Главная мысль
Начните с реестра и ответственных. Назначьте ответственных за подтверждение границ доступа и разрешённых действий. Проверьте, что рискованные операции требуют согласования и меры контроля работают.
Зачем нужно управление ИИ
Некоторые помощники и агенты ИИ в зависимости от выданных разрешений могут выполнять действия в системах наряду с чтением данных. При проверке безопасности или аудите команда должна объяснить назначение инструмента, его фактический доступ и ответственность за решения. Распространите действующие процессы управления доступом, поставщиками и инцидентами на использование ИИ.
1. Актуальный реестр
Ведите единый список помощников, агентов, API моделей, плагинов и автоматизаций во всех подразделениях. Запишите цель, пользователей, технического ответственного, поставщика и статус: пилотный проект или рабочая система. Обновляйте реестр при добавлении интеграций.
2. Карта доступа к данным
Укажите, к каким файлам, почте, репозиториям и приложениям агент имеет доступ, какие данные может читать, изменять или передавать во внешние системы. Зафиксируйте источники и чувствительность данных. При изменении конфигурации сверяйте карту с фактическими разрешениями.
3. Минимальные полномочия
Предоставляйте роли агента только необходимые для задачи разрешения. Разделяйте сервисные и пользовательские аккаунты; вместо широких административных прав разрешайте доступ к конкретным ресурсам и выполнение конкретных действий. Для временных задач ограничивайте срок доступа.
4. Журнал действий
Ведите журнал действий с возможностью поиска: что сделал агент, когда и от чьего имени. Для каждого действия сохраняйте сведения о согласовании, результате и ошибках. Определите срок хранения, доступ к журналу и защиту чувствительного содержимого.
5. Подтверждение человеком
Требуйте подтверждения перед удалением данных, переводом средств и изменением доступа. Согласующий должен видеть цель и затрагиваемые ресурсы. Проверьте, что действие без согласования действительно блокируется.
6. Изоляция данных
Не допускайте использования данных одного подразделения или клиента в задачах другого на общей платформе. Разделяйте аккаунты, базы знаний и интеграции. Проверяйте границы доступа тестами для разных сред.
7. Согласование новых инструментов
До внедрения команда должна описать назначение инструмента, используемые данные и интеграции, а также указать ответственного за инструмент. Определите этапы проверки службой безопасности, владельцем данных и другими участвующими подразделениями. Пересматривайте согласование при смене модели, сценария использования или интеграции; политика должна быть понятна сотрудникам.
8. Реагирование на инциденты ИИ
Подготовьте порядок действий при утечке данных через запрос к ИИ или непредвиденной операции агента. Назначьте ответственного за реагирование с необходимыми полномочиями и определите, кому передавать вопросы, требующие дополнительных решений. Предусмотрите остановку агента и отзыв доступа соразмерно последствиям. Сохраняйте материалы расследования и выясняйте причину до возобновления работы.
9. Регулярный пересмотр доступа
Выберите график пересмотра с учётом риска. Ответственный за инструмент подтверждает необходимость разрешений, отключает лишние интеграции и неактивные аккаунты. При изменении ролей или состава команд проверяйте доступ вне очереди; фиксируйте решение и дату исполнения.
10. Обучение сотрудников
Сотрудники должны знать разрешённые для роли инструменты, допустимые данные и случаи обязательной проверки результата. Объясняйте правила на практических примерах и дайте понятный канал для сообщения о неизвестном инструменте или ошибочном действии. Обновляйте обучение при изменении разрешённого рабочего процесса.
11. Проверка риска поставщика
Для ИИ-сервиса и встроенной функции проверьте обработку, хранение и повторное использование данных поставщиком. Оцените условия договора, доступ, интеграции и порядок уведомления об инцидентах. Учитывайте изменения у поставщика при повторном согласовании инструмента.
12. Ответственный за программу
Назначьте человека или команду, отвечающую за программу целиком. Зафиксируйте обязанности ИТ, службы безопасности и специалистов по соблюдению требований, полномочия по принятию решений и порядок отчётности. Для устранения выявленных недостатков назначайте исполнителя и срок; сообщайте руководству о просроченных задачах и вопросах риска, по которым решение ещё не принято.
Постепенное внедрение
Начните с реестра, затем настройте ограничения доступа, согласование действий и журналирование для агентов, работающих с чувствительными данными или выполняющих значимые операции. Включите ИИ в существующие процессы проверки поставщиков и реагирования на инциденты. При выборе платформы проверьте на собственном сценарии демонстрации полномочия ролей, возможность видеть действия всех агентов, изоляцию данных и согласование операций.