Trong kỷ nguyên số, trí tuệ nhân tạo (AI) đang trỗi dậy mạnh mẽ, len lỏi vào mọi ngóc ngách của đời sống và công việc. Nhân viên hăng hái thử nghiệm AI để soạn email, phân tích dữ liệu, thay đổi diện mạo công sở. Tuy nhiên, tốc độ áp dụng AI nhanh chóng lại đi kèm với những lỗ hổng bảo mật tiềm ẩn, đòi hỏi các nhà lãnh đạo an ninh mạng phải hành động.
Bài toán đặt ra là làm sao để không kìm hãm sự sáng tạo mà vẫn đảm bảo an toàn cho dữ liệu doanh nghiệp. Một chính sách chung chung sẽ không đủ. Thay vào đó, cần có những nguyên tắc và công cụ công nghệ cụ thể để vừa tạo điều kiện cho đổi mới, vừa ngăn chặn nguy cơ tấn công mạng. Dưới đây là 5 nguyên tắc vàng không thể bỏ qua:
1. Thấu hiểu và khám phá AI:
Nguyên tắc muôn thuở của an ninh mạng vẫn luôn đúng: không thể bảo vệ thứ mà bạn không nhìn thấy. “Shadow IT” (việc sử dụng các hệ thống hoặc ứng dụng CNTT không được phê duyệt) đã là một vấn đề nan giải, nhưng “Shadow AI” (việc sử dụng AI không được kiểm soát) còn khó lường hơn. Nó không chỉ là ChatGPT, mà còn là các tính năng AI được tích hợp trong nhiều ứng dụng SaaS và các công cụ AI mới mà nhân viên có thể tự tạo ra.
Nguyên tắc vàng: Bật đèn lên!
Bạn cần theo dõi việc sử dụng AI theo thời gian thực, cả độc lập lẫn tích hợp. Việc khám phá AI nên diễn ra liên tục, không chỉ là một sự kiện một lần.
2. Đánh giá rủi ro theo ngữ cảnh:
Mức độ rủi ro của việc sử dụng AI không phải lúc nào cũng giống nhau. Một trình kiểm tra ngữ pháp AI trong trình soạn thảo văn bản không gây ra rủi ro tương đương với một công cụ AI kết nối trực tiếp với hệ thống CRM của bạn. Điều quan trọng là phải hiểu rõ ngữ cảnh sử dụng AI, bao gồm:
- Nhà cung cấp và uy tín của họ trên thị trường.
- Dữ liệu của bạn có được sử dụng để đào tạo AI hay không, và bạn có thể điều chỉnh việc này không.
- Ứng dụng hoặc nhà cung cấp có tiền sử vi phạm bảo mật hay không.
- Mức độ tuân thủ của ứng dụng (SOC 2, GDPR, ISO, v.v.).
- Ứng dụng có kết nối với các hệ thống khác trong môi trường của bạn hay không.
Nguyên tắc vàng: Ngữ cảnh là chìa khóa!
Đừng để những lỗ hổng đủ lớn cho kẻ tấn công khai thác. Nền tảng an ninh AI của bạn phải cung cấp thông tin chi tiết về ngữ cảnh để bạn đưa ra quyết định đúng đắn về việc công cụ nào đang được sử dụng và liệu chúng có an toàn hay không.
3. Bảo vệ dữ liệu:
AI phát triển nhờ dữ liệu, điều này vừa mang lại sức mạnh, vừa tiềm ẩn rủi ro. Nếu nhân viên đưa thông tin nhạy cảm vào các ứng dụng AI mà không có kiểm soát, bạn có nguy cơ lộ dữ liệu, vi phạm các quy định và gánh chịu hậu quả nghiêm trọng nếu xảy ra sự cố. Vấn đề không phải là liệu dữ liệu của bạn có lọt vào AI hay không, mà là làm thế nào để đảm bảo nó được bảo vệ trên mọi nẻo đường.
Nguyên tắc vàng: Dữ liệu cần thắt dây an toàn!
Đặt ra các ranh giới về loại dữ liệu nào có thể chia sẻ với các công cụ AI và cách xử lý chúng, cả về mặt chính sách lẫn sử dụng công nghệ bảo mật để có được tầm nhìn toàn diện. Bảo vệ dữ liệu là xương sống của việc áp dụng AI an toàn. Thiết lập các ranh giới rõ ràng ngay từ bây giờ sẽ giúp ngăn ngừa những tổn thất tiềm ẩn trong tương lai.
4. Kiểm soát truy cập và thiết lập hàng rào bảo vệ:
Cho phép nhân viên sử dụng AI mà không có kiểm soát giống như giao chìa khóa xe cho một thiếu niên và hét lên “Lái xe an toàn nhé!” mà không dạy họ lái xe.
Bạn cần công nghệ cho phép kiểm soát quyền truy cập để xác định công cụ nào đang được sử dụng và trong những điều kiện nào. Đây là một lĩnh vực mới đối với tất cả mọi người, và tổ chức của bạn đang dựa vào bạn để đưa ra các quy tắc.
Nguyên tắc vàng: Zero Trust (Không tin tưởng ai). Vẫn vậy!
Đảm bảo rằng các công cụ bảo mật của bạn cho phép bạn xác định các chính sách rõ ràng, có thể tùy chỉnh cho việc sử dụng AI, chẳng hạn như:
- Chặn các nhà cung cấp AI không đáp ứng các tiêu chuẩn bảo mật của bạn.
- Hạn chế kết nối với một số loại ứng dụng AI nhất định.
- Kích hoạt quy trình xác thực sự cần thiết của một công cụ AI mới.
5. Giám sát liên tục:
Bảo mật AI không phải là một dự án “thiết lập một lần rồi quên”. Các ứng dụng phát triển, quyền thay đổi và nhân viên tìm ra những cách mới để sử dụng các công cụ. Nếu không có sự giám sát liên tục, những gì an toàn ngày hôm qua có thể lặng lẽ trở thành rủi ro vào ngày hôm nay.
Nguyên tắc vàng: Luôn luôn cảnh giác!
Giám sát liên tục có nghĩa là:
- Theo dõi các ứng dụng để biết các quyền, luồng dữ liệu hoặc hành vi mới.
- Kiểm tra đầu ra của AI để đảm bảo tính chính xác, công bằng và tuân thủ.
- Xem xét các bản cập nhật của nhà cung cấp có thể thay đổi cách thức hoạt động của các tính năng AI.
- Sẵn sàng can thiệp khi AI bị xâm phạm.
Điều này không phải là quản lý vi mô sự đổi mới. Đó là việc đảm bảo AI tiếp tục phục vụ doanh nghiệp của bạn một cách an toàn khi nó phát triển.
Khai thác AI một cách khôn ngoan
AI đã ở đây, nó hữu ích và nó sẽ không biến mất. Nước cờ thông minh cho các CISO và các nhà lãnh đạo an ninh là áp dụng AI một cách có chủ đích. Năm nguyên tắc vàng này cung cấp cho bạn một bản thiết kế để cân bằng giữa đổi mới và bảo vệ. Chúng sẽ không ngăn cản nhân viên của bạn thử nghiệm, nhưng chúng sẽ ngăn chặn thử nghiệm đó biến thành tiêu đề bảo mật tiếp theo của bạn.
Áp dụng AI an toàn không phải là nói “không”. Đó là nói: “có, nhưng đây là cách thực hiện”.
Giải thích thuật ngữ:
- CISO (Chief Information Security Officer): Giám đốc an ninh thông tin, người chịu trách nhiệm bảo vệ hệ thống và dữ liệu của một tổ chức khỏi các mối đe dọa an ninh mạng.
- SaaS (Software as a Service): Mô hình phân phối phần mềm trong đó ứng dụng được lưu trữ trên đám mây và người dùng truy cập thông qua internet.
- CRM (Customer Relationship Management): Quản lý quan hệ khách hàng, một hệ thống giúp doanh nghiệp quản lý tương tác với khách hàng và khách hàng tiềm năng.
- SOC 2 (Service Organization Control 2): Một tiêu chuẩn kiểm toán về an ninh, tính khả dụng, tính toàn vẹn xử lý, tính bảo mật và quyền riêng tư của dữ liệu khách hàng được lưu trữ trên đám mây.
- GDPR (General Data Protection Regulation): Quy định chung về bảo vệ dữ liệu của Liên minh Châu Âu, đặt ra các yêu cầu nghiêm ngặt về cách các tổ chức thu thập và xử lý dữ liệu cá nhân.
- ISO (International Organization for Standardization): Tổ chức tiêu chuẩn hóa quốc tế, phát triển và xuất bản các tiêu chuẩn quốc tế cho nhiều lĩnh vực khác nhau.
