Mesterséges Intelligencia Adatbiztonsága
2023-ban a Samsung alkalmazottai akaratlanul is bizalmas vállalati információkat szivárogtattak ki, amikor munkájuk támogatására a ChatGPT-t használták. Nem egy kifinomult kibertámadás történt, hanem egy jó szándékú kísérlet a hatékonyabb munkavégzés érdekében. Ahogy a szervezetek egyre szélesebb körben alkalmazzák a generatív mesterséges intelligencián alapuló eszközöket (például a ChatGPT-t, a Gemini-t vagy a Claude-ot), az innováció és az adatbiztonság közötti feszültség az AI-korszak egyik meghatározó kihívásává válik.
Miért jelent új adatbiztonsági kockázatot a mesterséges intelligencia?
A nagy nyelvi modellek (LLM-ek) elmossák azokat a határokat, amelyekre a hagyományos biztonsági megoldások épülnek. Az alkalmazottak ugyanolyan egyszerűen használhatnak nagy teljesítményű AI-eszközöket, mint egy új böngészőlap megnyitását, gyakran anélkül, hogy pontosan tisztában lennének azzal, hol tárolják, dolgozzák fel vagy használják fel újra az általuk megadott információkat. Egy jó szándékú próbálkozás, például értekezleti jegyzetek összefoglalása, programkód hibakeresése vagy ügyfél-visszajelzések elemzése, akaratlanul is bizalmas információk kiszivárgásához vezethet.
A hagyományos szoftverekkel ellentétben az AI-rendszerek működése kevésbé kiszámítható. Válaszaikat hatalmas mennyiségű adaton megtanult mintázatok alapján generálják, és képesek külső rendszerekkel, adatbázisokkal és API-kkal is együttműködni. Ez új támadási felületeket hoz létre. Rosszindulatú felhasználók megpróbálhatják manipulálni a promptokat annak érdekében, hogy olyan információkhoz jussanak hozzá, amelyekhez nem lenne jogosultságuk, miközben szoftverhibák vagy helytelenül konfigurált integrációk váratlan adatvédelmi incidenseket okozhatnak.
A következmények nem csupán elméleti jellegűek. Az IBM adatai szerint azoknak a szervezeteknek a 31%-a, amelyek AI-val kapcsolatos biztonsági incidenst tapasztaltak, jogosulatlan hozzáférésről számolt be érzékeny adatokhoz, míg 29%-uk az adatok sértetlenségének (integritásának) elvesztését jelentette.
A technikai kockázatok mellett a szervezeteknek figyelembe kell venniük a jogszabályi megfelelési kötelezettségeket, az ügyfelek elvárásait, valamint a szellemi tulajdon védelmét is. A személyes adatok AI-szolgáltatásokkal történő megosztása ütközhet az adatvédelmi előírásokkal, míg a bizalmas vállalati információk kiszivárgása hosszú távú üzleti következményekkel járhat. Az IBM adatai szerint a shadow AI-hoz (a szervezet által nem jóváhagyott vagy nem felügyelt AI-használathoz) kapcsolódó adatvédelmi incidensek 65%-ában személyazonosításra alkalmas ügyféladatok (Personally Identifiable Information, PII) is érintettek voltak, így ezek bizonyultak a leggyakrabban kompromittált adattípusnak. Ez jól mutatja, hogy az AI-val kapcsolatos incidensek gyorsan adatvédelmi, megfelelőségi és bizalmi problémákká válhatnak.
Mindez nem jelenti azt, hogy a mesterséges intelligencia önmagában nem biztonságos. Inkább arról van szó, hogy új lehetőségeket teremt az érzékeny információk megosztására, elérésére és kiszivárgására. Azok a szervezetek, amelyek időben felismerik ezeket a kockázatokat, megfelelő védelmi intézkedéseket vezethetnek be, és magabiztosan, biztonságosan alkalmazhatják a mesterséges intelligenciát.
Három incidens, amely megváltoztatta a szervezetek mesterséges intelligenciával kapcsolatos gondolkodását
A generatív mesterséges intelligenciával kapcsolatos biztonsági kockázatok ma már nem csupán elméleti jellegűek. Számos nagy visszhangot kiváltó incidens mutatta meg, milyen gyorsan kerülhetnek ki érzékeny információk ezekből a rendszerekből, gyakran nem kifinomult kibertámadások, hanem hétköznapi felhasználás következtében.
1. Samsung: Hatékonyság a bizalmasság rovására
2023-ban a Samsung alkalmazottai a ChatGPT-t olyan feladatok támogatására használták, mint a forráskód hibakeresése vagy értekezleti jegyzetek összefoglalása. Ennek során akaratlanul is bizalmas vállalati információkat töltöttek fel egy külső AI-szolgáltatásba. Az incidens hatására a Samsung korlátozta a nyilvánosan elérhető AI-eszközök használatát, és felgyorsította a belső fejlesztésű alternatívák kialakítását.
A tanulság egyértelmű volt: még a jó szándékú alkalmazottak is egy szervezet AI-val kapcsolatos kockázatainak legjelentősebb forrásává válhatnak. Egyértelmű szabályzatok és jóváhagyott eszközök hiányában a hatékonyság növelésére irányuló törekvés akaratlanul is értékes szellemi tulajdon kiszivárgásához vezethet.
2. A ChatGPT hibája: Még a megbízható platformok sem tévedhetetlenek
Szintén 2023-ban az OpenAI nyilvánosságra hozta, hogy egy szoftverhiba következtében egyes ChatGPT-felhasználók más felhasználók beszélgetéseinek címeit is láthatták. A vállalat azt is megerősítette, hogy bizonyos előfizetési és számlázási adatok szintén érintettek lehettek.
Az incidens rávilágított egy kellemetlen valóságra: a szervezetek nemcsak abban bíznak, hogy munkavállalóik felelősségteljesen használják az AI-eszközöket, hanem a külső szolgáltatók biztonsági gyakorlatában is. Még a legmegbízhatóbb platformokon is előfordulhatnak sérülékenységek, ezért a beszállítók alapos átvilágítása és a kockázatok előzetes felmérése elengedhetetlen.
3. Olaszország ideiglenes tiltása: A szabályozó hatóságok is fokozott figyelmet fordítanak az AI-ra
Az adatvédelmi aggályokra reagálva az olasz adatvédelmi hatóság 2023-ban ideiglenesen megtiltotta a ChatGPT használatát az országban. A hatóság megkérdőjelezte, hogy a személyes adatok gyűjtése és kezelése során megfelelő garanciák állnak-e rendelkezésre, és előírta, hogy az OpenAI további intézkedéseket vezessen be a szolgáltatás újbóli elérhetővé tétele előtt.
Az üzenet a szervezetek számára egyértelmű volt: a mesterséges intelligencia bevezetése már nem csupán informatikai döntés. A jogi, megfelelőségi és vállalatirányítási területeknek is aktívan részt kell venniük a folyamatban annak érdekében, hogy az innováció összhangban legyen a folyamatosan fejlődő szabályozási elvárásokkal.
Öt alapelv a mesterséges intelligencia biztonságos alkalmazásához
A jó hír az, hogy a szervezeteknek nem kell választaniuk az innováció és a biztonság között. Néhány alapvető irányelv bevezetésével a vállalkozások kiaknázhatják a mesterséges intelligencia előnyeit, miközben a felesleges kockázatokat is minimálisra csökkenthetik.
1. Egyértelmű szabályok kialakítása
Az alkalmazottaknak pontosan tudniuk kell, milyen információkat oszthatnak meg AI-eszközökkel, és melyeket nem. Célszerű elfogadható használati szabályzatot kialakítani, az adatokat érzékenységük szerint osztályozni, valamint egyértelmű elvárásokat megfogalmazni arra vonatkozóan, hogyan használható a mesterséges intelligencia a mindennapi munkavégzés során. Az IBM kutatása szerint azoknak a szervezeteknek a 97%-a, amelyek AI-val kapcsolatos biztonsági incidenst tapasztaltak, nem rendelkezett megfelelő hozzáférés-szabályozással az AI-rendszerekhez. Az AI-eszközökhöz való hozzáférést ugyanazzal a körültekintéssel kell kezelni, mint a kritikus üzleti rendszerekhez való hozzáférést.
2. Az adatvédelem figyelembevételével válasszunk AI-eszközöket
Nem minden AI-platform kezeli ugyanúgy a felhasználói adatokat. Egy megoldás bevezetése előtt fontos megismerni, hogy a rendszer hogyan tárolja a promptokat, felhasználja-e azokat a modellek továbbtanítására, valamint milyen biztonsági és adatvédelmi funkciókat kínál. Érzékeny felhasználási területek esetén érdemes vállalati (enterprise) megoldásokat vagy privát telepítésű rendszereket választani, amelyek magasabb szintű adatvédelmet biztosítanak.
3. Csak a feltétlenül szükséges adatokat osszuk meg
A kockázatok csökkentésének egyik legegyszerűbb módja, ha csak akkor osztunk meg érzékeny adatokat AI-rendszerekkel, amikor az valóban elengedhetetlen. Távolítsuk el a személyazonosításra alkalmas adatokat, anonimizáljuk az ügyféladatokat, és ahol lehetséges, használjunk helyettesítő adatokat vagy jelölőket. Minél kevesebb érzékeny információ kerül az AI-rendszerbe, annál kisebb egy esetleges adatvédelmi incidens várható hatása.
4. Figyeljük a működést, és készüljünk fel a váratlan helyzetekre
Még a megfelelő védelmi intézkedések mellett is előfordulhatnak hibák vagy biztonsági sérülékenységek. Érdemes figyelemmel kísérni az AI-rendszerekkel folytatott interakciókat, olyan ellenőrzéseket bevezetni, amelyek képesek felismerni az érzékeny információkat a promptokban és a generált válaszokban, valamint az AI-val kapcsolatos eseményeket beépíteni a szervezet incidenskezelési terveibe. A szervezeteknek abból kell kiindulniuk, hogy problémák előfordulhatnak, ezért fel kell készülniük a gyors és hatékony reagálásra.
5. Tegyük a munkavállalókat a megoldás részévé
A technológia önmagában nem képes minden biztonsági incidenst megelőzni. Az alkalmazottak egyszerre jelentik a szervezet első védelmi vonalát és – akaratukon kívül – a legjelentősebb kockázati tényezőt. Az árnyék-AI-hoz (shadow AI) kapcsolódó biztonsági incidensek gyakoribbak voltak, mint a jóváhagyott AI-rendszereket érintő események, ami jól mutatja a szervezeti szabályozáson kívül használt, nem engedélyezett AI-eszközök kockázatait. A rendszeres tudatosságnövelő képzések, a gyakorlati útmutatások és a jóváhagyott AI-eszközök biztosítása segíthet abban, hogy a munkatársak magabiztosan és felelősségteljesen használják a mesterséges intelligenciát, ahelyett hogy nem engedélyezett alternatívákhoz fordulnának.
A mesterséges intelligencia biztonságos alkalmazása nem azt jelenti, hogy minden kockázat teljes mértékben megszüntethető. Sokkal inkább egy olyan környezet kialakításáról szól, amelyben a munkavállalók világosan meghatározott keretek között tudnak innovatív módon dolgozni. Azok a szervezetek, amelyek egyértelmű irányítási szabályokat, tudatos technológiai döntéseket és magas szintű biztonságtudatosságot ötvöznek, a lehető legjobban használhatják ki a mesterséges intelligencia nyújtotta lehetőségeket anélkül, hogy veszélyeztetnék adataik biztonságát vagy az adatvédelmet.
Az innováció és a biztonság nem zárják ki egymást
A mesterséges intelligenciáról szóló vitákban gyakran úgy jelenik meg az innováció és a biztonság, mint egymással versengő célok: vagy gyorsan haladunk, és elfogadjuk a vele járó kockázatokat, vagy lelassítjuk a fejlesztéseket az adatok védelme érdekében. A valóság azonban az, hogy a legsikeresebb szervezetek felismerik: az innováció és a biztonság egymást erősítik.
A munkavállalók továbbra is keresni fogják azokat az AI-eszközöket, amelyek segítségével gyorsabban és hatékonyabban dolgozhatnak. A megoldás nem az, hogy teljes mértékben megtiltjuk ezek használatát, hanem az, hogy egyértelmű iránymutatást, biztonságos alternatívákat és megfelelő védelmi intézkedéseket biztosítunk a felelős alkalmazás támogatására. Ha az emberek tisztában vannak a szabályokkal, és rendelkezésükre állnak jóváhagyott megoldások, magabiztosan tudnak innoválni anélkül, hogy kockázatos kerülőmegoldásokhoz folyamodnának.
Azok a szervezetek, amelyek a legnagyobb előnyt fogják kovácsolni a mesterséges intelligenciából, nem feltétlenül azok lesznek, amelyek elsőként vezetik be azt. Sokkal inkább azok, amelyek már a kezdetektől beépítik AI-stratégiájukba a biztonság, az adatvédelem és a megfelelő irányítás (governance) elveit. Egyértelmű szabályzatok kialakításával, megbízható technológiák kiválasztásával és a biztonságtudatos szervezeti kultúra erősítésével a vállalatok úgy használhatják ki a mesterséges intelligencia előnyeit, hogy közben megőrzik ügyfeleik, munkavállalóik és üzleti partnereik által rájuk bízott adatok biztonságát.
A mesterséges intelligencia alapjaiban alakítja át a munkavégzés módját. A valódi kihívás már nem az, hogy alkalmazzuk-e ezt a technológiát, hanem az, hogy ezt felelősségteljesen tegyük. Azok a szervezetek, amelyek képesek megtalálni a megfelelő egyensúlyt az innováció és a biztonság között, lesznek a legjobb helyzetben ahhoz, hogy sikeresen működjenek a generatív mesterséges intelligencia korszakában..
Az AI-biztonságtudatosságtól a szervezeti felkészültségig
A generatív mesterséges intelligenciával kapcsolatos kockázatok megértése csupán az első lépés. Az igazi kihívást az jelenti, hogy ezt a tudást olyan gyakorlati szabályzatokká és irányítási mechanizmusokká alakítsuk, amelyek lehetővé teszik a szervezetek számára a mesterséges intelligencia biztonságos és felelős alkalmazását.
Ahogy a mesterséges intelligencia egyre inkább a mindennapi üzleti folyamatok részévé válik, a szervezeteknek biztosítaniuk kell, hogy használata összhangban legyen a meglévő információbiztonsági követelményekkel és a vonatkozó jogszabályi előírásokkal. Az olyan kérdések, mint az adatok osztályozása, a használati szabályzatok kialakítása, a beszállítók biztonsági értékelése, a hozzáférések kezelése, a munkavállalók biztonságtudatossága vagy az incidenskezelés, nem kezelhetők a szervezet átfogó információbiztonsági stratégiájától elkülönítve.
Ez különösen fontos napjainkban, amikor olyan szabványok és szabályozások, mint az ISO 27001, a TISAX vagy a NIS2, egyre nagyobb hangsúlyt fektetnek a megfelelő irányításra, kockázatkezelésre, a harmadik felek felügyeletére és az érzékeny információk védelmére. Bár ezek a keretrendszerek nem kifejezetten a generatív mesterséges intelligenciára készültek, az általuk előírt kontrollok szilárd alapot biztosítanak az AI-val kapcsolatos kockázatok kezeléséhez.
Az msg Plaut Hungary-nél abban támogatjuk ügyfeleinket, hogy megerősítsék információbiztonsági felkészültségüket, valamint megfeleljenek a különböző szabályozási és tanúsítási követelményeknek. Az információbiztonsági irányítási rendszerek (ISMS) kialakításától és a kockázatértékelésektől kezdve az ISO 27001 bevezetésén, a TISAX-felkészítésen és a NIS2-megfelelés támogatásán át segítjük a vállalatokat olyan irányítási struktúrák és biztonsági kontrollok kialakításában, amelyek lehetővé teszik az új technológiák magabiztos és biztonságos alkalmazását.
Azok a szervezetek, amelyek már ma szilárd információbiztonsági alapokat teremtenek, sokkal felkészültebben fogadják a mesterséges intelligencia jövőbeli innovációit. Az AI meglévő irányítási és megfelelőségi keretrendszerekbe történő integrálásával a vállalatok úgy használhatják ki a technológia nyújtotta előnyöket, hogy közben megőrzik ügyfeleik, üzleti partnereik, a szabályozó hatóságok és munkavállalóik bizalmát.