รัฐบาลจำเป็นต้องเสริมการป้องกันทางไซเบอร์สำหรับยุค AI และกลับไปสู่พื้นฐาน

องค์กรทั้งภาครัฐและเอกชนกำลังหันมาใช้ปัญญาประดิษฐ์ แต่การทำเช่นนั้นในส่วนหลังกลับเพิ่มความสำคัญของพื้นฐานด้านความปลอดภัย

รัฐบาลมีแนวโน้มที่จะต้องการใช้แนวทางระมัดระวังมากขึ้นในการนำปัญญาประดิษฐ์ (AI) มาใช้ โดยเฉพาะอย่างยิ่ง AI เจนเนอเรชั่น (gen AI) เนื่องจากพวกเขาส่วนใหญ่ได้รับมอบหมายให้จัดการข้อมูลส่วนบุคคลของประชากรของตน นอกจากนี้ยังต้องรวมถึงการเสริมการป้องกันทางไซเบอร์เนื่องจากเทคโนโลยี AI ยังคงพัฒนาอย่างต่อเนื่อง และนั่นหมายความว่าถึงเวลาที่ต้องทบทวนปัจจัยพื้นฐานอีกครั้ง

องค์กรจากทั้งภาครัฐและเอกชนมีความกังวลเกี่ยวกับความปลอดภัยและจริยธรรมในการนำ gen AI มาใช้ แต่อย่างหลังมีความคาดหวังที่สูงกว่าในประเด็นเหล่านี้ Olaf Pietschner ซีอีโอประจำภูมิภาคเอเชียแปซิฟิกของ Capgemini กล่าวในการสัมภาษณ์ทางวิดีโอ

รัฐบาลไม่ชอบความเสี่ยงมากกว่า และโดยนัยแล้ว รัฐบาลมีมาตรฐานที่สูงกว่าในด้านธรรมาภิบาลและรั้วกั้นที่จำเป็นสำหรับ Gen AI Pietschner กล่าว พวกเขาจำเป็นต้องให้ความโปร่งใสในการตัดสินใจ แต่กระบวนการที่ขับเคลื่อนด้วย AI ต้องมีระดับที่สามารถอธิบายได้ เขากล่าว

ดังนั้น องค์กรภาครัฐจึงมีความอดทนต่อปัญหาต่างๆ เช่น ภาพหลอน และข้อมูลเท็จและไม่ถูกต้องที่สร้างโดยโมเดล AI น้อยลง เขากล่าวเสริม

โดยมุ่งเน้นไปที่รากฐานของสถาปัตยกรรมความปลอดภัยสมัยใหม่ Frank Briguglio นักยุทธศาสตร์ด้านความปลอดภัยข้อมูลระบุตัวตนของภาครัฐสำหรับผู้จำหน่ายการจัดการข้อมูลประจำตัวและการเข้าถึงของ SailPoint Technologies กล่าว

เมื่อถูกถามว่าการเปลี่ยนแปลงด้านความปลอดภัยที่ท้าทายการนำ AI มาใช้นั้นมีความหมายต่อภาครัฐอย่างไร Briguglio ชี้ให้เห็นถึงความจำเป็นที่มากขึ้นในการปกป้องข้อมูลและแทรกการควบคุมที่จำเป็นเพื่อให้แน่ใจว่าจะไม่ถูกเปิดเผยต่อบริการ AI ที่คัดลอกอินเทอร์เน็ตสำหรับข้อมูลการฝึกอบรม

โดยเฉพาะอย่างยิ่ง การจัดการข้อมูลประจำตัวออนไลน์จำเป็นต้องเปลี่ยนกระบวนทัศน์ Eduarda Camacho ซีโอโอของ CyberArk ผู้จำหน่ายระบบรักษาความปลอดภัยการจัดการข้อมูลประจำตัวกล่าว เธอเสริมว่าการใช้การรับรองความถูกต้องแบบหลายปัจจัยหรือขึ้นอยู่กับเครื่องมือความปลอดภัยดั้งเดิมจากผู้ให้บริการคลาวด์นั้นไม่เพียงพออีกต่อไป

นอกจากนี้ Camacho กล่าวในการให้สัมภาษณ์ว่าไม่เหมาะสมที่จะใช้การป้องกันที่แข็งแกร่งยิ่งขึ้นกับบัญชีที่ได้รับสิทธิพิเศษเท่านั้น สิ่งนี้เกี่ยวข้องโดยเฉพาะอย่างยิ่งกับการเกิดขึ้นของ Gen AI และ Deepfakes ซึ่งทำให้การสร้างตัวตนมีความซับซ้อนมากขึ้น เธอกล่าวเสริม

เช่นเดียวกับ Camacho Briguglio ใช้ประโยชน์จากแนวทางที่เน้นอัตลักษณ์เป็นหลัก ซึ่งเขากล่าวว่าเรียกร้องให้องค์กรต่างๆ ทราบว่าข้อมูลทั้งหมดอยู่ที่ไหน และจัดประเภทข้อมูลเพื่อให้สามารถป้องกันได้ตามนั้น ทั้งจากมุมมองความเป็นส่วนตัวและความปลอดภัย

พวกเขาจำเป็นต้องสามารถนำนโยบายไปใช้กับเครื่องจักรแบบเรียลไทม์ ซึ่งจะสามารถเข้าถึงข้อมูลได้เช่นกัน เขากล่าวในการสัมภาษณ์ทางวิดีโอ ท้ายที่สุดแล้ว การเน้นย้ำถึงบทบาทของ Zero Trust ซึ่งทุกความพยายามในการเข้าถึงเครือข่ายหรือข้อมูลจะถือว่าไม่เป็นมิตรและอาจส่งผลต่อระบบขององค์กรได้ เขากล่าว

คุณลักษณะหรือนโยบายที่ให้สิทธิ์การเข้าถึงจำเป็นต้องได้รับการตรวจสอบและควบคุมอย่างถูกต้อง และผู้ใช้ทางธุรกิจจำเป็นต้องมีความมั่นใจในคุณลักษณะเหล่านี้ หลักการเดียวกันนี้ใช้กับข้อมูลและองค์กรที่ต้องการทราบว่าข้อมูลของตนอยู่ที่ไหน มีการป้องกันอย่างไร และใครบ้างที่สามารถเข้าถึงข้อมูลได้ Briguglio กล่าว

เขาเสริมว่าข้อมูลประจำตัวควรได้รับการตรวจสอบความถูกต้องอีกครั้งทั่วทั้งเวิร์กโฟลว์หรือโฟลว์ข้อมูล โดยมีการประเมินความถูกต้องของข้อมูลประจำตัวอีกครั้งเมื่อมีการใช้ในการเข้าถึงหรือถ่ายโอนข้อมูล รวมถึงผู้ที่ข้อมูลถูกถ่ายโอนไปให้

โดยเน้นย้ำถึงความจำเป็นสำหรับบริษัทต่างๆ ในการสร้างกรอบการจัดการข้อมูลประจำตัวที่ชัดเจน ซึ่งในปัจจุบันยังคงมีการแยกส่วนอย่างมาก Camacho กล่าว การจัดการการเข้าถึงไม่ควรแตกต่างกันตามบทบาทของผู้ใช้ เธอกล่าว พร้อมกระตุ้นให้ธุรกิจต่างๆ ลงทุนในกลยุทธ์ที่ถือว่าทุกตัวตนในองค์กรของตนได้รับสิทธิพิเศษ

สมมติว่าทุกๆ ตัวตนสามารถถูกบุกรุกได้ และการมาถึงของ Gen AI จะทำให้สิ่งนี้ยิ่งเพิ่มสูงขึ้นเท่านั้น เธอกล่าวเสริม องค์กรต่างๆ สามารถก้าวนำหน้าด้วยนโยบายความปลอดภัยที่แข็งแกร่ง และดำเนินการจัดการการเปลี่ยนแปลงภายในและการฝึกอบรมที่จำเป็น เธอกล่าว

นี่เป็นสิ่งสำคัญสำหรับภาครัฐ โดยเฉพาะอย่างยิ่งในขณะที่รัฐบาลเริ่มเปิดตัวเครื่องมือ Gen AI ในสภาพแวดล้อมการทำงานมากขึ้น

ในความเป็นจริง 80% ขององค์กรในภาครัฐและภาครัฐได้เพิ่มการลงทุนใน gen AI ในช่วงปีที่ผ่านมา ตามการสำรวจของ Capgemini ที่สำรวจผู้บริหาร 1,100 คนทั่วโลก ประมาณ 74% อธิบายว่าเทคโนโลยีนี้เป็นการเปลี่ยนแปลงในการช่วยขับเคลื่อนรายได้และนวัตกรรม โดย 68% ได้ทำงานกับโปรแกรมนำร่อง Gen AI บางรุ่นแล้ว อย่างไรก็ตาม มีเพียง 2% เท่านั้นที่เปิดใช้งานความสามารถของ Gen AI ในฟังก์ชันหรือสถานที่ส่วนใหญ่หรือทั้งหมด

ในขณะที่ 98% ขององค์กรในภาคส่วนนี้อนุญาตให้พนักงานใช้ Gen AI ในระดับหนึ่งได้ แต่ 64% ก็มีราวกั้นเพื่อจัดการการใช้งานดังกล่าว บันทึกการศึกษาของ Capgemini อีก 28% จำกัดการใช้งานดังกล่าวไว้เฉพาะกลุ่มพนักงาน และ 46% กำลังพัฒนาแนวปฏิบัติเกี่ยวกับการใช้ Gen AI อย่างมีความรับผิดชอบ

อย่างไรก็ตาม เมื่อถามถึงความกังวลเกี่ยวกับจริยธรรม AI นั้น 74% ขององค์กรภาครัฐชี้ว่าขาดความเชื่อมั่นว่าเครื่องมือ Gen AI นั้นยุติธรรม และ 56% แสดงความกังวลเกี่ยวกับอคติในโมเดล Gen AI อาจส่งผลให้เกิดผลลัพธ์ที่น่าอับอายเมื่อลูกค้าใช้งาน . อีก 48% เน้นย้ำถึงการขาดความชัดเจนในข้อมูลพื้นฐานที่ใช้ในการฝึกแอปพลิเคชัน Gen AI

มุ่งเน้นไปที่ความปลอดภัยของข้อมูลและการกำกับดูแล

ดังที่เป็นอยู่ การมุ่งเน้นที่ความปลอดภัยของข้อมูลได้เพิ่มสูงขึ้น เนื่องจากบริการของรัฐบาลเปลี่ยนไปสู่ระบบดิจิทัลมากขึ้น ซึ่งเพิ่มความเสี่ยงในการสัมผัสกับภัยคุกคามออนไลน์

เมื่อเดือนที่แล้วกระทรวงการพัฒนาดิจิทัลและข้อมูล (MDDI) ของสิงคโปร์เปิดเผยว่ามีเหตุการณ์ข้อมูลที่เกี่ยวข้องกับรัฐบาล 201 ครั้งในปีงบประมาณ 2023 เพิ่มขึ้นจาก 182 เหตุการณ์ที่รายงานในปีก่อนหน้า กระทรวงระบุว่าการเพิ่มขึ้นของการใช้ข้อมูลที่สูงขึ้น เนื่องจากมีการเปลี่ยนบริการภาครัฐให้เป็นดิจิทัลมากขึ้นสำหรับประชาชนและธุรกิจ

นอกจากนี้ ขณะนี้เจ้าหน้าที่ของรัฐจำนวนมากขึ้นตระหนักถึงความจำเป็นในการรายงานเหตุการณ์ต่างๆ ซึ่ง MDDI กล่าวว่าอาจส่งผลให้เหตุการณ์ด้านข้อมูลเพิ่มขึ้น

ในการอัปเดตประจำปีเกี่ยวกับความพยายามที่ภาครัฐของสิงคโปร์ดำเนินการในการปกป้องข้อมูลส่วนบุคคล MDDI กล่าวว่ามีการริเริ่ม 24 โครงการในช่วงปีที่ผ่านมาระหว่างเดือนเมษายน 2023 ถึงเดือนมีนาคม 2024 สิ่งเหล่านี้รวมถึงคุณลักษณะใหม่ในชุดเครื่องมือความเป็นส่วนตัวส่วนกลางของภาคส่วนที่ไม่ระบุชื่อเอกสาร 20 ล้านฉบับ และสนับสนุนกรณีการใช้งาน AI เจนเนอเรชั่น 20 มากกว่าในภาครัฐ

มีการปรับปรุงเพิ่มเติมในเครื่องมือป้องกันข้อมูลสูญหาย (DLP) ของรัฐบาล ซึ่งทำงานเพื่อป้องกันการสูญเสียข้อมูลลับหรือข้อมูลที่ละเอียดอ่อนโดยไม่ตั้งใจจากเครือข่ายและอุปกรณ์ของรัฐบาล

ขณะนี้ระบบของรัฐบาลที่มีสิทธิ์ทั้งหมดยังใช้เครื่องมือการจัดการบัญชีกลางที่จะลบบัญชีผู้ใช้ที่ไม่จำเป็นอีกต่อไปโดยอัตโนมัติ MDDI กล่าว สิ่งนี้ช่วยลดความเสี่ยงในการเข้าถึงโดยไม่ได้รับอนุญาตโดยเจ้าหน้าที่ที่ละทิ้งบทบาทของตนตลอดจนผู้แสดงภัยคุกคามที่ใช้บัญชีที่ไม่มีการเคลื่อนไหวเพื่อดำเนินการหาประโยชน์

เมื่อการนำบริการดิจิทัลมาใช้เพิ่มมากขึ้น ก็มีความเสี่ยงเพิ่มขึ้นจากการเปิดเผยข้อมูล จากการกำกับดูแลของมนุษย์หรือช่องว่างด้านความปลอดภัยในเทคโนโลยี Pietschner กล่าว เมื่อสิ่งต่างๆ เกิดข้อผิดพลาด เมื่อมีการหยุดทำงานของ CrowdStrike องค์กรต่างๆ มองหาวิธีขับเคลื่อนนวัตกรรมให้เร็วขึ้นและนำเทคโนโลยีมาใช้เร็วขึ้น เขากล่าว

โดยเน้นย้ำถึงความสำคัญของการใช้เครื่องมือไอทีที่ทันสมัยและการนำกลยุทธ์การจัดการแพตช์ที่มีประสิทธิภาพมาใช้ เขาอธิบาย โดยสังเกตว่าเทคโนโลยีเก่าที่ไม่ได้รับแพตช์ยังคงเป็นความเสี่ยงสูงสุดสำหรับธุรกิจ

Briguglio กล่าวเพิ่มเติมว่า ยังแสดงให้เห็นถึงความจำเป็นในการยึดมั่นในพื้นฐานอีกด้วย แพตช์รักษาความปลอดภัยและการเปลี่ยนแปลงเคอร์เนลไม่ควรถูกเผยแพร่หากไม่มีการทดสอบการถดถอยหรือทดสอบแพตช์เหล่านั้นในแซนด์บ็อกซ์ก่อน เขากล่าว

แม้ว่ากรอบการกำกับดูแลที่จะแนะนำองค์กรเกี่ยวกับวิธีการตอบสนองในกรณีที่เกิดเหตุการณ์ข้อมูลก็มีความสำคัญไม่แพ้กัน Pietschner กล่าวเสริม ตัวอย่างเช่น จำเป็นอย่างยิ่งที่องค์กรภาครัฐจะต้องโปร่งใสและเปิดเผยการละเมิด เพื่อให้ประชาชนทราบเมื่อข้อมูลส่วนบุคคลของพวกเขาถูกเปิดเผย เขากล่าว

เขากล่าวว่ากรอบการกำกับดูแลควรถูกนำมาใช้สำหรับแอปพลิเคชัน Gen AI เช่นกัน ซึ่งควรรวมถึงนโยบายเพื่อเป็นแนวทางให้กับพนักงานในการนำเครื่องมือ Gen AI มาใช้

อย่างไรก็ตาม 63% ขององค์กรในภาครัฐยังไม่ได้ตัดสินใจเกี่ยวกับกรอบการกำกับดูแลสำหรับวิศวกรรมซอฟต์แวร์ ตามการศึกษาของ Capgemini ที่แตกต่างกัน ซึ่งสำรวจผู้บริหารระดับสูง 1,098 คนและผู้เชี่ยวชาญด้านซอฟต์แวร์ 1,092 คนทั่วโลก

อย่างไรก็ตาม 88% ของผู้เชี่ยวชาญด้านซอฟต์แวร์ในภาคส่วนนี้ใช้เครื่องมือ AI รุ่นอย่างน้อยหนึ่งรายการที่ไม่ได้รับอนุญาตหรือสนับสนุนอย่างเป็นทางการจากองค์กรของตน ตัวเลขนี้สูงที่สุดในบรรดากลุ่มธุรกิจทั้งหมดที่ได้รับการสำรวจทั่วโลก Capgemini กล่าว

มันบ่งชี้ว่าการกำกับดูแลเป็นสิ่งสำคัญ Pietschner กล่าว หากนักพัฒนาใช้เครื่องมือ Gen AI ที่ไม่ได้รับอนุญาต พวกเขาสามารถเปิดเผยข้อมูลภายในที่ควรได้รับการรักษาความปลอดภัยโดยไม่ได้ตั้งใจ เขากล่าว

เขาตั้งข้อสังเกตว่ารัฐบาลบางแห่งได้สร้างโมเดล AI ที่ปรับแต่งเองเพื่อเพิ่มชั้นความไว้วางใจและทำให้พวกเขาสามารถตรวจสอบการใช้งานได้ สิ่งนี้สามารถรับประกันได้ว่าพนักงานจะใช้เฉพาะเครื่องมือ AI ที่ได้รับอนุญาตเท่านั้น ซึ่งเป็นการปกป้องข้อมูลที่ใช้

ที่สำคัญกว่านั้น องค์กรภาครัฐสามารถขจัดอคติหรืออาการประสาทหลอนในโมเดล AI ของตนได้ เขากล่าว และควรมีรั้วกั้นที่จำเป็นเพื่อลดความเสี่ยงของโมเดลเหล่านี้ที่สร้างการตอบสนองที่ขัดแย้งกับคุณค่าหรือเจตนาของรัฐบาล

เขาเสริมว่ากลยุทธ์ Zero-trust นั้นง่ายต่อการนำไปใช้ในภาครัฐซึ่งมีระดับมาตรฐานที่สูงกว่า มักจะมีบริการภาครัฐที่ใช้ร่วมกันและกระบวนการจัดซื้อจัดจ้างที่ได้มาตรฐาน เป็นต้น ทำให้ง่ายต่อการบังคับใช้นโยบาย Zero-Trust

ในเดือนกรกฎาคม สิงคโปร์ได้ประกาศแผนการที่จะเผยแพร่แนวปฏิบัติทางเทคนิคและเสนอ "มาตรการเชิงปฏิบัติ" เพื่อสนับสนุนความปลอดภัยของเครื่องมือและระบบ AI แนวทางสมัครใจนี้มีจุดมุ่งหมายเพื่อเป็นข้อมูลอ้างอิงสำหรับผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ที่ต้องการปรับปรุงความปลอดภัยของเครื่องมือ AI ของตน และสามารถนำไปใช้ควบคู่ไปกับกระบวนการรักษาความปลอดภัยที่มีอยู่เพื่อจัดการกับความเสี่ยงที่อาจเกิดขึ้นในระบบ AI รัฐบาลระบุ

Gen AI กำลังพัฒนาอย่างรวดเร็วและทุกคนยังไม่เข้าใจถึงพลังที่แท้จริงของเทคโนโลยีและวิธีการใช้งานอย่างถ่องแท้ Briguglio กล่าว โดยเรียกร้องให้องค์กรต่าง ๆ รวมถึงหน่วยงานภาครัฐที่วางแผนใช้ Gen AI ในกระบวนการตัดสินใจเพื่อให้แน่ใจว่ามีการกำกับดูแลและการกำกับดูแลของมนุษย์เพื่อจัดการการเข้าถึงและข้อมูลที่ละเอียดอ่อน

“ในขณะที่เราสร้างและทำให้ระบบเหล่านี้เติบโต เราต้องมั่นใจว่าการควบคุมที่เราวางไว้รอบ ๆ Gen AI นั้นเพียงพอสำหรับสิ่งที่เราพยายามปกป้อง” เขากล่าว "เราต้องจำพื้นฐาน"

Eric Trexler หัวหน้าธุรกิจภาครัฐในสหรัฐฯ ของ Pala Alto Network กล่าว หากใช้ได้ดี AI สามารถทำงานร่วมกับมนุษย์เพื่อป้องกันศัตรูที่ใช้เครื่องมือ AI แบบเดียวกันในการโจมตีได้ดียิ่งขึ้น

ข้อผิดพลาดสามารถเกิดขึ้นได้ ดังนั้นจึงจำเป็นต้องมีการตรวจสอบและถ่วงดุลที่ถูกต้อง เมื่อทำอย่างถูกต้อง AI จะช่วยให้องค์กรตามทันความเร็วและปริมาณของภัยคุกคามออนไลน์ Trexler ให้รายละเอียดในการสัมภาษณ์ทางวิดีโอ

เมื่อนึกถึงประสบการณ์ก่อนหน้านี้ของเขาในการบริหารทีมที่ทำการวิเคราะห์มัลแวร์ เขากล่าวว่าระบบอัตโนมัติให้ความเร็วในการติดตามฝ่ายตรงข้าม “เราแค่มีมนุษย์ไม่เพียงพอและมีงานบางอย่างที่เครื่องจักรทำได้ดีกว่า” เขากล่าว

เครื่องมือ AI รวมถึง Gen AI สามารถช่วย "ค้นหาเข็มในกองหญ้า" ซึ่งมนุษย์จะต้องดิ้นรนที่จะทำเมื่อปริมาณเหตุการณ์ด้านความปลอดภัยและการแจ้งเตือนสามารถพุ่งเข้าสู่หลายล้านในแต่ละวัน เขากล่าว AI สามารถมองหาเครื่องหมายหรือตัวบ่งชี้ทั่วทั้งระบบหลายแง่มุมที่รวบรวมข้อมูลและสร้างบทสรุปของเหตุการณ์ ซึ่งมนุษย์สามารถตรวจสอบได้ เขากล่าวเสริม

Trexler เน้นย้ำถึงความสำคัญของการตระหนักว่าสิ่งต่างๆ ยังคงสามารถผิดพลาดได้ และสร้างกรอบการทำงานที่จำเป็น รวมถึงการกำกับดูแล นโยบาย และคู่มือกลยุทธ์เพื่อลดความเสี่ยงดังกล่าว