Samsung’un, çalışanların ChatGPT’ye hassas kodlar yüklediği yönündeki son keşfi, güvenlik liderlerine, yeni yapay zeka araçlarını kuruluşlarına entegre etme konusunda dikkatli davranmaları gerektiğini hatırlatmalıdır.
gölge yapay zeka
Çalışanlar, kendilerine izin verilsin ya da verilmesin, ChatGPT gibi yeni üretici yapay zeka araçları ailesini kullanıyor. Araştırmalar, çalışanların iki nedenden dolayı haydut davrandığını gösteriyor: Yapay zekanın kendilerini nasıl daha etkili hale getirebileceğini görüyorlar ve kuruluşlarının güvenlik operasyon merkezlerinde yapay zekayı yeterince benimsememesinden (ya da hiç olmamasından) memnun değiller.
Çalışanlar genellikle araçları kötüye kullanarak kuruluşlarını kısa vadeli güvenlik risklerine ve uzun vadeli iş komplikasyonlarına maruz bırakır. Bilgisayar korsanları yalnızca yapay zeka araçlarının güvenlik açıklarından yararlanmakla kalmaz, aynı zamanda eğitim verileriyle oynayarak bunların üzerine inşa edilen iş modellerinin doğruluğunu bozabilir.
Yapay zekayı bir siber güvenlik müttefiki haline getirmek için kuruluşların yeni, son teknoloji yapay zeka araçlarının benimsenmesini sağlayacak eylem planlarını güncellemesi veya belki de oluşturması gerekiyor. İşte kullanmaları gereken birkaç taktik.
Yeni yapay zeka araçlarını kapsayacak şekilde teknoloji kullanım politikalarını güncelleyin
En önemli öncelik, teknoloji kullanımına ilişkin tüm politikaları siber güvenlik bağlamında yeniden gözden geçirmektir. ChatGPT’yi, çalışanların daha önceki gölge BT turlarında benimsediği tüm araçlar gibi ele alın ve politikaları yeni yapay zeka araçları dalgasını kapsayacak şekilde güncelleyin. ChatGPT bir SaaS hizmetidir, dolayısıyla diğer tüm SaaS’ları kapsayan mevcut denetimler, çıkış filtrelemeden içerik filtrelemeye ve veri idaresi denetimlerine kadar her şeyi ele alacak şekilde genişletilmelidir.
Hangi yapay zeka araçlarının kullanılmasının kabul edilebilir olduğunu ve hangilerinin kabul edilmediğini açıkça belirtin. Pek çok kuruluşun yaptığı gibi yeni AI araçlarının kullanımını yasaklamanız veya Samsung’un kod yüklemeleri ortaya çıktıktan sonra yaptığı gibi kullanımlarına geçici kısıtlamalar koymanız gerekmez, ancak bir politika geliştirin ve uygulayın.
Birçok çalışan, bu hizmetlere koydukları verilerin ne kadar değerli olduğunu, başkaları tarafından nasıl kullanılabileceğini ve belirli verilerin gizli olduğunu anlamıyor. Politikalar güncellendikten sonra, personeli veri işleme ve sınıflandırma kuralları konusunda azaltmak önemlidir.
Güvenlik ekiplerinizin neden bu araçlardan yararlandığını anlayın
Çalışanlar, ellerindeki mevcut yapay zeka seçeneklerinden memnun olmadıkları için güvenlik amacıyla ChatGPT ve diğer yetkisiz üretici yapay zeka araçlarını deniyor. Güvenlik liderlerini neden daha etkili, stratejik bir yapay zeka planı oluşturmak için ihtiyaç duydukları bilgilerle donatacağını bulmak.
Çalışanlara yapay zeka kullanımıyla ilgili tercihleri ve SOC içindeki kurumsal varlıkları güvence altına almanın nasıl daha iyi bir iş çıkarabileceği hakkındaki düşünceleri hakkında düzenli olarak anket yapın. Her gün halletmeleri gereken sıradan, tekrarlanabilir görevlerin sayısı onları hayal kırıklığına mı uğratıyor? Mevcut yapay zeka araçlarının çalışma şeklinden rahatsız mı oluyorlar? Daha iyi bir kullanıcı arayüzü mü yoksa daha kapsamlı yetenekler mi arıyorlar?
Başka bir hayal kırıklığı kaynağı, güvenlik operasyonlarına işlenmiş otomasyon eksikliği olabilir. Gelişmiş SOC’ler, bulut güvenliğini yönetme veya güvenliği ihlal edilmiş kullanıcı hesaplarını algılama gibi işlevleri otomatikleştiren Güvenlik Düzenleme Otomasyon Yanıtı (SOAR) özelliğini kullanır. Çalışanların şu anda manuel olarak yürütülen işlevleri kolaylaştırmak için yeni yapay zeka araçlarını deneyip denemediğini öğrenin. Zaman kazandırabilecek veya doğruluğu artırabilecek bir kullanım örnekleri listesi oluşturabilirlerse, bu, güvenlik liderlerinin gelecekte belirli yapay zeka araçlarını oluşturma veya satın alma kararlarını etkileyebilir.
Personelin SOC’de AI kullanmaya hazır olduğundan emin olun
Üretken yapay zeka araçları çok yeni olduğundan, kuruluşların piyasaya çıkan her teklif hakkında kapsamlı eğitim geliştirmeye vakti olmadı. Kullanıcılar aslında onları anında çalıştırmayı öğreniyorlar. Bu, güvenlik personelinin kullanıcı dostu olmayan ve henüz kuruluşlarının politikalarına tam olarak entegre olmayan yeni ürünlerin kullanımıyla başa çıkacak kadar yetenekli olmasını sağlamaya önem verir.
Personel, üretken yapay zekanın ne zaman kullanılacağını ve ne zaman kullanılmayacağını ayırt edebilmelidir. Yapay zeka destekli asistanlar temel görevleri otomatik hale getirebilir, ancak çok adımlı süreçler teknolojiyi karıştırabilir ve hatalı sonuçlar verebilir. Personel ayrıca, kurumsal üretken yapay zekadaki hataları ve tutarsızlıkları araştırmak için gereken özeni göstermelidir.
Kurcalamayı ve bilgi paylaşımını teşvik etmek için bir “korumalı alan” oluşturun
Riskten kaçınan kuruluşlar için üretken yapay zeka araçlarının kullanımının yasaklanması ihtiyatlı bir adım olabilir. Ancak aynı zamanda en iyi yetenekleri bulmak, geliştirmek ve elde tutmak isteyen ekipler için dar görüşlü bir hareket olabilir. Yeni yapay zeka araçlarını denemeye istekli güvenlik uzmanları, gelecekteki çözümler üzerinde çalışmak isteyeceğiniz doğal tamircilerdir.
Bu risk alıcılara deney yapmaları ve oynamaları için biraz serbestlik verin. Alan çok hızlı bir şekilde gelişiyor ve kuruluşların ortaya çıkan teknolojilerden en iyi şekilde yararlanmak için çevik olmaları gerekecek. Harika bir fikir ile yatırım getirisi sağlayan fikir arasında hala bir boşluk var. Tamircilerin araçları önemli kurumsal verilerden korunan bir “korumalı alan”da denemelerine izin vermek faydalı olabilir. Ardından, karar vericilerin doğru teknolojileri doğru kullanım durumları için uygulayabilmelerini sağlamak için bir bilgi paylaşım hattı (öğlen-ve-öğrenme, bir Teams kanalı) oluşturun.
Kuruluşlar bu adımları atarak güvenlik ekiplerinin yapay zekadan değer elde etmesine yardımcı olurken aynı zamanda riski azaltabilir ve verileri güvende tutabilir.