Hükümetlerin yapay zeka dönemi için siber savunmayı güçlendirmesi ve temellere geri dönmesi gerekiyor
Hem özel hem de kamu sektöründeki kuruluşlar yapay zekayı benimsemeye yöneliyor ancak yapay zeka için bunu yapmak, güvenlik temellerinin önemini artırıyor.
Hükümetler büyük olasılıkla kendi nüfuslarının kişisel verilerini işlemekle görevlendirildikleri için yapay zekayı (AI), özellikle de üretken yapay zekayı (gen AI) benimseme konusunda daha ihtiyatlı bir yol izlemek isteyeceklerdir. Bu aynı zamanda yapay zeka teknolojisi gelişmeye devam ettikçe siber savunmalarını güçlendirmeyi de içermelidir ve bu, temelleri yeniden gözden geçirme zamanının geldiği anlamına gelir.
Capgemini'nin Asya-Pasifik CEO'su Olaf Pietschner bir video röportajında, hem özel hem de kamu sektöründeki kuruluşların, gen yapay zekanın benimsenmesinde güvenlik ve etik konusunda endişe duyduğunu, ancak ikincisinin bu konularda daha yüksek beklentilere sahip olduğunu söyledi.
Pietschner, hükümetlerin riskten daha fazla kaçındığını ve dolayısıyla yönetişim ve yapay zeka için ihtiyaç duyulan korkuluklar konusunda daha yüksek standartlara sahip olduklarını söyledi. Kararların nasıl alındığı konusunda şeffaflık sağlamaları gerektiğini, ancak bunun yapay zeka destekli süreçlerin bir düzeyde açıklanabilirliğe sahip olmasını gerektirdiğini söyledi.
Bu nedenle, kamu sektörü kuruluşlarının halüsinasyonlar ve yapay zeka modellerinin ürettiği yanlış ve yanlış bilgiler gibi sorunlara karşı toleransının daha düşük olduğunu ekledi.
SailPoint Technologies kimlik ve erişim yönetimi satıcısı kamu sektörü kimlik güvenliği stratejisti Frank Briguglio, bunun modern bir güvenlik mimarisinin temeline odaklandığını söyledi.
Yapay zekanın benimsenmesindeki güvenlik zorluklarının kamu sektörü için ne anlama geldiği sorulduğunda Briguglio, verileri korumaya ve eğitim verileri için interneti kazıyan yapay zeka hizmetlerine maruz kalmamasını sağlamak için gereken kontrolleri eklemeye daha fazla ihtiyaç duyulduğuna dikkat çekti.
CyberArk kimlik yönetimi güvenliği tedarikçisi COO'su Eduarda Camacho, özellikle çevrimiçi kimlik yönetiminin bir paradigma değişikliğine ihtiyacı olduğunu söyledi. Artık çok faktörlü kimlik doğrulamayı kullanmanın veya bulut hizmet sağlayıcılarının yerel güvenlik araçlarına güvenmenin yeterli olmadığını ekledi.
Ayrıca Camacho bir röportajında, yalnızca ayrıcalıklı hesaplara daha güçlü koruma uygulamanın da yetersiz olduğunu söyledi. Bunun özellikle gen yapay zekasının ve onunla birlikte kimlik oluşturmayı daha karmaşık hale getiren derin sahtekarlıkların ortaya çıkışıyla ilgili olduğunu ekledi.
Camacho gibi Briguglio da kimlik merkezli bir yaklaşımın yararlarını benimsiyor ve bunun kuruluşların tüm verilerinin nerede bulunduğunu bilmelerini ve hem gizlilik hem de güvenlik açısından uygun şekilde korunabilmesi için verileri sınıflandırmalarını gerektirdiğini söyledi.
Bir video röportajında, politikaları gerçek zamanlı olarak verilere erişebilecek makinelere de uygulayabilmeleri gerektiğini söyledi. Son olarak, bir ağa veya verilere erişmeye yönelik her girişimin düşmanca olduğunun ve potansiyel olarak kurumsal sistemleri tehlikeye atabileceğinin varsayıldığı sıfır güvenin rolünü vurguladı.
Erişim sağlayan özniteliklerin veya politikaların doğru bir şekilde doğrulanması ve yönetilmesi gerekir ve iş kullanıcılarının bu niteliklere güvenmesi gerekir. Briguglio, verilerinin nerede bulunduğunu, nasıl korunduğunu ve bunlara kimin erişebileceğini bilmesi gereken veriler ve kuruluşlar için de aynı ilkelerin geçerli olduğunu belirtti.
Verilerin kime aktarıldığı da dahil olmak üzere verilere erişmek veya aktarmak için kullanıldığında kimlik bilgilerinin doğruluğunun yeniden değerlendirildiği iş akışı veya veri akışı boyunca kimliklerin yeniden doğrulanması gerektiğini ekledi.
Camacho, bunun şirketlerin bugün oldukça parçalanmış durumda olan net bir kimlik yönetimi çerçevesi oluşturma ihtiyacının altını çizdiğini söyledi. Erişimi yönetmenin yalnızca kullanıcının rolüne göre farklılık göstermemesi gerektiğini belirterek, işletmeleri kuruluşlarındaki her kimliğin ayrıcalıklı olduğunu varsayan bir stratejiye yatırım yapmaya teşvik etti.
Her kimliğin riske atılabileceğini ve yapay zeka genlerinin ortaya çıkışının bunu yalnızca artıracağını varsayın, diye ekledi. Kuruluşların sağlam bir güvenlik politikasıyla önde kalabileceğini ve gerekli dahili değişiklik yönetimini ve eğitimini uygulayabileceğini belirtti.
Bu, özellikle daha fazla hükümetin çalışma ortamlarında genel yapay zeka araçlarını kullanıma sunmaya başlamasıyla birlikte kamu sektörü için kritik önem taşıyor.
Aslında, Capgemini'nin dünya çapında 1.100 yöneticiyle yaptığı ankete göre hükümet ve kamu sektöründeki kuruluşların %80'i geçen yıl yapay zekaya olan yatırımlarını artırdı. Yaklaşık %74'ü, teknolojinin gelir ve inovasyonu artırmaya yardımcı olma konusunda dönüştürücü olduğunu belirtiyor; %68'i halihazırda bazı yapay zeka pilot uygulamaları üzerinde çalışıyor. Ancak yalnızca %2'si, işlevlerinin veya konumlarının çoğunda veya tamamında gen yapay zeka yeteneklerini etkinleştirdi.
Sektördeki kuruluşların %98'i çalışanlarının belirli bir kapasitede yapay zekayı kullanmasına izin verirken, %64'ünde bu tür kullanımı yönetmek için korkuluklar mevcut. Capgemini çalışmasına göre, yüzde 28'lik bir kesim bu tür kullanımı belirli bir çalışan grubuyla sınırlıyor ve yüzde 46'sı da yapay zeka genlerinin sorumlu kullanımına ilişkin kılavuzlar geliştiriyor.
Bununla birlikte, etik yapay zeka hakkındaki endişeleri sorulduğunda kamu sektörü kuruluşlarının %74'ü, gen yapay zeka araçlarının adil olduğuna dair güven eksikliğine dikkat çekti ve %56'sı, yapay zeka modellerindeki önyargının, müşteriler tarafından kullanıldığında utanç verici sonuçlara yol açabileceğine dair endişelerini dile getirdi. . Diğer %48'lik kesim ise yapay zeka uygulamalarını eğitmek için kullanılan temel veriler konusunda netlik eksikliğini vurguladı.
Veri güvenliği ve yönetimine odaklanma
Şu anda, daha fazla devlet hizmeti dijitalleştikçe veri güvenliğine verilen önem de arttı ve bu da çevrimiçi tehditlere maruz kalma riskini artırdı.
Singapur Dijital Kalkınma ve Bilgi Bakanlığı (MDDI) geçtiğimiz ay, 2023 mali yılında hükümetle ilgili veri vakalarının sayısının bir önceki yıl rapor edilen 182'den 201 olduğunu açıkladı. Bakanlık, vatandaşlar ve işletmeler için daha fazla devlet hizmetinin dijitalleştirilmesi nedeniyle artışın daha yüksek veri kullanımına bağlandığını belirtti.
Dahası, artık daha fazla hükümet yetkilisi, MDDI'nin veri olaylarındaki artışa katkıda bulunabileceğini söylediği olayların rapor edilmesi gerektiğinin farkında.
MDDI, Singapur kamu sektörünün kişisel verileri korumak için üstlendiği çabalarla ilgili yıllık güncellemesinde, geçtiğimiz yıl Nisan 2023 ile Mart 2024 arasında 24 girişimin hayata geçirildiğini söyledi. Bunlar arasında, sektörün merkezi gizlilik araç setinde 20 milyon belgeyi anonimleştiren yeni bir özellik de vardı. ve kamu sektöründe 20'den fazla nesil yapay zeka kullanım senaryosunu destekledi.
Gizli veya hassas verilerin devlet ağlarından ve cihazlarından kazara kaybolmasını önlemek için çalışan, devletin veri kaybı koruma (DLP) aracında daha fazla iyileştirme yapıldı.
MDDI, uygun tüm hükümet sistemlerinin artık ihtiyaç duyulmayan kullanıcı hesaplarını otomatik olarak kaldıran merkezi hesap yönetimi aracını kullandığını söyledi. Bu, rollerini bırakan görevlilerin yanı sıra, açıklardan yararlanmak için hareketsiz hesapları kullanan tehdit aktörlerinin yetkisiz erişim riskini azaltır.
Pietschner, dijital hizmetlerin benimsenmesi arttıkça verilerin açığa çıkmasından, insan gözetiminden veya teknolojideki güvenlik açıklarından kaynaklanan risklerin de arttığını söyledi. CrowdStrike kesintisinin açığa çıkardığı gibi işler ters gittiğinde, kuruluşların inovasyonu daha hızlı ilerletmeye ve teknolojiyi daha hızlı benimsemeye çalıştıklarını söyledi.
Bunun, güncel BT araçlarını kullanmanın ve sağlam bir yama yönetimi stratejisi benimsemenin önemini vurguladığını belirterek, yama yapılmamış eski teknolojinin hâlâ işletmeler için en büyük riski oluşturduğunu belirtti.
Briguglio ayrıca bunun temellere bağlı kalma ihtiyacını da gösterdiğini ekledi. Güvenlik yamaları ve çekirdekte yapılan değişikliklerin, regresyon testi yapılmadan veya ilk olarak bir sanal alanda test edilmeden kullanıma sunulmaması gerektiğini söyledi.
Pietschner, kuruluşlara bir veri olayı durumunda nasıl müdahale edecekleri konusunda rehberlik edecek bir yönetişim çerçevesinin de aynı derecede önemli olduğunu ekledi. Örneğin, kamu sektörü kuruluşlarının şeffaf olması ve ihlalleri açıklamasının önemli olduğunu, böylece vatandaşların kişisel verilerinin ne zaman açığa çıktığını bilmelerinin önemli olduğunu söyledi.
Gen AI uygulamaları için de bir yönetişim çerçevesinin uygulanması gerektiğini söyledi. Bu, çalışanlara Gen Yapay Zeka araçlarını benimseme konusunda rehberlik edecek politikaları içermelidir.
Ancak dünya çapında 1.098 üst düzey yönetici ve 1.092 yazılım profesyoneliyle anket yapılan farklı bir Capgemini araştırmasına göre, kamu sektöründeki kuruluşların %63'ü yazılım mühendisliği için bir yönetim çerçevesine henüz karar vermedi.
Buna rağmen sektördeki yazılım profesyonellerinin %88'i, kuruluşları tarafından resmi olarak yetkilendirilmeyen veya desteklenmeyen en az bir nesil yapay zeka aracı kullanıyor. Capgemini, bu rakamın küresel araştırmada ankete katılan tüm sektörler arasında en yüksek rakam olduğunu belirtti.
Pietschner, bunun yönetişimin kritik olduğunu gösterdiğini söyledi. Geliştiricilerin yetkisiz yapay zeka araçları kullanması durumunda, güvenliği sağlanması gereken dahili verileri yanlışlıkla açığa çıkarabileceklerini söyledi.
Bazı hükümetlerin bir güven katmanı eklemek ve bunların kullanımını izlemelerine olanak sağlamak için özelleştirilmiş yapay zeka modelleri oluşturduğunu belirtti. Bu, çalışanların yalnızca yetkili yapay zeka araçlarını kullanmasını ve kullanılan verilerin korunmasını sağlayabilir.
Daha da önemlisi, kamu sektörü kuruluşlarının yapay zeka modellerindeki her türlü önyargıyı veya halüsinasyonu ortadan kaldırabileceğini ve bu modellerin hükümetin değerleri veya niyetiyle çelişen tepkiler üretme riskini azaltmak için gerekli korkulukların mevcut olması gerektiğini söyledi.
Standardizasyonun daha yüksek olduğu kamu sektöründe sıfır güven stratejisinin uygulanmasının daha kolay olduğunu ekledi. Örneğin, sıfır güven politikalarının uygulanmasını kolaylaştıran, genellikle paylaşılan devlet hizmetleri ve standartlaştırılmış satın alma süreçleri vardır.
Temmuz ayında Singapur, yapay zeka araçlarının ve sistemlerinin güvenliğini artırmak için teknik yönergeler yayınlama ve "pratik önlemler" sunma planlarını duyurdu. Hükümet, gönüllü kuralların, yapay zeka araçlarının güvenliğini artırmak isteyen siber güvenlik profesyonelleri için bir referans sağlamayı amaçladığını ve yapay zeka sistemlerindeki potansiyel riskleri ele almak için uygulanan mevcut güvenlik süreçleriyle birlikte benimsenebileceğini belirtti.
Briguglio, Yapay Zeka neslinin hızla geliştiğini ve herkesin henüz teknolojinin gerçek gücünü ve nasıl kullanılabileceğini tam olarak anlamadığını belirtti. Erişimi ve hassas verileri yönetmek için bir miktar insan gözetimi ve yönetiminin olmasını sağlamak için karar alma süreçlerinde genel yapay zekayı kullanmayı planlayan kamu sektöründeki kuruluşlar da dahil olmak üzere kuruluşlara çağrıda bulunuyor.
"Bu sistemleri kurup olgunlaştırdıkça, yapay zekanın etrafına yerleştirdiğimiz kontrollerin korumaya çalıştığımız şey için yeterli olduğundan emin olmamız gerekiyor" dedi. "Temelleri hatırlamamız gerekiyor."
Pala Alto Network'ün ABD kamu sektörü iş lideri Eric Trexler, iyi kullanıldığında yapay zekanın, saldırılarında aynı yapay zeka araçlarını uygulayan düşmanlara karşı daha iyi savunma sağlamak için insanlarla birlikte çalışabileceğini söyledi.
Hatalar olabilir, dolayısıyla doğru kontrol ve dengelere ihtiyaç vardır. Trexler bir video röportajında, doğru kullanıldığında yapay zekanın kuruluşların çevrimiçi tehditlerin hızına ve hacmine ayak uydurmasına yardımcı olacağını belirtti.
Kötü amaçlı yazılım analizi yapan bir ekibi yönetme konusundaki önceki deneyimini hatırlatarak, otomasyonun rakiplere ayak uydurmak için hız sağladığını söyledi. "Yeterince insanımız yok ve bazı görevleri makineler daha iyi yapıyor" dedi.
Gen AI da dahil olmak üzere AI araçlarının "samanlıktaki iğneyi bulmaya" yardımcı olabileceğini ve güvenlik olaylarının ve uyarılarının hacminin her gün milyonlara ulaştığında insanların bunu yapmakta zorlanacağını söyledi. Yapay zekanın, veri toplayan bir dizi çok yönlü sistemdeki işaretleyicileri veya göstergeleri arayabileceğini ve daha sonra insanların inceleyebileceği olayların bir özetini oluşturabileceğini ekledi.
Trexler de işlerin hâlâ ters gidebileceğini kabul etmenin ve bu tür riskleri azaltmak için yönetişim, politikalar ve taktikler dahil gerekli çerçeveyi oluşturmanın önemini vurguladı.