मैनिफेस्ट रिपोर्ट से पता चलता है कि एआई तैयारता में अंतर है क्योंकि उद्यम सुरक्षा टीमें दृश्यता और शासन के साथ संघर्ष करती हैं

मैनिफेस्ट से एक नई रिपोर्ट , “बियॉन्ड द ब्लैक बॉक्स: हाउ एआई इज फोर्सिंग ए रीथिंक ऑफ द सॉफ्टवेयर सप्लाई चेन,” एक बढ़ती असंगति को उजागर करती है कार्यकारी विश्वास और संचालन वास्तविकता के बीच जब यह एआई सुरक्षा तैयारता की बात आती है। 300 से अधिक सुरक्षा नेताओं और व्यवसायियों के एक सर्वेक्षण पर आधारित, अध्ययन यह पाता है कि जबकि अधिकांश कार्यकारी मानते हैं कि उनके संगठन एआई-संचालित आपूर्ति श्रृंखला जोखिमों के लिए तैयार हैं, सुरक्षा टीमें जमीन पर महत्वपूर्ण शासन अंतर, छाया एआई उपयोग, और आधुनिक सॉफ्टवेयर प्रणालियों को शक्ति देने वाले घटकों में दृश्यता की सीमितता की सूचना देती हैं।

यह निष्कर्ष एक केंद्रीय तनाव को उजागर करता है जो उद्यम प्रौद्योगिकी में उभर रहा है: एआई अपनति तेजी से उत्पादों और कार्य प्रवाहों में तेजी से बढ़ रही है, लेकिन इन प्रणालियों को ट्रैक करने, शासन करने और सुरक्षित करने के लिए आवश्यक तंत्र उनके साथ तालमेल नहीं रख रहे हैं।

एआई आपूर्ति श्रृंखला सुरक्षा समस्याओं को नए रूपों में पुनर्निर्माण कर रहा है

एक दशक से अधिक समय से, संगठनों ने सॉफ्टवेयर आपूर्ति श्रृंखला सुरक्षा में सुधार करने के लिए निर्भरताओं को ट्रैक करने, कमजोरियों की निगरानी करने और शासन ढांचे स्थापित करने का काम किया है। हालांकि, मैनिफेस्ट रिपोर्ट तर्क देती है कि एआई प्रभावी रूप से उन्हीं जोखिमों को पुनः प्रस्तुत कर रहा है – अब मॉडल, डेटासेट, एजेंट और तृतीय-पक्ष एआई सेवाओं में फैला हुआ है।

एआई घटक अक्सर अपारदर्शी प्रणालियों के रूप में कार्य करते हैं। उद्यम अक्सर यह पूरी तरह से समझा नहीं पाते हैं कि मॉडल कैसे प्रशिक्षित किए गए, कौन से डेटासेट का उपयोग किया गया, या कौन सी बाहरी सेवाएं उनके अनुप्रयोगों के भीतर निहित हैं। इसके परिणामस्वरूप, संगठन एक नए वर्ग के आपूर्ति श्रृंखला जोखिम का सामना करते हैं: सॉफ्टवेयर प्रणाली जिन्हें वे विश्वसनीय रूप से निरीक्षण, सत्यापित या निगरानी नहीं कर सकते हैं।

रिपोर्ट पर जोर देती है कि दृश्यता पहले से ही फिसल रही है। 63% संगठनों की रिपोर्ट “छाया एआई” की उपस्थिति की सूचना देती है, जो सुरक्षा, खरीद, या जोखिम प्रबंधन टीमों से पर्यवेक्षण के बिना अपनाए गए एआई टूल या एकीकरण को संदर्भित करता है।

डैनियल बार्डेनस्टीन, मैनिफेस्ट के सीईओ और सह-संस्थापक, ने कहा कि डेटा एक बढ़ती खाई को उजागर करता है जो कार्यकारी धारणा और संचालन वास्तविकता के बीच है: “कार्यकारी एआई तैयारता में विश्वास एप्सेक टीमों के साथ जो वे दिन-प्रतिदिन के साथ सौदा करते हैं उसे मेल नहीं खाता है। नेता मानते हैं कि शासन स्थान पर है, लेकिन व्यवसायी असंगठित एआई उपयोग, अस्पष्ट स्वामित्व, और उत्पादों और विक्रेताओं में वास्तव में चलने वाले अंधे धब्बे देख रहे हैं।”

कार्यकारी तैयार होने का दावा करते हैं, सुरक्षा टीमें असहमत हैं

रिपोर्ट में सबसे आकर्षक निष्कर्षों में से एक नेतृत्व विश्वास और फ्रंटलाइन सुरक्षा मूल्यांकन के बीच विचलन है।

लगभग 80% सुरक्षा कार्यकारी अपने संगठनों में परिपक्व एआई सुरक्षा अभ्यास होने का दावा करते हैं, जबकि केवल लगभग 40% एप्लिकेशन सुरक्षा (एप्सेक) टीमें उस मूल्यांकन से सहमत होती हैं।

एप्सेक टीमें अक्सर संचालन विफलताओं का सामना करने वाली पहली होती हैं जो शासन ढांचे में होती हैं क्योंकि वे सीधे सॉफ्टवेयर आपूर्ति श्रृंखला के साथ बातचीत करती हैं। ये व्यवसायी उच्च मात्रा में अलर्ट, सुरक्षा जिम्मेदारियों के स्वामित्व की अस्पष्टता, और विकास और सुरक्षा वातावरण में टूलिंग के खंडित होने का सामना करने की सूचना देते हैं।

रिपोर्ट के अनुसार, 47% उत्तरदाताओं ने खंडित टीमों और स्वामित्व की अस्पष्टता को सॉफ्टवेयर आपूर्ति श्रृंखला सुरक्षा में सुधार के लिए सबसे बड़ा बाधा के रूप में पहचाना।

यह परिणाम एक ऐसे वातावरण में होता है जहां संगठन मानते हैं कि उनके पास मजबूत सुरक्षा कार्यक्रम हैं, जबकि दृश्यता, जिम्मेदारी और संचालन समन्वय में महत्वपूर्ण अंतर बने रहते हैं।

एसबीओएम विरोधाभास: उत्पन्न लेकिन शायद ही कभी उपयोग किया जाता है

अध्ययन से एक और महत्वपूर्ण अंतर्दृष्टि सॉफ्टवेयर बिल ऑफ मटेरियल (एसबीओएम) के बारे में है – सॉफ्टवेयर घटकों की सूची जो संगठनों को निर्भरता और कमजोरियों को ट्रैक करने में मदद करने के लिए डिज़ाइन की गई है।

एसबीओएम की अपनाई बढ़ी है हाल के वर्षों में, विशेष रूप से नियामक दबाव और आपूर्ति श्रृंखला हमलों के कारण। हालांकि, मैनिफेस्ट शोध सुझाव देता है कि कई संगठन एसबीओएम पीढ़ी को एक अनुपालन चेकबॉक्स के रूप में मानते हैं rather than एक संचालन क्षमता के रूप में।

रिपोर्ट कई प्रमुख आंकड़ों पर जोर देती है:

• 60% संगठन एसबीओएम उत्पन्न करते हैं
• अधिकांश अभ्यास में उन्हें प्रबंधित या उपभोग नहीं करते हैं
• 79.6% सॉफ्टवेयर संरचना विश्लेषण (एससीए) टूल का उपयोग करते हैं
• एसबीओएम संचालन उपयोग 41.8% पर बहुत कम रहता है

केंद्रीकृत इनटेक, सामान्यीकरण, नीति प्रवर्तन और निरंतर निगरानी के बिना, एसबीओएम स्थिर कलाकृतियों बन जाते हैं rather than सक्रिय जोखिम प्रबंधन उपकरण।

सुरक्षा टीमें भी पारंपरिक सॉफ्टवेयर संरचना विश्लेषण प्लेटफार्मों के प्रति संदेह व्यक्त करती हैं। 56.3% उत्तरदाताओं का कहना है कि एससीए टूल अलर्ट या विकास टीमों में देरी पैदा करते हैं, जबकि 46.4% इन टूलों को वास्तविक दुनिया के सॉफ्टवेयर जोखिम को कम करने में संदेह करते हैं।

यह डिस्कनेक्ट एक बड़ी परिपक्वता चुनौती को दर्शाता है: संगठन बड़ी मात्रा में सुरक्षा डेटा उत्पन्न कर सकते हैं लेकिन अक्सर जोखिम में कमी के लिए उन संकेतों को अनुवादित करने के लिए संचालन बुनियादी ढांचे की कमी होती है।

पारदर्शिता डेटा सुरक्षा और तैनाती गति में सुधार करता है

इन चुनौतियों के बावजूद, शोध से पता चलता है कि संगठन जो अपनी सॉफ्टवेयर आपूर्ति श्रृंखला में अर्थपूर्ण पारदर्शिता प्राप्त करते हैं वे मापनीय लाभ प्राप्त करते हैं।

लगभग आधे उत्तरदाताओं (49.4%) की रिपोर्ट है कि उन्हें विक्रेताओं से प्राप्त होने वाले पारदर्शी डेटा प्राप्त होते हैं – जैसे एसबीओएम, प्रोवेनेंस रिकॉर्ड, या हस्ताक्षरित बाइनरी – खरीद के दौरान।

जब यह जानकारी विश्वसनीय और संचालनल होती है, तो प्रभाव महत्वपूर्ण है:

• 64% नए प्रौद्योगिकी के कार्यान्वयन में तेजी लाने की सूचना देते हैं
• 61.6% सुरक्षा मुद्दों के समाधान में तेजी लाने की सूचना देते हैं
• 15.5% डाउनटाइम में कमी की सूचना देते हैं

एसबीओएम और अन्य पारदर्शिता डेटा प्राप्त करने में विफल रहने वाले संगठन “पारदर्शिता कर” का भुगतान करते हैं – अपारदर्शी सॉफ्टवेयर घटकों की जांच के लिए अतिरिक्त समय, लागत और जोखिम से जुड़ा हुआ है।

हाई रेगुलेटेड उद्योग इस चुनौती को दर्शाते हैं। वित्तीय सेवाओं और स्वास्थ्य सेवा संगठनों की रिपोर्ट है कि विक्रेताओं से पारदर्शी डेटा प्राप्त करने की दर सबसे कम है – क्रमशः 14.3% और 19.5% – इसकी सबसे बड़ी आवश्यकता के बावजूद।

एआई अपनति उद्यमों में तेजी से बढ़ रही है

अध्ययन यह भी उजागर करता है कि एआई कितनी तेजी से उद्यम सॉफ्टवेयर पारिस्थितिकी में निहित हो गया है।

लगभग सभी सर्वेक्षण में शामिल संगठनों ने एआई को पूरी तरह से टाला नहीं है। इसके बजाय, कंपनियां विभिन्न दृष्टिकोणों के साथ प्रयोग कर रही हैं:

• 80.2% अनुमोदित व्यावसायिक एआई मॉडल का आंतरिक रूप से उपयोग करते हैं
• 79.9% व्यावसायिक उपकरणों जैसे कि चैटजीपीटी या कर्सर का व्यापक रूप से उपयोग करते हैं
• 56.7% अपने आंतरिक डेटा पर खुले वजन वाले मॉडल को प्रशिक्षित करते हैं
• 29.3% शून्य से कस्टम एआई मॉडल बनाते हैं

वित्तीय सेवाओं और प्रौद्योगिकी कंपनियां अपनति में अग्रणी हैं। लगभग 90% वित्तीय सेवा संगठन अनुमोदित आंतरिक एआई मॉडल की रिपोर्ट करते हैं, और 46.9% शून्य से कस्टम मॉडल बनाते हैं, जो कि समग्र औसत से काफी ऊपर है।

इन क्षेत्रों में तेजी से आगे बढ़ने के लिए मजबूत प्रोत्साहन हैं। वित्तीय सेवाओं में, एआई सीधे तौर पर धोखाधड़ी का पता लगाने, जोखिम प्रबंधन, और राजस्व उत्पादन को प्रभावित करता है। प्रौद्योगिकी फर्मों में, एआई उत्पाद पेशकशों और प्लेटफ़ॉर्म क्षमताओं के केंद्र में बैठता है।

हालांकि, तेजी से अपनाने की गति अक्सर शासन को पीछे छोड़ देती है।

छाया एआई एक व्यापक समस्या बन रहा है

शोध यह पुष्टि करता है कि छाया एआई – औपचारिक पर्यवेक्षण के बिना तैनात किए गए टूल या मॉडल – पहले से ही व्यापक है।

केवल 34.8% उत्तरदाताओं की रिपोर्ट है कि उनके संगठन में कोई छाया एआई नहीं है, जबकि शेष कम से कम कुछ असंगठित एआई उपयोग को स्वीकार करते हैं।

यह पैटर्न पहले की “छाया आईटी” लहरों की नकल करता है, जहां कर्मचारियों ने आधिकारिक खरीद प्रक्रियाओं के बाहर क्लाउड सेवाओं या सास टूल को अपनाया था।

क्षेत्रीय मतभेद भी उभर रहे हैं। ईएमईए में संगठन छाया एआई के बिना संचालित होने की उच्च दर (45.7%) की रिपोर्ट करते हैं, संभवतः अन्य क्षेत्रों की तुलना में सख्त नियामक ढांचे और सख्त खरीद प्रक्रियाओं के कारण।

फिर भी, रिपोर्ट चेतावनी देती है कि पारंपरिक सुरक्षा उपकरण एआई मॉडल, डेटासेट और सेवाओं को वितरित विकास वातावरण में ट्रैक करने के लिए डिज़ाइन नहीं किए गए थे।

लाइसेंसिंग और कानूनी जोखिम एक और प्रमुख अंधे धब्बे हैं

एआई अपनति से जुड़े तकनीकी शासन के अलावा, अध्ययन यह भी उजागर करता है कि एआई लाइसेंसिंग और बौद्धिक संपदा अधिकारों को समझने में कानूनी और अनुपालन चुनौतियां हैं।

एआई मॉडल और डेटासेट के लाइसेंसिंग नियमों, बौद्धिक संपदा अधिकारों और उपयोग प्रतिबंधों को समझना कई संगठनों के लिए कठिन बना हुआ है। सर्वेक्षण में पाया गया:

• 93% उत्तरदाताओं का कहना है कि उनके संगठन में एआई लाइसेंसिंग और आईपी दायित्वों के प्रबंधन में सुधार की गुंजाइश है
• 54.6% इसे एक प्रमुख चुनौती के रूप में मजबूती से सहमत हैं

इन जोखिमों में विशेष रूप से तेजी से बढ़ जाते हैं जब संगठन अपने आंतरिक डेटा पर खुले वजन वाले मॉडल को प्रशिक्षित करते हैं या संयुक्त प्रोप्राइटरी डेटासेट के साथ तृतीय-पक्ष एआई घटकों को जोड़ते हैं।

बिना मजबूत शासन ढांचे के, कंपनियां अनजाने में लाइसेंस उल्लंघन या अनुपालन जोखिम को उत्पादन प्रणालियों में पेश कर सकती हैं।

संचालन संरेखण वास्तविक चुनौती हो सकता है

जबकि सुरक्षा टूलिंग जारी रहती है, रिपोर्ट सुझाव देती है कि प्रभावी एआई आपूर्ति श्रृंखला सुरक्षा के लिए सबसे बड़ा बाधा प्रौद्योगिकी स्वयं नहीं हो सकती है।

इसके बजाय, कई संगठन खंडित स्वामित्व, डिस्कनेक्टेड कार्य प्रवाह, और सॉफ्टवेयर और एआई घटकों के लिए साझा रिकॉर्ड प्रणाली की अनुपस्थिति से संघर्ष करते हैं।

सबसे अधिक बार उद्धृत प्रतिबंध हैं:

• 47.3% संगठनात्मक प्रतिबंध
• 36.3% अपर्याप्त कौशल
• 35.7% बजट सीमाएं
• 34.8% प्रबंधन समझ की कमी
• 32.6% स्टाफिंग कमी

इन संचालन अंतराल से सुरक्षा संकेतों को नीति प्रवर्तन या मापनीय जोखिम में कमी में अनुवादित करना मुश्किल हो जाता है।

एआई आपूर्ति श्रृंखला सुरक्षा एक रणनीतिक प्राथमिकता क्यों बन रही है

जैसे ही एआई उद्यम सॉफ्टवेयर के हर स्तर में निहित हो जाता है, सॉफ्टवेयर आपूर्ति श्रृंखला की अवधारणा मॉडल, प्रशिक्षण डेटासेट, अनुमान सेवाओं, और तृतीय-पक्ष एआई प्लेटफार्मों को शामिल करने के लिए विस्तारित हो रही है।

मैनिफेस्ट रिपोर्ट निष्कर्ष निकालती है कि संगठनों को बिंदु-समय दृश्यता उपकरणों से परे जाना चाहिए और अपनी एआई आपूर्ति श्रृंखला पर निरंतर, संचालन नियंत्रण बनाना चाहिए।

इसका मतलब है:

• विकास वातावरण में उपयोग किए जाने वाले सभी एआई मॉडल को ट्रैक करना
• प्रशिक्षण डेटा की प्रोवेनेंस और लाइसेंसिंग की पुष्टि करना
• विकास और तैनाती के दौरान शासन नीतियों को लागू करना
• एआई घटकों के लिए एसबीओएम के समान निरंतर इन्वेंट्री बनाए रखना

इन तंत्रों के बिना, एआई अपनति और एआई शासन के बीच अंतराल जारी रहेगा।

और जैसा कि अध्ययन स्पष्ट रूप से बताता है, यह अंतराल पहले से ही कई उद्यमों के भीतर मौजूद है।