Cyberbezpieczeństwo pracowników w czasach AI: kluczowe wyzwania dla dyrektorów ds. bezpieczeństwa

Po miesiącach eksperymentów organizacje zaczynają wdrażać na dużą skalę rozwiązania z zakresu sztucznej inteligencji (AI), także oprogramowanie, z którego korzystają w codziennych zadaniach, jest w coraz większym stopniu oparte na AI. Podczas gdy organizacje decydujące się na szerokie wykorzystanie AI spodziewają się osiągnąć wyższą efektywność, produktywność i kreatywność, działy zajmujące się cyberberbezpieczeństwem zwracają uwagę, że transformacja ta wymaga ostrożności.

Już teraz firmy wskazują na wyzwania związane z korzystaniem ze sztucznej inteligencji przez pracowników. Przykładowo w jednym z projektów w Hongkongu zespół umieścił w zewnętrznym modelu AI wrażliwe dane dotycząc własności intelektualnej organizacji. W innym przypadku pracownicy uwierzyli w autentyczność wygenerowanej przez AI postaci dyrektora ds. finansów (CFO) – tzw. deepfake, który poprosił ich o wykonanie przelewu [1]. Z badania EY Human Risk in Cybersecurity Survey 2024, przeprowadzonego za pośrednictwem EY.com US, wynika, że prawie 80% respondentów wyraziło obawy związane z wykorzystaniem sztucznej inteligencji do przeprowadzania ataków cybernetycznych, a 39% stwierdziło, że nie jest pewnych, czy potrafi używać sztucznej inteligencji w sposób odpowiedzialny.

Niewątpliwą korzyścią wynikającą ze stosowania AI jest demokratyzacja dostępu do zaawansowanej analityki w jednostkach biznesowych i wśród pracowników, znacznie wykraczająca poza działy IT. To tylko potęguje obawy specjalistów ds. cyberbezpieczeństwa odnośnie świadomości zagrożeń wśród pracowników oraz ich zachowań zapewniających bezpieczeństwo organizacji. Według analizy EY, prawie 50% badań dotyczących zarządzania cyberprzestrzenią organizacji wskazuje wyzwania w obszarze szkoleń i rozwoju pracowników. Co więcej, 64% dyrektorów ds. bezpieczeństwa informacji (CISO) ankietowanych przez EY wyraża niezadowolenie z poziomu stosowanych przez pracowników praktyk w zakresie cyberbezpieczeństwa. W jaki sposób organizacje mogą lepiej przygotować pracowników na zagrożenia cybernetyczne związane z wdrażaniem zaawansowanych narzędzi w obszarze AI?

Bezpieczniejsza technologia; bezpieczniejsi pracownicy

Cechą charakterystyczną współczesnej AI są przyjazne dla użytkownika i łatwe w obsłudze interfejsy, oferujące „nietechnicznym” pracownikom możliwość zaawansowanych analiz danych przy użyciu metod takich jak zapytania w języku naturalnym. Ta prostota może być jednak myląca. Pod spodem leży bowiem złożone oprogramowanie i łańcuch dostaw, do których wiele firm nie ma dostępu, zwłaszcza w przypadku rozwiązań drugiej, trzeciej lub czwartej strony. Użytkownicy muszą zrozumieć zarówno sposób w jaki dane są wykorzystywane, na przykład w zakresie trenowania modeli  modeli, jak i ryzyka związane z naruszeniem i wyciekiem danych.

Według badania przeprowadzonego na 3 milionach pracowników, w okresie od marca 2023 r. do marca 2024 r., ilość danych przekazywanych przez pracowników chatbotom wzrosła prawie pięciokrotnie [2]. Wśród pracowników sektora technologicznego 27,4% tych danych zostało sklasyfikowanych jako poufne, w porównaniu z 10,7% w roku poprzednim. Pokazuje to jak rośnie ryzyko organizacji związane z wyciekiem danych i zapewnieniem bezpieczeństwa. Zagrożenia są tym większe, im szerszy dostęp do danych uzyskują zaawansowane rozwiązania AI. Zastosowanie AI często rozszerza się do zbiorów danych, które nie są jeszcze autoryzowane, sklasyfikowane lub uwierzytelnione, a to wymaga wzmocnienia protokołów zabezpieczeń i praktyk związanych z cyberbezpieczeństwem.

Nie dziwi więc fakt, że CISO od dawna mają obawy związane ze skutkami szerszego wykorzystania AI w kontekście bezpieczeństwa cybernetycznego.

Wyniki badania EY 2023 Global Cybersecurity Leadership Insights Study, pokazują, że 64% CISO było niezadowolonych z poziomu stosowanych przez pracowników praktyk w zakresie cyberbezpieczeństwa. Respondenci wskazali niewystarczające przestrzeganie praktyk, wypracowanych w organizacji przez IT, jako trzecie największe wyzwanie związane z cyberbezpieczeństwem, natomiast błędy ludzkie uznali za główny czynnik umożliwiający cyberataki.

Firmy od dawna zmagają się ze zjawiskiem "shadow IT", w którym nowe narzędzia są wdrażane ad-hoc i poza ustalonymi procedurami bezpieczeństwa. Sztuczna inteligencja pogłębia to wyzwanie, mnogość dostępnych narzędzi i rozwiązań może zwiększać ryzyko wycieku danych i praw własności intelektualnej wskutek wprowadzania przez pracowników do systemów AI danych wrażliwych, np. poufnych danych klientów, kodów źródłowych i materiałów badawczo-rozwojowych. Transformacja cyfrowa rozwija się dynamicznie, , wymuszając na dziale cyberbezpieczeństwa umiejętną alokację zasobów, zapewniającą realizację projektów bez narażenia firmy na ryzyko.

Również na arenie międzynarodowej podejmowana jest próba uregulowania obszaru cyberbezpieczeństwa, rządy mają coraz większą świadomość, jak cyberprzestępstwa mogą odbić się na gospodarce i wpłynąć na kluczową infrastrukturę krytyczną. Organy regulacyjne zwiększają obowiązki związane z ujawnianiem incydentów cyberbezpieczeństwa, pociągając do odpowiedzialności również kadrę kierowniczą.

AI - informowanie pracowników o zagrożeniach cybernetycznych przeciwdziała błędom

Choć media nagłaśniają przypadki oszustw finansowych z wykorzystaniem deepfake'ów CFO, dla większości organizacji najpoważniejszym zagrożeniem w cyberbezpieczeństwie pozostają ludzkie pomyłki. W obliczu zagrożeń związanych z AI i cyberbezpieczeństwem konieczne jest wprowadzenie mechanizmów zapobiegających nieautoryzowanemu dostępowi do wrażliwych informacji. Cały potencjał sztucznej inteligencji polega na umożliwieniu pracownikom zaawansowanego zarządzania danymi na poziomie, który wcześniej był dla nich nieosiągalny. Będzie to jednak możliwe tylko wtedy, gdy wskazówki dotyczące cyberbezpieczeństwa będą dla nich łatwe do zastosowania.

Przeprowadzone w 2023 r. badanie Global Cybersecurity Leadership Insights Study pokazało, że jedną z cech firm, odnoszących sukcesy na tym polu i określanych jako „secure creators”, była integracja cyberbezpieczeństwa na wszystkich poziomach zarządzania, od kadry kierowniczej po najniższy szczebel struktury organizacyjnej. Tylko połowa liderów ds. cyberbezpieczeństwa stwierdziła, że szkolenia w zakresie cyberbezpieczeństwa są skuteczne. Czy sztuczna inteligencja może zapewnić pracownikom efektywniejsze podejście do komunikacji cybernetycznej i potrzebne im wsparcie?

Bardziej zaawansowane i intuicyjne chatboty mogłyby na przykład doradzać pracownikom w kwestiach dotyczących wrażliwych lub poufnych danych, co z kolei zmniejszyłoby poziom wypalenia zawodowego członków zespołów ds. cyberbezpieczeństwa odpowiadających na pytania sfrustrowanych pracowników przechodzących przez długie i złożone dokumenty dotyczące polityki. Wdrożenie mechanizmów kontroli i łatwego rozwiewania wątpliwości pracowników może zmniejszyć ryzyko związane z shadow IT, takie jak wprowadzania do modeli AI informacji poufnych, własności intelektualnej oraz materiałów z ograniczonym dostępem.

Dzięki sztucznej inteligencji pracownicy będą mogli zarządzać większą ilością danych na poziomie, który wcześniej był dla nich nieosiągalny. Kluczowe jest jednak, aby wskazówki dotyczące cyberbezpieczeństwa były łatwo dostępne i proste do zastosowania.

Myśląc o wzmocnieniu zaangażowania pracowników do udziału w szkoleniach cybernetycznych i poprawie ich umiejętności cyfrowych i wiedzy, warto pomyśleć o wykorzystaniu w procesie rozwojowym grywalizacji. Jest to szczególnie istotne przy komunikowaniu zagrożeń związanych ze stosowaniem modeli sztucznej inteligencji, które wykraczają poza konwencjonalne podejścia, takie jak phishing poczty elektronicznej, czy deepfakes i syntetyczne media. Takie rozwiązania pokazują jak zastosowanie technologii może wspomóc firmy w radzeniu sobie z rosnącymi wyzwaniami w obszarze cyberbezpieczeństwa.

Dyrektor ds. danych, centra doskonałości i projektowanie wzorców

Aby w erze sztucznej inteligencji zapewnić cyberbezpieczeństwo, nie wystarczy polegać na szkoleniach i technologii; należy dążyć do przeprojektowania całej organizacji, wprowadzić nowe ścieżki i procesy raportowania, a wszystko w celu efektywnego, z poziomu całej organizacji wdrożenia, tak by ryzyko cybernetyczne nie było rozpatrywane indywidualnie dla każdego przypadku. Protokoły zarządzania nie powinny stanowić przyczyny nieuzasadnionego zamrożenia działania AI. Zamiast tego firmy muszą dostosować, a czasem nawet zmienić swój wizerunek instytucji i biurokratycznego raportowania, aby stworzyć odpowiednie zachęty i struktury.

Przykładowo, dyrektorzy ds. danych (CDO) koncentrowali się na wykorzystywaniu danych w celu uzyskania wartości biznesowej, przy mniejszej integracji z funkcją technologiczną i jeszcze słabszym powiązaniu z jednostką cyberbezpieczeństwa i CISO. W erze AI musi się to zmienić, gdyż cyberbezpieczeństwo jest potrzebne w całym cyklu życia zarządzania danymi, m.in. dlatego, że coraz więcej danych staje się użytecznych w biznesie. CDO muszą skupić się bardziej na zarządzaniu danymi, ich jakością i prywatnością, podczas gdy od zespołu ds. cyberbezpieczeństwa wymagany jest obecnie szerszy zakres umiejętności.

Zakres umiejętności potrzebnych do pełnienia dziś funkcji w obszarze cyberbezpieczeństwa poszerza się w kilku obszarach jednocześnie. Poniżej prezentujemy wybrane profile menedżerów ds. bezpieczeństwa cybernetycznego, które pojawiły się w ostatnich latach. Najlepszym podejściem jest zbudowanie zespołu, który zrównoważy połączenie szerokich dyscyplin, ze zrozumieniem, że każdy ma swoje mocne i słabe strony.

Na poziomie instytucjonalnym, centra doskonałości (CoEs) mogą być niezbędne, by koordynować wdrażanie sztucznej inteligencji w jednostkach biznesowych i zespołach. Mają one długą tradycję w sektorze technologicznym i stają się coraz powszechniejsze  w branżach uwzględniających ryzyko, takich jak usługi finansowe. Mogą one usprawnić i uprościć wymogi dotyczące zarządzania, łagodząc zjawisko shadow IT. „Projektowanie wzorców” (ang. Design patterning) polegające na usprawnianiu procesów, architektury i przepływu danych mogłoby dodatkowo motywować do wdrożenia bezpiecznej i odpowiedzialnej sztucznej inteligencji. Dzięki temu wdrożenie mogłoby przebiec szybciej, co nie oznacza, że bez żadnych zakłóceń.

Kluczowe wnioski dla CISO:

• W erze AI pracownicy obawiają się ryzyk cybernetycznych i potrzebują większego wsparcia.

Firmy o najwyższym poziomie bezpieczeństwa cybernetycznego osiągają wysoki stopień integracji narzędzi opartych na AI. Sztuczna inteligencja może poprawić też jakość szkoleń i sposobów przekazywania pracownikom wiedzy nt. zagrożeń cybernetycznych. Co więcej, może ułatwić zrozumienie polityki i procedur cyberbezpieczeństwa i dostęp do nich, np. poprzez zastosowanie intuicyjnych chatbotów do zadawania pytań dotyczących polityki cyberbezpieczeństwa lub grywalizacji. Może również wspierać rozwój bardziej zaawansowanych mechanizmów kontroli, ograniczając zjawisko shadow IT. CISO będą odgrywać kluczową rolę w angażowaniu wyższej kadry menedżerskiej w zarządzanie ryzykiem związanym z shadow AI, póki jest to jeszcze możliwe.

• Modelowanie i ocena zagrożeń muszą być kompleksowe i ciągłe.

W erze sztucznej inteligencji rosną zagrożenia, co wymaga monitorowania łańcucha dostaw, w tym również pośrednich dostawców usług AI (obejmując nawet trzecie i czwarte strony). Organizacje, chcąc zrozumieć wszystkie zagrożenia i zapewnić zgodność z przepisami, powinny zidentyfikować rozwiązania i zasoby AI, z których korzystają. Firmy powinny też ocenić architekturę, usługi i integracje/interfejsy API, aby zdefiniować możliwe ryzyka oraz odpowiednio kierować rozwojem mechanizmów kontrolnych do zarządzania szerokim użyciem AI. Ponadto konieczne będą inwestycje w klasyfikację danych, aby zapobiec uzyskaniu przez modele AI dostępu do danych poufnych i zaliczanych do własności intelektualnej oraz ich przetwarzaniu. Biorąc pod uwagę jak szybko rozwiązania AI się uczą i rozwijają, w obszarze przetwarzania danych - musi to być proces ciągły.

• Centra doskonałości mogą zapewnić strategiczny nadzór i koordynację w zakresie bezpiecznego wdrażania sztucznej inteligencji.

Centra doskonałości mogą odgrywać ważną rolę w dobrym zarządzaniu najlepszymi praktykami i propagowaniu ich wśród organizacji nastawionych na korzystanie z AI, w tym poprzez dzielenie się umiejętnościami i opracowywanie spójnych protokołów. Umożliwiają one scentralizowane zarządzanie i monitorowanie oraz wspierają spójne podejście do wykorzystania AI, oferując lepsze wykorzystanie czynników kontekstowych dla przypadków użycia sztucznej inteligencji i lepsze zrozumienie zasobów danych przedsiębiorstwa. W szerszym ujęciu, firmy powinny rozważyć reorganizacje struktury i procesów oraz zaprojektować nowe ścieżki raportowania, tak by zapewnić wdrożenie AI bez konieczności rozwiązywania problemów cyberbezpieczeństwa na zasadzie indywidualnych przypadków.