Krótka odpowiedź: Ujednolicone modelowanie łączy ryzyko cybernetyczne, ryzyko związane ze sztuczną inteligencją oraz ryzyko IT poprzez umieszczenie zasobów, systemów, danych, zagrożeń, podatności, zabezpieczeń, dostawców i procesów biznesowych w jednym spójnym modelu ryzyka. Dzięki temu organizacja może zobaczyć, jak problem w jednym obszarze wpływa na pozostałe. Zespoły ds. bezpieczeństwa, AI, IT i ryzyka otrzymują również wspólną podstawę do ustalania priorytetów i podejmowania decyzji.
Cyberbezpieczeństwo, sztuczna inteligencja i IT coraz trudniej traktować jako oddzielne obszary ryzyka.
System AI zależy od danych, infrastruktury chmurowej, tożsamości użytkowników, komponentów oprogramowania oraz zewnętrznych dostawców. Słabość w jednym z tych elementów może wywołać kilka powiązanych zagrożeń. Nieprawidłowa kontrola dostępu może początkowo wyglądać jak problem IT, następnie doprowadzić do incydentu cyberbezpieczeństwa, a ostatecznie wpłynąć na poufność lub wiarygodność systemu AI.
Mimo to wiele organizacji nadal analizuje te ryzyka oddzielnie. Zespoły cyberbezpieczeństwa zarządzają zagrożeniami i podatnościami. Zespoły IT monitorują infrastrukturę i dostępność usług. Zespoły AI koncentrują się na jakości modeli i wyników. Z kolei zespoły ds. zgodności prowadzą osobne rejestry ryzyka i dokumentują zabezpieczenia.
Każdy zespół może wykonywać wartościową pracę, ale rozdzielone oceny utrudniają uzyskanie pełnego obrazu ryzyka organizacji.
Ujednolicony model łączy te różne perspektywy.
Dlaczego ryzyka cybernetyczne, AI i IT są ze sobą powiązane?
AI nie działa niezależnie od szerszego środowiska technologicznego. Korzysta z tej samej infrastruktury, tożsamości, aplikacji, sieci i usług dostawców co pozostałe systemy organizacji.
Rozważmy asystenta AI, który wykorzystuje wewnętrzne informacje firmy. Jego bezpieczeństwo i niezawodność mogą zależeć od:
- jakości danych źródłowych;
- uprawnień przyznanych użytkownikom;
- sposobu klasyfikowania informacji poufnych;
- bezpieczeństwa środowiska chmurowego;
- konfiguracji interfejsów API i integracji;
- bibliotek oprogramowania wykorzystanych w aplikacji;
- zewnętrznego dostawcy modelu lub platformy;
- monitorowania danych wejściowych i odpowiedzi systemu;
- dostępności wspierających usług IT;
- procesu weryfikacji wyników generowanych przez AI.
Problem dotyczący jednego z tych elementów może mieć konsekwencje w kilku kategoriach ryzyka.
Zbyt szerokie uprawnienia mogą umożliwić systemowi AI pobranie informacji, których użytkownik nie powinien zobaczyć. Dane niskiej jakości mogą prowadzić do niewiarygodnych odpowiedzi. Podatna integracja może ujawnić informacje poufne. Awaria zewnętrznego dostawcy może natomiast przerwać ważny proces biznesowy.
Nie są to wyłącznie problemy AI, cyberbezpieczeństwa lub IT. Są to powiązane ryzyka biznesowe, które mają różne przyczyny techniczne.
Czym jest ujednolicone modelowanie ryzyka?
Ujednolicone modelowanie tworzy spójny obraz elementów wpływających na poziom ryzyka w organizacji.
Zamiast przechowywać systemy AI w jednym wykazie, zasoby techniczne w drugim, a ryzyka cybernetyczne w osobnym rejestrze, model ustanawia relacje między nimi.
Ujednolicony model może łączyć:
- usługi biznesowe i procesy krytyczne;
- systemy AI i ich przeznaczenie;
- modele, aplikacje i źródła danych;
- infrastrukturę i zasoby chmurowe;
- użytkowników, tożsamości i uprawnienia;
- zagrożenia, podatności i błędne konfiguracje;
- zabezpieczenia techniczne i organizacyjne;
- wymagania regulacyjne i umowne;
- dostawców oraz partnerów technologicznych;
- właścicieli ryzyka i właścicieli technicznych;
- incydenty, wyjątki i działania naprawcze;
- skutki operacyjne, finansowe i reputacyjne.
Nie powstaje w ten sposób tylko centralna lista. Model pokazuje również, jak poszczególne elementy zależą od siebie i wzajemnie na siebie oddziałują.
Może na przykład wskazać, że aplikacja generatywnej AI wspiera obsługę klienta, korzysta z wewnętrznej bazy wiedzy, działa w środowisku chmurowym i zależy od zewnętrznego dostawcy modelu. Następnie łączy te elementy z mechanizmami kontroli dostępu, wymaganiami dotyczącymi ochrony danych, znanymi podatnościami, zależnościami usługowymi i osobami odpowiedzialnymi.
Taki kontekst pomaga organizacji zrozumieć, co może się wydarzyć, dlaczego ma to znaczenie i kto powinien podjąć działanie.
Dlaczego oddzielne rejestry ryzyka tworzą martwe punkty?
Oddzielne rejestry mogą być przydatne, gdy zespoły zarządzają specjalistycznymi informacjami. Problem pojawia się wtedy, gdy nie istnieje wiarygodne połączenie między tymi rejestrami.
Rejestr cyberbezpieczeństwa może zawierać informację o podatnej aplikacji. Rejestr IT może wskazywać, że aplikacja wspiera usługę krytyczną. Wykaz systemów AI może informować, że dostarcza ona dane do zautomatyzowanego procesu decyzyjnego. Ocena dostawcy może natomiast wykazać problemy związane z jednym z komponentów zewnętrznych.
Jeżeli te informacje nie są połączone, żaden zespół może nie zobaczyć pełnego ryzyka.
Może to prowadzić do:
- powielania ocen;
- niespójnych klasyfikacji ryzyka;
- niejasnej odpowiedzialności;
- różnic między raportowaniem technicznym i biznesowym;
- wielokrotnego testowania tych samych zabezpieczeń;
- pomijania ważnych zależności;
- podejmowania decyzji naprawczych na podstawie niepełnych danych.
Ujednolicone modelowanie nie wymaga rezygnacji ze specjalistycznych narzędzi. Zapewnia wspólną strukturę, dzięki której informacje pochodzące z tych narzędzi mogą zostać właściwie powiązane.
Jak ujednolicone modelowanie łączy trzy obszary ryzyka?
1. Łączy systemy AI z ich zapleczem technicznym
Wykaz systemów AI powinien zawierać więcej niż nazwę rozwiązania i opis jego zastosowania. Powinien także identyfikować aplikacje, źródła danych, infrastrukturę, interfejsy i dostawców, od których dany system zależy.
Takie zależności pozwalają ocenić, czy awaria IT, podatność cybernetyczna lub problem u dostawcy mogą wpłynąć na działanie systemu AI.
2. Łączy ustalenia techniczne z zastosowaniami AI
Znaczenie podatności zależy od miejsca, w którym ona występuje.
Słabość w odizolowanym środowisku programistycznym może stwarzać ograniczone ryzyko. Ta sama podatność w systemie produkcyjnym, który przetwarza dane wrażliwe lub wspiera istotne zastosowanie AI, może wymagać natychmiastowego działania.
Połączenie ustaleń technicznych z zastosowaniami AI i procesami biznesowymi ułatwia ustalanie priorytetów na podstawie rzeczywistych konsekwencji, a nie tylko technicznej oceny istotności.
3. Pozwala wykorzystywać zabezpieczenia w różnych obszarach ryzyka
Wiele zabezpieczeń jednocześnie ogranicza ryzyko cybernetyczne, AI i IT.
Zarządzanie tożsamością, klasyfikacja danych, zarządzanie zmianą, ocena dostawców, rejestrowanie zdarzeń i reagowanie na incydenty mogą wspierać kilka celów związanych z ryzykiem. Ujednolicony model pokazuje, gdzie zabezpieczenia się pokrywają, a gdzie nadal występują rzeczywiste luki.
Ogranicza to powielanie pracy. Pomaga również wykryć sytuacje, w których zabezpieczenie istnieje formalnie, ale nie zostało zastosowane do konkretnego systemu AI, zbioru danych lub usługi.
4. Określa odpowiedzialność
Ryzyko związane z AI często wykracza poza granice jednego zespołu. Zespół AI może odpowiadać za model, IT za infrastrukturę, cyberbezpieczeństwo za monitorowanie zagrożeń, a jednostka biznesowa za proces wykorzystujący system.
Ujednolicony model pozwala oddzielnie przypisać te role. Zapobiega to sytuacji, w której techniczny właściciel systemu jest automatycznie traktowany jako właściciel całego ryzyka biznesowego.
5. Tworzy wspólny obraz wpływu biznesowego
Zespoły cyberbezpieczeństwa, AI i IT mogą korzystać z różnych metod oceny. Jeden zespół mierzy poziom podatności, drugi dostępność usługi, a trzeci wiarygodność odpowiedzi generowanych przez AI.
Ujednolicone modelowanie łączy te specjalistyczne wskaźniki ze wspólnymi skutkami biznesowymi, takimi jak:
- przerwanie działania usługi krytycznej;
- ujawnienie informacji poufnych;
- niewiarygodne lub niewłaściwe decyzje;
- niewypełnienie zobowiązań umownych;
- niezgodność z przepisami;
- straty finansowe;
- szkody dla klientów;
- utrata reputacji.
Daje to kadrze zarządzającej lepszą podstawę do porównywania ryzyka i podejmowania decyzji dotyczących zasobów.
Jak włączyć zarządzanie AI do szerszego systemu zarządzania ryzykiem?
Zarządzanie AI nie powinno stać się kolejnym odizolowanym procesem zgodności.
Powinno współpracować z istniejącymi procesami cyberbezpieczeństwa, zarządzania IT, ochrony danych, zakupów, zarządzania incydentami i ryzykiem korporacyjnym.
W praktyce wymaga to czterech kluczowych działań:
- ustanowienia jasnych zasad, odpowiedzialności i nadzoru;
- zrozumienia działania systemu AI, jego kontekstu i możliwego wpływu;
- regularnego oceniania i monitorowania ryzyka;
- ustalania priorytetów i wdrażania odpowiednich reakcji.
Ujednolicony model może przypisać te działania do tych samych zasobów, usług, właścicieli, zabezpieczeń i dowodów. Ogranicza to ryzyko powstania oddzielnych struktur zarządzania, które obejmują tę samą technologię, ale nie wymieniają informacji.
Praktyczny przykład powiązanego ryzyka
Wyobraźmy sobie organizację wdrażającą generatywnego asystenta AI dla pracowników.
Narzędzie przeszukuje wewnętrzne procedury, dokumentację techniczną i informacje o klientach. Korzysta z aplikacji działającej w chmurze, zewnętrznego modelu językowego i kilku wewnętrznych źródeł danych.
Podczas oceny wykryto następujące problemy:
- uprawnienia w jednym ze źródeł danych są zbyt szerokie;
- dostawca zewnętrzny zmienił warunki świadczenia usługi;
- część dokumentów źródłowych jest nieaktualna;
- aktywność użytkowników nie jest konsekwentnie rejestrowana;
- żaden zespół nie odpowiada za ocenę szkodliwych lub błędnych odpowiedzi.
Analizowane osobno problemy te mogą wydawać się niepowiązane. Ujednolicone modelowanie pokazuje jednak jeden wspólny scenariusz ryzyka.
Zbyt szerokie uprawnienia zwiększają możliwość pobrania niewłaściwych danych. Brak pełnych dzienników utrudnia przeprowadzenie analizy incydentu. Nieaktualne dokumenty obniżają wiarygodność odpowiedzi. Zmiany u dostawcy mogą wpływać na sposób przetwarzania danych lub dostępność usługi. Brak właściciela oznacza natomiast, że nikt nie odpowiada za monitorowanie wyników.
Ryzyko biznesowe nie polega zatem wyłącznie na tym, że „narzędzie AI ma kilka problemów”. Organizacja może ujawnić informacje poufne, przekazywać pracownikom niewiarygodne wskazówki i nie być w stanie ustalić, w jaki sposób powstała problematyczna odpowiedź.
Na tym poziomie kierownictwo może podjąć świadomą decyzję.
Jak zbudować ujednolicony obraz ryzyka cybernetycznego, AI i IT?
Zacznij od ważnych usług i zastosowań AI
Nie próbuj od razu mapować wszystkich systemów w organizacji. Wybierz usługę krytyczną lub zastosowanie AI o wyraźnym znaczeniu operacyjnym.
Określ, co robi dana usługa, kto z niej korzysta i jakie byłyby konsekwencje jej niedostępności, naruszenia bezpieczeństwa lub niewiarygodnego działania.
Zmapuj elementy wspierające
Połącz dane zastosowanie z aplikacjami, źródłami danych, infrastrukturą, tożsamościami, dostawcami i zabezpieczeniami.
Już na tym etapie często wykrywane są wcześniej nieudokumentowane zależności.
Stosuj spójne definicje
Zespoły potrzebują wspólnych definicji takich pojęć jak zasób, system AI, zabezpieczenie, incydent, właściciel ryzyka, usługa krytyczna i wpływ biznesowy.
Celem nie jest usunięcie specjalistycznej terminologii. Chodzi o to, aby równoważne informacje można było interpretować w spójny sposób.
Połącz istniejące oceny
Wykorzystaj informacje pochodzące z zarządzania podatnościami, bezpieczeństwa chmury, ochrony danych, ocen dostawców, planowania ciągłości działania i ocen AI.
Nie twórz nowego wpisu, jeżeli istniejący wynik oceny można powiązać z właściwym systemem lub ryzykiem.
Przypisz odpowiedzialnych właścicieli
Zapisz, kto obsługuje technologię, kto odpowiada za dane i dostawcę oraz kto akceptuje ryzyko biznesowe.
Role te mogą należeć do różnych osób. Wyraźne pokazanie tej różnicy jest niezbędne dla skutecznego zarządzania.
Monitoruj zmiany
Systemy AI, źródła danych i środowiska chmurowe stale się zmieniają. Model powinien być aktualizowany po dodaniu nowej integracji, zmianie usługi dostawcy, wykryciu krytycznej podatności lub zastosowaniu systemu AI w nowym celu.
Ocena ryzyka powinna odzwierciedlać aktualny sposób wykorzystania systemu, a nie tylko warunki istniejące w momencie jego pierwszego zatwierdzenia.
Gdzie AI może wspierać ujednolicone zarządzanie ryzykiem?
AI może również pomagać w analizowaniu samego połączonego modelu ryzyka.
Jeśli organizacja zapewni odpowiednie zarządzanie i wiarygodne dane, procesy wspierane przez AI mogą:
- korelować ustalenia z różnych narzędzi;
- identyfikować brakujące relacje;
- grupować powielone ryzyka;
- podsumowywać dowody techniczne;
- wykrywać zmiany poziomu ekspozycji;
- śledzić zależności między systemami i usługami;
- przygotowywać raporty dla różnych grup odbiorców;
- wskazywać ryzyka wymagające analizy człowieka.
AI powinno jednak wspierać odpowiedzialne podejmowanie decyzji, a nie je zastępować.
Rekomendacje muszą być powiązane z informacjami źródłowymi. Zespoły powinny rozumieć, dlaczego ryzyko otrzymało określony priorytet, jakie założenia zastosowano oraz gdzie dane są niepełne.
Wartość połączonego modelu ryzyka dla biznesu
Połączenie ryzyka cybernetycznego, AI i IT pomaga organizacji odejść od oddzielnych dyskusji technicznych i uzyskać wspólny obraz ekspozycji biznesowej.
Może to pomóc:
- wykrywać ryzyka przekraczające granice zespołów;
- ograniczać powielanie ocen i testów zabezpieczeń;
- wyraźniej przypisywać odpowiedzialność;
- określać priorytety naprawcze na podstawie kontekstu biznesowego;
- usprawnić raportowanie dla kadry zarządzającej;
- wykorzystywać te same dowody w różnych procesach zgodności;
- lepiej rozumieć zależności od dostawców i usług chmurowych;
- rozwijać AI bez oddzielania go od istniejącego zarządzania ryzykiem.
Celem nie jest sprowadzenie wszystkich ryzyk do jednego wyniku. Chodzi o stworzenie odpowiedniej spójności i kontekstu, aby zespoły rozumiały zależności i podejmowały lepiej uzasadnione decyzje.
Połącz ryzyko cybernetyczne, AI i IT
Jeżeli zespoły AI, cyberbezpieczeństwa i IT prowadzą oddzielne wykazy, zabezpieczenia i raporty, organizacja może kilkukrotnie oceniać tę samą technologię, nie widząc przy tym pełnego ryzyka.
Ujednolicony model może połączyć używane systemy, przetwarzane dane, dostawców oraz procesy biznesowe wymagające ochrony.
Umów konsultację z Cybersecurity Analytics, aby ocenić obecny krajobraz ryzyka. Nasi eksperci pomogą stworzyć ramy zarządzania ryzykiem, które połączą ryzyko cybernetyczne, AI i IT poprzez wspólne dane, jasno określoną odpowiedzialność i praktyczne zasady zarządzania.
