השימוש בכלי בינה מלאכותית (AI) משתלב יותר ויותר בתהליכי העבודה בארגונים. כלים אלה עשויים לשמש, בין היתר, לכתיבה וניסוח, ניתוח מידע, פיתוח תוכנה, שירות ותמיכה וביצוע פעולות ותהליכים ארגוניים נוספים.
לצד היתרונות, השימוש בבינה מלאכותית עשוי ליצור סיכונים לאבטחת המידע. לכן חשוב לנהל את השימוש בכלי AI באופן מבוקר ובהתאם לדרישות התקן, לפעילות הארגון, למידע המעובד, למערכות ולסיכונים הרלוונטיים.
סיכוני אבטחת מידע בשימוש ב-AI
הסיכונים עשויים להשתנות בהתאם לסוג הכלי, לאופן השימוש בו, למידע שאליו הוא נחשף ולמערכות שאליהן הוא מחובר.
לדוגמה:
- חשיפת מידע – הזנת מידע ארגוני, מידע על לקוחות, מידע אישי או מידע רגיש לכלי AI.
- שימוש בכלים שאינם מאושרים – שימוש בכלי AI שלא נבדקו ואושרו בהתאם למדיניות ולדרישות הארגון.
- הרשאות וגישה למערכות – מתן הרשאות לכלי או לסוכן AI לגישה למידע, קבצים, יישומים ומערכות.
- שימוש בתוצרים – הסתמכות על מידע, ניתוחים, מסמכים או קוד שהופקו באמצעות AI ללא בדיקה ואימות מתאימים.
אלה דוגמאות בלבד. יש לבחון סיכונים נוספים בהתאם לדרישות התקן, לפעילות הארגון, לאופי השימוש ולסיכונים הרלוונטיים.
ניהול הרשאות לכלי ולסוכני AI
כלי AI וסוכני AI עשויים להתחבר למערכות ולמקורות מידע ארגוניים ואף לקבל יכולת לבצע פעולות.
לכן חשוב לבחון, בין היתר, לאיזה מידע ומערכות קיימת גישה, אילו פעולות הכלי או הסוכן רשאים לבצע, אילו הרשאות ניתנו והאם הן עדיין נדרשות.
ההרשאות ואופן הבקרה עליהן צריכים להיקבע בהתאם לדרישות הרלוונטיות, לצורך העסקי, לאופי השימוש ולרמת הסיכון.
שילוב AI בניהול סיכוני אבטחת המידע
כאשר נעשה שימוש בכלי AI, יש לבחון את הסיכונים הנובעים מהשימוש בהם במסגרת תהליכי ניהול סיכוני אבטחת המידע של הארגון.
התהליך עשוי לכלול, בין היתר, זיהוי השימושים והכלים, זיהוי והערכת הסיכונים, קביעת אופן הטיפול, יישום בקרות ובחינת אפקטיביות הטיפול.
חשוב לבחון את הסיכונים גם כאשר מתרחשים שינויים.
לדוגמה: הכנסת כלי AI חדש, שינוי באופן השימוש, הרחבת הרשאות, חיבור למערכת נוספת או שימוש בסוגי מידע חדשים.
בקרה על השימוש ב-AI
ניהול הסיכונים אינו מסתיים באישור הראשוני של הכלי. חשוב לקיים בקרה ומעקב בהתאם לאופי השימוש ולסיכונים.
הבקרה יכולה לכלול, בין היתר, בחינת הכלים המאושרים לשימוש, הרשאות, אופן הטיפול במידע, שימוש בתוצרים, שינויים בשירותי הספק וכן הדרכה ומודעות של העובדים.
יש להתאים את היקף הבקרה לדרישות התקן ולדרישות נוספות החלות על הארגון, ככל שקיימות, וכן לפעילות ולסיכונים שזוהו.
הקשר ל-ISO 27001
במסגרת מערכת לניהול אבטחת מידע לפי ISO/IEC 27001, ניהול הסיכונים מהווה מרכיב מרכזי במערכת הניהול.
כאשר הארגון עושה שימוש בכלי בינה מלאכותית, יש לבחון את סיכוני אבטחת המידע הרלוונטיים כחלק מתהליכי ניהול הסיכונים ולקבוע את אופן הטיפול בהם בהתאם לדרישות התקן, להקשר הארגוני ולסיכונים שזוהו.
הבחינה יכולה להתייחס, בין היתר, למידע המעובד, להרשאות, למערכות ולשירותים שאליהם מחובר הכלי, לספקים חיצוניים ולאופן השימוש בתוצרים.
הקשר ל-ISO 42001
ארגונים המשתמשים בבינה מלאכותית יכולים לבחון גם את ISO/IEC 42001, העוסק במערכת ניהול בינה מלאכותית.
במסגרת יישום התקן נבחנים נושאים הקשורים לניהול מערכות ושימושי AI בהתאם לדרישות התקן, להקשר הארגוני ולשימושים הרלוונטיים.
הנושאים עשויים לכלול, בין היתר, ניהול סיכונים, אחריות וסמכות, הערכת השפעות, ניהול משאבים, בקרה, ניטור ושיפור.
ניהול שיטתי של השימוש בבינה מלאכותית מאפשר לארגון ליהנות מיתרונות הטכנולוגיה תוך התייחסות לסיכונים ולדרישות הרלוונטיות לפעילותו
