanym na potrzeby reprezentatywnego scenariusza.
Podsumowanie
Firma nie potrzebowała osobnego rejestru ryzyka dla każdego eksperymentu AI. Potrzebowała lepszego sposobu na pokazanie zależności.
Połączenie zastosowań AI z procesami biznesowymi, danymi, aplikacjami, dostawcami, zabezpieczeniami i właścicielami stworzyło praktyczną podstawę do podejmowania decyzji.
Zespoły biznesowe mogły przedstawić oczekiwaną wartość projektu. Zespoły bezpieczeństwa i ochrony danych mogły wskazać najważniejsze ryzyka. Zespoły techniczne wiedziały, jakie zabezpieczenia należy wdrożyć. Kierownictwo otrzymało natomiast jasny obraz możliwości, zależności i nierozwiązanych zagrożeń.
Zarządzanie AI stało się częścią istniejącego podejścia firmy do ryzyka cybernetycznego i biznesowego.
Czy Twoja organizacja mierzy się z podobnym problemem?
Cybersecurity Analytics może pomóc:
- ✓zidentyfikować zastosowania AI w całej organizacji;
- ✓połączyć inicjatywy AI z danymi, aplikacjami i procesami biznesowymi;
- ✓wspólnie oceniać ryzyko związane z AI, cyberbezpieczeństwem, prywatnością i działalnością operacyjną;
- ✓zrozumieć zależności od dostawców i technologii;
- ✓określić proporcjonalne zabezpieczenia i ścieżki zatwierdzania;
- ✓wyznaczyć odpowiedzialnych właścicieli i terminy przeglądów;
- ✓wprowadzić automatyczny monitoring bez usuwania nadzoru człowieka;
- ✓przedstawić kierownictwu bardziej przejrzysty obraz ryzyka związanego z AI.
