Biztonsági és AI-használati tréning
Cégre szabott élő képzés vezetőknek és munkatársaknak. Egy programban foglalkozik a klasszikus biztonsági tudatossággal és az AI-eszközök biztonságos használatával.
A képzés témái
A régi trükkök és az új eszközök
A generatív modellek a támadónál és a munkatársnál is megjelentek. Az egyik hibátlan magyarságú adathalász levelet ír velük, a másik szerződéstervezetet vagy ügyféladatot illeszt beléjük. Ezért tárgyaljuk a két témát együtt.
Adathalászat és social engineering
A mai adathalász levél nyelvtanilag hibátlan, és a szervezet valós folyamataira hivatkozik. A mintákat név szerint tanítjuk, mert a névvel ellátott mintát az emberek felismerik: vezetői utasítás, számlamódosítás, megosztott dokumentum, QR-kód.
Jelszó és többfaktoros hitelesítés
Jelszóhigiénia, jelszókezelő és biztonságos böngészés. Ide tartozik az MFA-fáradtság is: a támadónál már ott a jelszó, és addig küldi a jóváhagyási kéréseket, amíg a felhasználó rá nem bök, hogy abbamaradjon.
Mit szabad beírni egy AI-eszközbe
Háromszintű adatbesorolás: nyilvános, belső és személyes adat. Ha valaki személyes adatot illeszt egy nyilvános AI-szolgáltatásba, az a GDPR szerint adattovábbítás, jellemzően jogalap és adatfeldolgozói szerződés nélkül.
Árnyék-AI
Egy osztály bankkártyával előfizet egy AI-eszközre, feltölti a saját adatait, és senki nem tud róla. A képzés megmutatja, mely eszközök jóváhagyottak a szervezetben, és mi a teendő, ha valakinek másik kellene.
Az AI válasza nem tény
A modell magabiztosan állít valótlant is (hallucináció), és nem tudja megbízhatóan elválasztani az utasítást az adattól. Egy beérkező levél összefoglalásakor a levélbe rejtett utasítás is lefuthat: ez a közvetett prompt-injekció.
Vezetők és munkatársak
Más kérdés a vezetőé és más a munkatársé
A vezető dönt az eszközökről és viseli a felelősséget, a munkatárs naponta használja őket. A közös alapra ezért két külön modul épül.
Vezetői modul
Saját tartalommal készül, döntési helyzetekkel és felelősségi kérdésekkel. Az AI-ról is a vezetői szempont kerül előtérbe: hol nem érdemes belekezdeni, mi a reális ütemezés, és mit jelent az adatvédelem és a modellfüggés a szervezetnek.
Munkatársi modul
A napi munka helyzeteire épül: a gyanús levéltől és a sürgős kéréstől addig, hogy mit szabad beírni egy AI-eszközbe.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A szervezetre szabott tananyag
- Külön modul vezetőknek és munkatársaknak
- Élő képzés személyesen vagy online
- Részvételi igazolás
Kapcsolódó szolgáltatások
Szabályok és technikai védelem a képzés mellé
Az oktatás nem helyettesíti a technikát. A képzésen tárgyalt szabályokat és védelmi eszközöket ezek a szolgáltatások teszik a helyükre.
Shadow AI felmérés AI használati szabályzattal
Feltárjuk, milyen AI-eszközöket használnak a munkatársak és milyen adatokkal, majd erre építve elkészítjük a használati szabályzatot.
GenAI adatszivárgás-védelem
Megakadályozza, hogy érzékeny adat kerüljön az AI-eszközökbe, kifejezetten az AI-szolgáltatások felé menő forgalomban.
Biztonságos Copilot és Microsoft 365 AI bevezetés
A Copilot azt látja, amit a felhasználó is láthat, ezért a bevezetés előtt rendbe tesszük a jogosultságokat és az érzékenységi címkéket.
E-mail biztonság
Adathalász, kártékony melléklet és hivatkozás elleni védelem a levelezésben, a meglévő levelezőrendszerhez illesztve.
Gyakori kérdések
Amit a legtöbben kérdeznek
Nem elég letiltani az AI-eszközöket?
A tiltás önmagában nem működik, mert a munkatársak megkerülik. Használható alternatíva kell, például vállalati előfizetés adatfeldolgozói szerződéssel vagy helyben futó modell. Az árnyék-AI-ról és a vállalati AI-bevezetés kockázatairól külön cikkben írtunk.
Mit tanítanak az adathalász levelekről?
Azt, hogy a gyanús levelet jelentsék. A „soha ne kattintson” elvárást senki nem tudja teljesíteni, a bűntudat pedig visszafogja a bejelentést: aki attól fél, hogy leszidják, nem szól, hogy kattintott. Ha pedig sürgősen kérnek valamit, ami pénzt vagy hozzáférést érint, a kérést egy másik csatornán kell visszaellenőrizni, és nem a levélben megadott telefonszámon. Bővebben az adathalászatról szóló cikkünkben olvashat.
Kötelező a vezetőknek részt venniük?
A NIS2 hatálya alá tartozó szervezeteknél igen: az irányelv előírja, hogy a vezető testület rendszeres kiberbiztonsági képzésen vegyen részt. A vezetői modult akkor is javasoljuk, ha a NIS2 nem vonatkozik a szervezetre, mert a vezetőket a célzott támadás fenyegeti.
