GenAI adatszivárgás-védelem
Megakadályozzuk, hogy érzékeny adat kerüljön az AI-eszközökbe. A védelem az IT-biztonság általános adatszivárgás-védelmére épül, és kifejezetten az AI-szolgáltatások felé menő forgalomra vonatkozik.
A kockázat
Mi a baj, ha az adat AI-szolgáltatásba kerül
Amikor egy munkatárs beilleszt egy szerződéstervezetet vagy ügyféladatot egy nyilvános AI-szolgáltatásba, az adat elhagyja a szervezetet. A többi AI-kockázatról a vállalati AI-bevezetésről szóló cikkünkben írtunk.
Személyes adat
A GDPR szerint ez adattovábbítás, és jellemzően jogalap és adatfeldolgozói szerződés nélkül történik.
Üzleti titok
Az információ védelme elveszhet, ha nyilvános szolgáltatásba töltötték fel.
Ellátási lánc
A NIS2 ellátásilánc-intézkedése az AI-szolgáltatóra is vonatkozik, ha a szolgáltatás beépült a szervezet folyamataiba.
Árnyék-AI
Egy-egy osztály bankkártyával előfizet egy AI-eszközre, feltölti a saját adatait, és senki nem tud róla. Amiről az IT nem tud, arra adatszivárgás-védelmi szabály sem készülhet.
A bevezetés
Így vezetjük be
-
Az AI felé tilos adatok
Rögzítjük, mely adatkörök nem kerülhetnek AI-szolgáltatásba, például az ügyféladat vagy a szerződéstervezet. Ha az általános adatszivárgás-védelemhez már készült adatosztályozás, azt vesszük át.
-
Szabályok az AI-szolgáltatásokra
A tiltott adatkörökre szabályokat állítunk be az AI-szolgáltatások felé menő forgalomban.
-
Indulás figyelő üzemmódban
Ebben a szakaszban a szabályok csak naplóznak. A naplóból kiderül, milyen adat indulna el az AI felé, és melyik szabály akadna fenn egy jogos munkafolyamaton.
-
Blokkolás
A behangolt szabályok ezután megállítják a tiltott adatot, mielőtt az eljutna az AI-szolgáltatásig.
-
Riport
A megakadályozott esetekről riport készül. A bevezetés utáni üzemeltetés egyedi megállapodás alapján kérhető.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Az AI felé tilos adatok meghatározása
- Adatszivárgás-védelmi szabályok az AI-szolgáltatásokra
- Figyelő üzemmódú indulás, majd blokkolás
- Riport a megakadályozott esetekről
Kapcsolódó szolgáltatások
Ami kiegészíti
Az AI felé menő forgalom csak egy a csatornák közül, és az AI-használatnak az adaton túl is vannak szabályai.
Adatszivárgás-védelem (DLP)
Az érzékeny adatok védelme a hagyományos csatornákon.
AI-védelmi kontrollok bevezetése
Szabályok arra, mely AI-szolgáltatás engedélyezett és melyik tiltott, valamint a kártékony utasítások szűrése.
Biztonságos Copilot és Microsoft 365 AI bevezetés
A Copilot csak azt látja, amit a felhasználó is láthat. Bevezetés előtt a jogosultságokat, az érzékenységi címkéket és az adatvédelmi szabályokat tesszük rendbe.
Gyakori kérdések
Amit a legtöbben kérdeznek
Miért kell külön védelem az AI-ra, ha már van adatszivárgás-védelmünk?
Az általános adatszivárgás-védelem az e-mailt, a felhőtárhelyet, a nyomtatót és a cserélhető adathordozót figyeli. Az AI-szolgáltatások felé menő forgalomra ezek a szabályok nem terjednek ki, ezért erre saját szabályok kellenek.
Nem egyszerűbb letiltani az AI-szolgáltatásokat?
A tiltás önmagában nem működik, mert a munkatársak megkerülik. Használható alternatíva kell mellé: vállalati előfizetés adatfeldolgozói szerződéssel, vagy helyben futó modell, amellyel az adat nem hagyja el a házat. Emellett világossá kell tenni, mit szabad hova beírni.
Honnan tudjuk, milyen AI-eszközöket használnak a munkatársak?
A proxy- vagy tűzfalnaplókból kilistázható, mely AI-szolgáltatásokat érik el a szervezetből, és milyen mennyiségben. A teljes képet, vagyis a használt eszközök és adatfolyamok leltárát eszközönkénti kockázati besorolással, a Shadow AI felmérés adja. A témáról az árnyék-AI-ról szóló cikkünkben írtunk.
