כיצד להטמיע GenAI בארגונים באופן בטוח?

"כלי ה-GenAI שאנחנו רואים בשנים האחרונות מביאים איתם כמות עצומה של פגיעויות, עד כדי כך שקשה לארגונים לראות אילו מהן עתידות לפגוע בהם, מה הסדר שבו הן עלולות לפגוע ומה עליהם לתקן קודם. היכולת להתכונן מראש היא קריטית, והיא מוגבלת כשמגיעים לאיומי סייבר על כלי GenAI. צריך לקחת בחשבון ש-29% מהחולשות מנוצלות בתוך יום אחד בלבד", כך אמרה נועה בנג'ו, מנהלת מוצר בכירה בזיסקיילר.

בנג'ו דיברה בכנס דאטה סנטרים ואינפוסק של אנשים ומחשבים, שנערך באחרונה במרכז האירועים והכנסים לאגו בראשון לציון.

לדבריה, "ארגונים צריכים למפות את הנכסים הקריטיים ביותר לארגון, כדי לתעדף על אילו מהם חשוב יותר להגן ופגיעויות באילו מהם חשוב יותר לתקן. כמו כן, עליהם להבין איך לשלב מוצרים שיגנו עליו וימנעו את התקפתו".

11 המלצות למנהלי אבטחת המידע

בנג'ו ציינה מסמך בן 11 נקודות שכתבו 60 מומחים ואישרו 250 מנהלי אבטחת מידע בארגונים, ופורסם באפריל האחרון, בין היתר על רקע יציאתו של המודל בעל היכולות הרבות והמסוכנות מיתוס מבית אנת'רופיק. המסמך עוסק בהתכוננות להתגוננות מפני איומי הסייבר שהבינה המלאכותית, וה-GenAI בפרט, מביאות עימן.

המומחים ממליצים לארגונים להפעיל מיידית סוכני AI לגילוי חולשות אבטחה בתוך קוד המקור, הארכיטקטורה וצינורות הפיתוח הפנימיים של הארגון; לבצע הטמעה רוחבית של סוכני AI בכל פונקציות האבטחה; להקים מנגנון משילות (Governance) למתן אישורים באופן מואץ; להגן על סוכני ה-AI הארגוניים על ידי הגדרת גבולות הגזרה שלהם, הגבלת הרשאות ועוד; להיערך לעדכוני אבטחה רציפים; לעדכן מודלים של ניהול סיכונים; לעבור מניהול שרתים פשוט לשימוש מקיף ב-SBOM (ר"ת Software Bill of Materials); להשתמש בסוכני AI לצד הפיתוח; להטמיע טכנולוגיות להטעיית ההאקרים; להקשיח את מעטפת אפס האמון של הארגון; ולהקים מחלקה ארגונית ייעודית למבצעי חולשות, שתפעל 24/7.

בנג'ו התמקדה בכמה מהנקודות האלה: "ראשית, מה שהתוקפים לא רואים ברשת – הם לא יכולים לתקוף. צריך לחסום את התוקפים מלהגיע לנכסים הקריטיים. אפשר לעשות את זה באמצעות פתרון ה-ZPA שלנו, זיסקיילר, שמאפשר לקחת את האפליקציות שאנחנו רוצים שרק עובדים מהארגון יתחברו אליהן, ולוודא שכך יהיה".

"צריך למפות את רשימת המערכות שאי אפשר להחביא והן חשופות, ואת האיומים עליהן", אמרה.

"בנוסף", ציינה בנג'ו, "צריך להטמיע מוצרי אפס גישה לאינטרנט (ZIA), לנטר כל עובד בארגון, לדעת מתי ולאן הוא מתחבר, ואיפה לחסום אותו".

"כמו כן", אמרה, "יש להטמיע פתרון לגילוי הונאות. פתרון שכזה שם "מלכודות", שמחקות את הנכסים האמיתיים. כך הארגונים יכולים לראות את ההתנהגות החשודה לפני שההאקר מגיע לנכסים האמיתיים שלהם".

בנג'ו אף קראה לנהל את הסיכונים של נכסי ה-AI. "על מנהל אבטחת המידע לוודא שהוא יכול לראות האם עובד זה או אחר גולש לאתר שחושף מידע ארגוני למודלי בינה מלאכותית, שיכולים להשתמש בהם", אמרה. "עוד המלצה היא: גלה, תעדף באמצעות הקשר – ותקן פגיעויות. זיסקיילר תשיק בקרוב מוצר חדש, שיוכל להבין ולהעביר ללקוחות את ההקשרים של החשיפות הקיימות, ולגלות באילו חולשות התוקף הולך להשתמש".

עוד היא ציינה ש-"כדאי להטמיע מרכז תפעול סייבר (SOC) אייג'נטי ולחמש את צוות המרכז הזה בסוכני AI שעוקפים את הסוכנים התוקפים, של ההאקרים".