მთავარი დასკვნა
დაიწყეთ ინვენტარითა და დასახელებული პასუხისმგებელი პირებით. წვდომისა და ქმედების საზღვრების მტკიცებულებები პასუხისმგებელ პირებს დაუკავშირეთ და შეამოწმეთ დამტკიცების საზღვრები და კონტროლის მუშაობა.
რატომ არის AI‑ის მართვა მნიშვნელოვანი
ზოგიერთ AI ასისტენტსა და აგენტს, მინიჭებული უფლებების მიხედვით, მონაცემთა წაკითხვის გარდა სისტემებში მოქმედებაც შეუძლია. უსაფრთხოების კითხვარისა თუ აუდიტისას გუნდებმა უნდა ახსნან ხელსაწყოს მიზანი, რეალური წვდომა და გადაწყვეტილებებზე ანგარიშვალდებულება. არსებული წვდომის, მომწოდებლისა და ინციდენტის პროცესები AI‑ის გამოყენებაზეც გაავრცელეთ.
1. შეინარჩუნეთ აქტუალური ინვენტარი
განყოფილებების მასშტაბით შეინარჩუნეთ ასისტენტების, აგენტების, მოდელის API‑ების, დანამატებისა და ავტომატიზაციების ერთი განახლებადი სია. აღრიცხეთ მიზანი, მომხმარებლები, ტექნიკური პასუხისმგებელი პირი, მომწოდებელი და საპილოტე თუ საწარმოო სტატუსი. განაახლეთ ინტეგრაციის დამატებისას და არა გადახედვის წინ თავიდან შექმნით.
2. აღწერეთ მონაცემებზე უფლებები
აღწერეთ, რომელი ფაილების, საფოსტო ყუთების, რეპოზიტორიებისა და აპლიკაციების წაკითხვა, შეცვლა ან სხვა სისტემაში გაგზავნა შეუძლია თითოეულ აგენტს. მიუთითეთ მონაცემთა წყაროები და მგრძნობელობა. კონფიგურაციის ყოველი ცვლილებისას ეს ჩანაწერი რეალურ უფლებებს შეაჯერეთ.
3. გამოიყენეთ როლზე დაფუძნებული მინიმალური უფლებები
აგენტის როლს მხოლოდ ამოცანისთვის საჭირო უფლებები მიანიჭეთ. სერვისული იდენტობები ადამიანების ანგარიშებისგან გამიჯნეთ და ფართო ადმინისტრირების ნაცვლად კონკრეტული რესურსები და ქმედებები დაუშვით. დროებით წვდომას ვადა დაუდგინეთ და ამოცანის დასრულებისას უფლებები მოხსენით.
4. შეინახეთ ქმედებების აუდიტის კვალი
შეინახეთ ძებნადი ჩანაწერები, რა გააკეთა აგენტმა, როდის და ვისი სახელით. ქმედებები დამტკიცებებს, შედეგებსა და შეცდომებს დაუკავშირეთ, რათა გამომძიებელს მოვლენების აღდგენა შეეძლოს. განსაზღვრეთ შენახვის ვადა, ჟურნალებზე წვდომა და მგრძნობიარე შიგთავსის დაცვა.
5. მოითხოვეთ ადამიანის დამტკიცება
მგრძნობიარე ან ძნელად შექცევად ქმედებამდე, მაგალითად მონაცემთა წაშლამდე, თანხის გადატანამდე ან წვდომის უფლებების შეცვლამდე, მოითხოვეთ ადამიანის თანხმობა. დამმტკიცებელს აჩვენეთ მიზანი და დაზარალებული რესურსები. შეამოწმეთ, რომ დაუმტკიცებელი ქმედებები დამტკიცების საზღვარზე ჩერდება.
6. გამიჯნეთ გუნდები და კლიენტები
საერთო პლატფორმაზე მომუშავე აგენტს არ მისცეთ ერთი განყოფილების ან კლიენტის მონაცემების სხვის სამუშაოში გამოყენების საშუალება. განსაზღვრეთ ანგარიშების, ცოდნის საცავებისა და ინტეგრაციების საზღვრები. შეამოწმეთ გარემოებს შორის წვდომა როგორც მონაცემების წაკითხვის, ისე ქმედებების შესრულების მხრივ.
7. ახალი ხელსაწყოები წერილობითი პოლიტიკით დაამტკიცეთ
დანერგვამდე გუნდს მოსთხოვეთ მიზნის, მონაცემების, ინტეგრაციებისა და პასუხისმგებელი პირის წარმოდგენა. განსაზღვრეთ უსაფრთხოების, მონაცემებზე პასუხისმგებელი პირისა და სხვა შესაბამისი ფუნქციების გადახედვები. მოდელის, გამოყენების სცენარის ან ინტეგრაციის ცვლილებისას დამტკიცებები ხელახლა შეაფასეთ მოკლე პოლიტიკით, რომლის შესრულებაც თანამშრომლებს შეუძლიათ.
8. მოამზადეთ AI ინციდენტის გეგმა
მოემზადეთ მოთხოვნებიდან მონაცემთა გაჟონვისა და აგენტის გაუთვალისწინებელი ქმედებებისთვის. განსაზღვრეთ უფლებამოსილი ინციდენტზე პასუხისმგებელი პირი და ესკალაციის გზა, აგენტის პროპორციული შეჩერებისა და წვდომის გაუქმების ჩათვლით. მტკიცებულებები შეინახეთ და სამუშაო პროცესის აღდგენამდე მიზეზი დაადგინეთ.
9. წვდომას რეგულარულად გადახედეთ
გადახედვის პერიოდულობა რისკის მიხედვით განსაზღვრეთ. პასუხისმგებელი პირები საჭირო უფლებებს ხელახლა ადასტურებენ და გამოუყენებელ ინტეგრაციებსა თუ არააქტიურ იდენტობებს შლიან. როლებისა და გუნდების ცვლილებებს სწრაფად გადახედეთ, შემდეგ ციკლს არ დაელოდოთ; შეინახეთ გადაწყვეტილება და დასრულების თარიღი.
10. ასწავლეთ თანამშრომლებს დასაშვები გამოყენება
ასწავლეთ თანამშრომლებს, რომელი ხელსაწყოებია მათი როლისთვის დამტკიცებული, რა მონაცემების შეყვანა შეუძლიათ და როდის უნდა გადაამოწმონ შედეგი. გამოიყენეთ პრაქტიკული მაგალითები და შექმენით დაუმტკიცებელი ხელსაწყოებისა თუ მოულოდნელი ქმედებების შეტყობინების მკაფიო გზა. ნებადართული სამუშაო პროცესის ცვლილებისას ტრენინგი განაახლეთ.
11. შეაფასეთ მომწოდებლის რისკი
გადახედეთ, როგორ ამუშავებს, ინახავს და ხელახლა იყენებს მონაცემებს AI სერვისის ან ჩაშენებული AI ფუნქციის მომწოდებელი. შეაფასეთ სახელშეკრულებო პირობები, წვდომა, ინტეგრაციები და ინციდენტის შეტყობინება. მომწოდებლის ცვლილებები ხელსაწყოს დამტკიცების პროცესში ჩართეთ და საწყის გადახედვას მუდმივ დამტკიცებად ნუ მიიჩნევთ.
12. განსაზღვრეთ მართვაზე პასუხისმგებელი პირი
განსაზღვრეთ მთელი პროგრამის მიმართ ანგარიშვალდებული პირი ან გუნდი. დააზუსტეთ IT‑ის, უსაფრთხოებისა და შესაბამისობის პასუხისმგებლობები, გადაწყვეტილების უფლებამოსილება და ანგარიშგება. ღია ხარვეზებს პასუხისმგებელი პირი და ვადა მიუჩინეთ; ვადაგადაცილებული ქმედებები და რისკზე გადაუწყვეტელი საკითხები ხელმძღვანელობას წარუდგინეთ.
ხარვეზები თანდათან აღმოფხვერით
ჯერ ინვენტარი დაასრულეთ, შემდეგ წვდომის კონტროლი, დამტკიცებები და ჟურნალების წარმოება გამოიყენეთ აგენტებზე, რომლებიც მგრძნობიარე მონაცემებს ამუშავებენ ან მნიშვნელოვანი შედეგის მქონე ქმედებებს ასრულებენ. გამოიყენეთ მომწოდებლების არსებული გადახედვები და ინციდენტის პროცესები. პლატფორმის არჩევისას საკუთარი სცენარით აჩვენეთ როლის ფარგლები, ცენტრალური ხილვადობა, იზოლაცია და დამტკიცების საზღვრები, შემდეგ კი გრაფიკით შეინარჩუნეთ ინვენტარი, სწავლება და უფლებების გადახედვა.