CYGNVS का लचीलापन बेंचमार्क रिपोर्ट AI घटनाओं से निपटने की तैयारी में कमियाँ उजागर करती है

CYGNVS लचीलापन बेंचमार्क रिपोर्ट, जिसे CYGNVS ने Marsh Risk के साथ मिलकर तैयार किया है, बताती है कि संगठनों द्वारा AI के इस्तेमाल और उससे जुड़ी घटनाओं को संभालने की उनकी क्षमता के बीच की खाई बढ़ रही है। 9,500 से अधिक स्व-रिपोर्ट किए गए सर्वेक्षणों के आधार पर रिपोर्ट कहती है कि सर्वेक्षण में शामिल 89% संगठनों ने किसी न किसी तरह की AI घटना का अनुभव किया है, जबकि 46% ऐसी घटना से निपटने के लिए मौके पर ही उपाय सोचेंगे।

13 अक्टूबर, 2026 को जारी यह रिपोर्ट उस समस्या की पड़ताल करती है, जिसका महत्व तब और बढ़ जाता है जब AI सामग्री तैयार करने से आगे बढ़कर कारोबारी कार्यप्रवाह संचालित करने लगता है। किसी एजेंट को दस्तावेज़ों, ईमेल और कारोबारी प्रणालियों तक पहुँच देने से वह उपयोगी बन सकता है। लेकिन इससे गलत निर्देश, उजागर हो चुकी प्रमाण-पत्र जानकारी या अनियंत्रित कार्रवाइयों के क्रम को काबू में रखना भी कठिन हो जाता है।

निष्कर्ष बताते हैं कि AI अपनाने और उसकी विफलताओं से उबरने की तैयारी की रफ्तार अलग-अलग है। आँकड़ों में शामिल लगभग 80% संगठन जनरेटिव AI का इस्तेमाल करते हैं, फिर भी केवल तीन में से एक संगठन अपने AI की हमलों के विरुद्ध जाँच करता है। AI का इस्तेमाल करने वाले तीन-चौथाई संगठनों ने AI गवर्नेंस समिति होने की जानकारी दी, लेकिन इसका अर्थ यह नहीं कि उनकी परिचालन सुरक्षा व्यवस्थाओं की जाँच भी की गई है।

रिपोर्ट में AI घटना किसे माना गया है

इस प्रमुख आँकड़े को संदर्भ के साथ समझना ज़रूरी है। रिपोर्ट में AI घटनाओं की व्यापक परिभाषा अपनाई गई है, जिसमें हानिकारक मतिभ्रम, पक्षपात, मॉडल में बदलाव, डेटा का रिसाव, अनचाहे उद्देश्य पूरे करने की कोशिश करने वाले एजेंट, आपस में संवाद करने वाले एजेंटों के बीच विफलताएँ और अपर्याप्त सुरक्षा उपाय शामिल हैं। इन घटनाओं के कारण और परिणाम एक-दूसरे से बहुत अलग हो सकते हैं।

ग्राहकों को दिया गया गलत जवाब और किसी एजेंट द्वारा गोपनीय जानकारी उजागर करना—दोनों इस व्यापक चर्चा के दायरे में आते हैं, लेकिन ये समान प्रकार की सुरक्षा घटनाएँ नहीं हैं। इसलिए 89% के आँकड़े को किसी न किसी तरह की AI घटना का अनुभव होने की रिपोर्ट के रूप में समझना चाहिए, न कि इस बात के प्रमाण के रूप में कि लगभग दस में से नौ संगठनों में AI के कारण सेंधमारी हुई। रिपोर्ट यह भी कहती है कि 16% संगठनों को कम-से-कम हर सप्ताह AI से जुड़ी घटना का सामना करना पड़ता है; हालाँकि, इससे यह स्थापित नहीं होता कि उन सभी घटनाओं की गंभीरता एक जैसी है।

प्रतिक्रिया की योजना बनाते समय यह अंतर महत्वपूर्ण है। मॉडल से निकली हानिकारक सामग्री को हटाना और उससे प्रभावित निर्णयों की समीक्षा करना पड़ सकता है। जुड़े हुए साधनों के ज़रिए काम करने वाले किसी एजेंट के मामले में अनुमतियाँ रद्द करनी पड़ सकती हैं, गतिविधियों के रिकॉर्ड सुरक्षित रखने पड़ सकते हैं और कई प्रणालियों में हुए बदलावों की पहचान करनी पड़ सकती है। पारंपरिक घुसपैठ-प्रतिक्रिया योजना इन दोनों में से किसी भी प्रतिक्रिया के कुछ हिस्सों को समेट सकती है, लेकिन टीमों को फिर भी यह जानना होगा कि वे AI से जुड़ी कौन-सी विशेष कार्रवाइयाँ कर सकती हैं और उन्हें करने का अधिकार किसके पास है।

योजनाएँ आम हैं। उन्हें लागू कर पाना कम आम है।

रिपोर्ट तैयारी को चार चरणों में बाँटती है: तैयारी, अभ्यास, प्रतिक्रिया और रिपोर्टिंग। इन सभी चरणों में बार-बार सामने आने वाली कमज़ोरी यह है कि दस्तावेज़ मौजूद होने और दबाव की स्थिति में उसे लागू कर पाने के बीच बड़ा अंतर है।

• तैयारी: 92% संगठनों ने घटना-प्रतिक्रिया प्रक्रियाएँ दस्तावेज़ में दर्ज की हैं, लेकिन केवल 37% के पास रैंसमवेयर से जुड़ी विशेष कार्ययोजनाएँ हैं और 29% के पास तीसरे पक्ष से जुड़ी घटनाओं के लिए कार्ययोजनाएँ हैं।
• अभ्यास: 17% संगठन मेज़ पर आधारित अभ्यास नहीं करते। अन्य 66% ऐसे अभ्यास साल में एक बार या हर दो साल में एक बार करते हैं।
• प्रतिक्रिया: 67% संगठनों ने अपनी सबसे महत्वपूर्ण प्रक्रियाओं और निर्भरताओं के लिए स्पष्ट ज़िम्मेदारों की पहचान नहीं की है।
• रिपोर्टिंग: 69% संगठन इस बात के रिकॉर्ड में गंभीर कमियाँ स्वीकार करते हैं कि किसने क्या किया और कब किया।

इस बीच, दस में से छह से अधिक संगठनों का कहना है कि पिछले 12 महीनों में घटनाओं की संख्या बढ़ी है, और 84% अपनी प्रतिक्रिया योजनाओं की समीक्षा साल में एक बार या उससे भी कम करते हैं। ये आँकड़े तैयारी के अलग-अलग पहलुओं को दर्शाते हैं, लेकिन इन्हें साथ देखने पर एक व्यावहारिक सवाल उठता है: जब योजना में वर्णित प्रणालियाँ, विक्रेता और अनुमतियाँ लगातार बदलती रहती हैं, तो वह कितनी जल्दी पुरानी पड़ जाती है?

AI को लागू करने के संदर्भ में बदलावों में नया मॉडल, डेटा का अतिरिक्त स्रोत या पहले हाथ से किए जाने वाले काम को अंजाम देने की अनुमति शामिल हो सकती है। इनमें से हर बदलाव विफलता की स्थिति में ज़रूरी प्रतिक्रिया को बदल सकता है। योजना में संबंधित प्रणाली के मालिक, उपलब्ध रोकथाम नियंत्रण और रोकथाम के दौरान सुरक्षित रखे जाने वाले साक्ष्यों की पहचान होनी चाहिए।

प्रतिक्रिया के बुनियादी ढाँचे की अपनी अलग सीमा क्यों होनी चाहिए

सर्वेक्षण में शामिल केवल 33% संगठनों के पास मुख्य प्रणालियों से अलग एक समर्पित कमांड परिवेश है, जिसे जाँच के दायरे में आया AI न तो देख सकता है और न ही प्रभावित कर सकता है। वास्तु-संबंधी समस्या सीधी है: प्रतिक्रिया देने वाली टीम को समन्वय के लिए ऐसी जगह चाहिए जिस पर तब भी भरोसा किया जा सके, जब प्रभावित परिवेश भरोसेमंद न हो।

ऐसे किसी एजेंट पर विचार करें जिसे साझा दस्तावेज़ों और कंपनी के संदेश-तंत्र तक पहुँच प्राप्त है। यदि प्रतिक्रिया देने वाले लोग जाँच के नोट और रोकथाम की योजनाएँ उन्हीं प्रणालियों में रखते हैं, तो एजेंट की अनुमतियाँ उसे प्रतिक्रिया से जुड़ी जानकारी तक भी पहुँचा सकती हैं। इसका यह अर्थ नहीं कि हर गड़बड़ी करने वाला एजेंट अपना व्यवहार छिपाएगा। इसका अर्थ यह है कि प्रतिक्रिया की संरचना इस भरोसे पर निर्भर नहीं होनी चाहिए कि प्रभावित प्रणाली सही ढंग से काम करेगी।

CYGNVS सुरक्षा टीमों, कारोबारी नेताओं और बाहरी विशेषज्ञों के बीच समन्वय के लिए एक मंच के ज़रिए इस समस्या का समाधान करता है। इसके AI घटना कमान केंद्र में AI से जुड़ी विशेष कार्ययोजनाएँ, अभ्यास परिदृश्य और प्रतिक्रिया संबंधी मार्गदर्शन शामिल हैं। कंपनी का कहना है कि यह परिवेश ग्राहकों के कॉर्पोरेट एकल साइन-ऑन, ईमेल और बुनियादी ढाँचे से स्वतंत्र रूप से काम करता है।

इसकी बाहरी प्रणालियों से अलग क्षमताओं में अलग-अलग उपयोगकर्ता पहचानें और Isolate Mode शामिल हैं, जो घटना से जुड़े कार्यक्षेत्र तक केवल अधिकृत प्रतिभागियों की पहुंच सीमित करता है। कंपनी प्रतिक्रिया गतिविधियों का दस्तावेज़ीकरण करने के लिए पुराने समय के स्नैपशॉट और डिजिटल रूप से हस्ताक्षरित पहुंच प्रमाणपत्रों का भी उल्लेख करती है। ये समन्वय और साक्ष्य-प्रबंधन की क्षमताएं हैं; इनकी प्रभावशीलता फिर भी इस बात पर निर्भर करती है कि संगठन पहुंच को कैसे विन्यस्त करते हैं, जिम्मेदारियां कैसे सौंपते हैं और इनके इस्तेमाल का अभ्यास कैसे करते हैं।

अभ्यास में निर्णय लेने वाले लोगों को शामिल करना जरूरी है

रिपोर्ट में शामिल केवल 15% संगठन ऐसे टेबलटॉप अभ्यास करते हैं जिनमें कानूनी विभाग, वरिष्ठ अधिकारी और संचार टीमें पूरी तरह मिलकर भाग लेते हैं। लगभग आधे संगठन अब भी अभ्यासों को मुख्य रूप से सुरक्षा और आईटी से जुड़ा मानते हैं और जरूरत पड़ने पर ही अन्य विभागों को शामिल करते हैं।

इससे महत्वपूर्ण फैसलों का पर्याप्त अभ्यास नहीं हो पाता। सुरक्षा टीम किसी एकीकरण को बंद कर सकती है, लेकिन ग्राहकों के लिए उपलब्ध किसी सेवा को रोकने की मंजूरी किसी व्यावसायिक नेतृत्वकर्ता से लेनी पड़ सकती है। जांच पूरी होने से पहले क्या कहा जा सकता है, इसका आकलन कानूनी और संचार टीमों को करना पड़ सकता है। इन जिम्मेदारियों के हस्तांतरण का अभ्यास करने से यह पता लगाने में मदद मिलती है कि निर्णय लेने का अधिकार कहां स्पष्ट नहीं है और कहां धारणाएं एक-दूसरे से टकराती हैं।

बाहरी सेवा-प्रदाता भी एक निर्भरता हैं। हालांकि 88% संगठन संकट-संचार योजनाएं होने की बात कहते हैं, लेकिन दस में चार से अधिक ने उन योजनाओं के लिए जरूरी बाहरी विशेषज्ञता सुनिश्चित नहीं की है। संपर्क सूचियां और अनुबंध संबंधी व्यवस्थाएं तैयारी के संचालनगत घटक हैं—खासकर तब, जब किसी व्यापक घटना के दौरान कई संगठनों को उन्हीं विशेषज्ञों की जरूरत पड़ सकती है।

इस मानक रिपोर्ट को कैसे समझें

कार्यप्रणाली के अनुसार, जनवरी 2023 से सितंबर 2026 के बीच एशिया, यूरोप और उत्तरी अमेरिका के देशों में 21 उद्योगों से 9,500 से अधिक सर्वेक्षण एकत्र किए गए। उत्तरदाताओं ने स्वयं जानकारी दी; जवाबों को गुमनाम रखा गया और समग्र रूप से उनका विश्लेषण किया गया। इस डेटासेट में वे संगठन भी शामिल हैं जिन्हें पिछले 24 महीनों में कोई गंभीर साइबर या एआई घटना हुई थी और वे भी जिन्हें ऐसी कोई घटना नहीं हुई थी।

यह कई वर्षों में एकत्र किए गए सर्वेक्षण-जवाबों का संकलन है, न कि 9,500 अलग-अलग कंपनियों का एक बार किया गया नया सर्वेक्षण। प्रकाशित कार्यप्रणाली यह साबित नहीं करती कि नमूना संभाव्यता-आधारित है और सभी संगठनों का प्रतिनिधित्व करता है; न ही यह हर प्रमुख निष्कर्ष के लिए नमूने का आकार बताती है। डेटासेट के भीतर ये प्रतिशत उपयोगी संकेतक हैं, लेकिन इन्हें सभी संगठनों में घटनाओं की व्यापकता के सटीक अनुमान नहीं मानना चाहिए।

रिपोर्ट के अनुसार, हाल में गंभीर घटनाओं का सामना कर चुके संगठन तैयारी के कई पैमानों पर बेहतर स्थिति में होते हैं। यह संबंध इस बात की पड़ताल करने का आधार देता है कि इन संगठनों ने क्या बदलाव किए, लेकिन अपने आप में यह साबित नहीं करता कि घटना के अनुभव से ही सुधार हुआ। CYGNVS प्रतिक्रिया-प्रबंधन सॉफ़्टवेयर भी बेचती है, इसलिए उसकी सिफारिशों का मूल्यांकन करते समय उसके व्यावसायिक हित को ध्यान में रखना प्रासंगिक है।

निष्कर्षों को संचालनगत बदलावों में बदलना

रिपोर्ट के साथ CYGNVS अपनी Resilience Benchmark क्षमता शुरू कर रही है। कंपनी के अनुसार, इससे ग्राहक उद्योग, संगठन के आकार और भौगोलिक क्षेत्र के आधार पर अपनी तैयारी की तुलना कर सकेंगे। कंपनी के ग्राहक न होने वाले लोग भी व्यक्तिगत मानक-रिपोर्ट पाने के लिए निःशुल्क आकलन पूरा कर सकते हैं। रिपोर्ट और आकलन CYGNVS के संगठनात्मक लचीलेपन संबंधी संसाधन के माध्यम से उपलब्ध हैं।

सबसे उपयोगी सीख यह है कि ठोस कार्रवाइयों को परखा जाए: किसी एजेंट को कौन निलंबित कर सकता है, कॉर्पोरेट सिस्टम से छेड़छाड़ होने पर प्रतिक्रिया देने वाले लोग कहां संवाद करेंगे, कौन-से रिकॉर्ड सुरक्षित रहेंगे और क्या बाहरी विशेषज्ञ आपातकालीन पहुंच की तत्काल जुगाड़ किए बिना जुड़ सकते हैं। इन क्षमताओं को मापने से निदेशक मंडल और सुरक्षा नेतृत्व को केवल नीति के मौजूद होने की तुलना में तैयारी की अधिक स्पष्ट तस्वीर मिलती है।

जैसे-जैसे संगठन एआई को अधिक अधिकार दे रहे हैं, प्रतिक्रिया की तैयारी भी उसी के साथ बढ़नी चाहिए। CYGNVS Resilience Benchmark Report इस अंतर को उजागर करती है। इसे पाटने के लिए टीमों को लिखित इरादों को ऐसे फैसलों और नियंत्रणों में बदलना होगा, जिनका वे पहले ही अभ्यास कर चुकी हों।