AI Sudah Ada di Dalam Bisnis Anda. Jika Anda Tidak Mengamankannya, Anda Ketinggalan

Baik Anda secara resmi menggelar AI di seluruh organisasi atau tidak, AI sudah ada di sana. Karyawan menggunakan ChatGPT untuk membuat dokumen, kemungkinan mengunggah data sensitif ke dalam alat online untuk mempercepat analisis, dan mengandalkan alat generatif untuk mempercepat semua hal mulai dari kode hingga layanan pelanggan. AI terjadi dengan atau tanpa Anda, dan itu seharusnya membuat CISO waspada.

Proliferasi sunyi dari alat AI yang tidak diverifikasi di seluruh departemen telah menciptakan lapisan baru shadow IT yang tumbuh cepat. Ini terdesentralisasi, sebagian besar tidak terlihat, dan penuh dengan risiko. Dari pelanggaran kepatuhan hingga kebocoran data dan pengambilan keputusan yang tidak dapat dilacak, konsekuensi dari mengabaikan gelombang penggunaan AI ini sangat nyata. Namun, banyak perusahaan masih berpikir bahwa mereka dapat menahan hal itu dengan kebijakan atau firewall.

Kebenaran adalah, AI tidak dapat diblokir. AI hanya dapat diamankan. Dan semakin cepat perusahaan menerima hal itu, semakin cepat mereka dapat mulai menutup celah berbahaya yang telah dibuka AI.

AI Bayangan Menginfiltrasi Organisasi, dan Ini Adalah Titik Buta Keamanan

Kami telah melihat pola ini sebelumnya. Adopsi cloud meledak di awal 2010-an tepat seperti ini, dengan tim mencapai alat yang membantu mereka bergerak lebih cepat, seringkali tanpa persetujuan tim keamanan. Banyak tim keamanan mencoba menolak perubahan, hanya untuk dipaksa melakukan pembersihan reaktif setelah pelanggaran, konfigurasi yang salah, atau kegagalan kepatuhan terjadi.

Hari ini, hal yang sama terjadi dengan AI. Menurut Laporan Keamanan AI 2024 kami, lebih dari setengah organisasi menggunakan AI untuk mengembangkan aplikasi kustom mereka sendiri, dan namun sedikit yang memiliki visibilitas ke mana model-model itu berada, bagaimana mereka dikonfigurasi, atau apakah mereka memaparkan data sensitif.

Ini menciptakan dua risiko:

1. Karyawan menggunakan alat publik untuk mengakses data propietary atau sensitif, yang memaparkan informasi tersebut ke sistem eksternal tanpa pengawasan.
2. Tim internal menggelar model AI tanpa kontrol keamanan yang memadai, yang menghasilkan kerentanan yang dapat dieksploitasi dan praktik yang buruk yang dapat gagal audit.

AI Bayangan bukan hanya masalah keamanan, tetapi juga krisis tata kelola. Jika Anda tidak dapat melihat di mana AI digunakan, Anda tidak dapat mengelola bagaimana ia dilatih, data apa yang diakses, atau output apa yang dihasilkan. Dan jika Anda tidak melacak keputusan AI, Anda kehilangan kemampuan untuk menjelaskan atau membela mereka, meninggalkan Anda terbuka untuk risiko regulasi, reputasi, atau operasional.

Mengapa Alat Keamanan Tradisional Tidak Cukup

Sebagian besar alat keamanan tidak dibangun untuk menangani AI. Mereka tidak mengenali artefak model, tidak dapat memindai jalur data AI-spesifik, dan tidak tahu cara melacak interaksi LLM atau menerapkan tata kelola model. Bahkan alat yang ada cenderung fokus pada potongan-potongan puzzle yang sempit, meninggalkan organisasi dengan solusi titik tanpa pandangan yang kohesif.

Itu adalah masalah. Keamanan AI tidak dapat menjadi pemikiran belakangan atau tambahan. Ini harus dibangun ke dalam cara Anda mengelola lingkungan cloud, melindungi data, dan membangun pipa DevSecOps. Jika tidak, Anda akan meremehkan seberapa sentral AI menjadi bagi operasi Anda dan melewatkan kesempatan untuk mengamankannya sebagai bagian inti dari infrastruktur bisnis Anda.

Mitos “Hanya Blokir” Harus Berakhir

Menggoda untuk berpikir Anda dapat menyelesaikan ini dengan larangan blanket melalui kebijakan “tidak ada alat AI pihak ketiga” atau “tidak ada eksperimen internal”. Tapi itu hanya khayalan. Secara sederhana, karyawan hari ini menggunakan alat AI untuk menyelesaikan pekerjaan mereka lebih cepat. Dan mereka tidak melakukannya dengan niat jahat, mereka melakukannya karena itu berhasil.

AI adalah pengganda kekuatan dan orang akan mencapainya selama itu membantu mereka memenuhi tenggat waktu, mengurangi pekerjaan, atau memecahkan masalah lebih cepat.

Mencoba memblokir perilaku itu secara terbuka tidak akan menghentikannya. Ini hanya akan mendorongnya lebih jauh ke bawah tanah. Dan ketika sesuatu salah, Anda akan berada dalam posisi terburuk dengan tidak ada visibilitas, tidak ada kebijakan, dan tidak ada rencana untuk respons.

Terima AI Secara Strategis, Aman, dan Terlihat

Pendekatan yang lebih cerdas adalah menerima AI secara proaktif, tetapi dengan syarat. Ini dimulai dengan tiga hal:

1. Berikan karyawan pilihan yang aman dan disetujui. Jika Anda ingin mengalihkan penggunaan dari alat yang berisiko, Anda perlu menawarkan alternatif yang aman. Apakah itu LLM internal, alat pihak ketiga yang diverifikasi, atau asisten AI terintegrasi di sistem inti, kunci adalah memenuhi karyawan di mana mereka berada, dengan alat yang sama cepatnya tetapi jauh lebih aman.

2. Tetapkan kebijakan yang jelas dan terapkan. Tata kelola AI perlu spesifik, dapat diambil tindakan, dan mudah diikuti. Jenis data apa yang dapat dibagikan dengan alat AI? Apa garis merahnya? Siapa yang bertanggung jawab untuk meninjau dan menyetujui proyek AI internal? Publikasikan kebijakan Anda dan pastikan mekanisme penerapan teknis dan prosedural Anda ada.

3. Investasikan pada visibilitas dan pemantauan. Anda tidak dapat mengamankan apa yang tidak dapat Anda lihat. Anda perlu alat yang dapat mendeteksi penggunaan AI bayangan, mengidentifikasi kunci akses yang terbuka, menandai model yang salah konfigurasi, dan menyoroti di mana data sensitif mungkin bocor ke dalam set pelatihan atau output. Manajemen postur AI dengan cepat menjadi sama kritis dengan manajemen postur keamanan cloud.

CISO Perlu Memimpin Transisi Ini

Suka atau tidak, ini adalah momen penentu untuk kepemimpinan keamanan. Peran CISO tidak lagi hanya tentang melindungi infrastruktur. Ini menjadi lebih tentang memungkinkan inovasi dengan aman, yang berarti membantu organisasi menggunakan AI untuk bergerak lebih cepat sambil memastikan bahwa keamanan, privasi, dan kepatuhan dibangun ke dalam setiap langkah.

Hal ini terlihat seperti:

• Mengedukasi dewan dan eksekutif tentang risiko AI yang nyata versus yang dirasakan
• Membuat kemitraan dengan tim teknik dan produk untuk membenamkan keamanan lebih awal dalam penerapan AI
• Investasi pada alat modern yang memahami bagaimana sistem AI bekerja
• Membangun budaya di mana penggunaan AI yang bertanggung jawab adalah tugas semua orang

CISO tidak perlu menjadi ahli AI di ruangan, tetapi mereka perlu menjadi orang yang bertanya pertanyaan yang tepat. Model apa yang kita gunakan? Data apa yang memberi makan mereka? Apa garis pembatas yang ada? Bisakah kita membuktikannya?

Intinya: Tidak Bertindak Adalah Risiko Terbesar dari Semua

AI sudah mengubah cara bisnis kita beroperasi. Baik itu tim layanan pelanggan yang membuat balasan lebih cepat, tim keuangan yang menganalisis prakiraan, atau pengembang yang mempercepat alur kerja mereka, AI tertanam dalam pekerjaan sehari-hari. Mengabaikan kenyataan itu tidak memperlambat adopsi, tetapi hanya mengundang titik buta, kebocoran data, dan kegagalan regulasi.

Jalan paling berbahaya ke depan adalah ketidakaktifan. CISO dan pemimpin keamanan harus menerima apa yang sudah benar: AI sudah ada. Ini ada di sistem Anda, ini ada di alur kerja Anda, dan ini tidak akan pergi. Pertanyaannya adalah apakah Anda akan mengamankannya sebelum menciptakan kerusakan yang tidak dapat dibalik.

Terima AI, tetapi tidak pernah tanpa pemikiran keamanan terlebih dahulu. Ini adalah satu-satunya cara untuk tetap mendahului apa yang akan datang selanjutnya.