ทำไมบริษัทหลายแห่งยังคงระมัดระวังเกี่ยวกับ AI และวิธีการใช้งาน AI อย่างปลอดภัย

AI ได้เข้ามาเปลี่ยนแปลงโลกอย่างรวดเร็ว แต่หลายองค์กรยังคงใช้แนวทางที่ระมัดระวังเกี่ยวกับ AI เนื่องจากความกังวลเกี่ยวกับความเป็นส่วนตัว การปฏิบัติตามกฎระเบียบ และปัญหาด้านการดำเนินงานที่ยังคงมีอยู่จนถึงปัจจุบัน

จากประสบการณ์การทำงานกับโครงการต่างๆ ที่เกี่ยวข้องกับ AI ผมได้เห็นรูปแบบที่คล้ายกันหลายครั้ง ผู้สนับสนุนในระยะแรกมีความ热情 แต่เมื่อถึงขั้นตอนการวางแผนและการทบทวนภายใน องค์กรหลายแห่งก็หยุดชะงักไป เนื่องจากความกังวลเกี่ยวกับข้อมูลที่ละเอียดอ่อน และความไม่แน่นอนเกี่ยวกับผลกระทบของ AI ต่อการดำเนินงาน

ในด้านความมั่นคงทางไซเบอร์ การใช้ความระมัดระวังเป็นเรื่องปกติ แต่การชะลอการนำ AI มาใช้ไม่ได้หมายความว่าภัยคุกคามที่มี AI จะหยุดนิ่ง การท้าทายที่แท้จริงคือการนำ AI มาใช้อย่างปลอดภัย และไม่สูญเสียการควบคุม

1. ปัญหาเรื่องความไว้วางใจของข้อมูล

อุปสรรคแรกและใหญ่ที่สุดคือการบริหารจัดการข้อมูล องค์กรหลายแห่งกลัวว่าข้อมูลที่ละเอียดอ่อนอาจรั่วไหล ถูกใช้ในทางที่ผิด หรือใช้ในการฝึกอบรมโมเดลที่ให้ประโยชน์กับคู่แข่ง การละเมิดความปลอดภัยที่มีชื่อเสียงและคำมั่นสัญญาที่คลุมเครือจากผู้ให้บริการเพียงเพิ่มความกลัว

ไม่ใช่ความหวาดกลัวที่ไม่มีเหตุผล เมื่อคุณต้องจัดการกับข้อมูลส่วนบุคคล ข้อมูลทรัพย์สินทางปัญญา หรือข้อมูลที่มีการควบคุม การส่งมอบข้อมูลให้กับบุคคลที่สามอาจทำให้รู้สึกสูญเสียการควบคุม และจนกว่าผู้ให้บริการจะทำหน้าที่อธิบายนโยบายเกี่ยวกับการแยกข้อมูล การเก็บรักษา การมีส่วนร่วมของบุคคลที่สาม และการฝึกอบรมโมเดลอย่างชัดเจน การนำ AI มาใช้จะยังคงถูกจำกัด

นี่คือจุดที่การกำกับดูแลมีความสำคัญ CISO ควรประเมินผู้ให้บริการโดยใช้โครงสร้างพื้นฐานที่เกิดขึ้นใหม่ เช่น NIST AI Risk Management Framework หรือ ISO/IEC 42001 ซึ่งให้คำแนะนำที่เป็นประโยชน์เกี่ยวกับความไว้วางใจ ความโปร่งใส และความรับผิดชอบในระบบ AI

2. คุณไม่สามารถปรับปรุงสิ่งที่คุณไม่ได้วัด

อุปสรรคอีกอย่างหนึ่งที่พบบ่อยคือการขาดตัวชี้วัดพื้นฐาน องค์กรหลายแห่งไม่สามารถ量化ประสิทธิภาพปัจจุบัน ซึ่งทำให้การพิสูจน์ ROI ของเครื่องมือ AI เป็นเรื่องที่ยากมาก

ไม่ว่าจะเป็นเวลาเฉลี่ยในการตรวจจับ (MTTD) อัตราเท็จบวก หรือชั่วโมงการทำงานของนักวิเคราะห์ที่ถูกช่วยเหลือ องค์กรต่างๆ ต้องเริ่มต้นด้วยการวัดกระบวนการทำงานในปัจจุบัน หากไม่มีข้อมูลนี้ กรณีสำหรับ AI จะยังคงเป็นเรื่องราวที่ไม่มีหลักฐาน และผู้สนับสนุนระดับบริหารจะไม่ลงนามในโครงการขนาดใหญ่หากไม่มีตัวเลขที่แท้จริงและสามารถป้องกันได้

เริ่มต้นการติดตาม KPI ที่สำคัญทันที รวมถึง:

• เวลาเฉลี่ยในการตรวจจับ/ตอบสนอง (MTTD/MTTR)
• การลดลงของเท็จบวก เท็จลบ และปริมาณตั๋ว
• เวลาในการทำงานของนักวิเคราะห์ที่ถูกช่วยเหลือต่อเหตุการณ์
• การปรับปรุงการครอบคลุม (เช่น จุดอ่อนที่ถูกสแกนและแก้ไข)
• เหตุการณ์ที่ถูกแก้ไขโดยไม่ต้องเพิ่มระดับ

ตัวชี้วัดเหล่านี้จะเป็นรากฐานของกลยุทธ์การพิสูจน์ AI ของคุณ

3. เมื่อเครื่องมือทำงานได้ดีเกินไป

อย่างไรก็ตาม หนึ่งในสาเหตุที่การนำ AI มาใช้หยุดชะงักคือเครื่องมือบางอย่างทำงานได้ดีเกินไป โดยเปิดเผยความเสี่ยงมากกว่าที่องค์กรเตรียมพร้อมที่จะจัดการ

แพลตฟอร์มข่าวกรองภัยคุกคามที่ซับซ้อน เครื่องมือตรวจสอบเว็บมืด และเครื่องมือที่มี LLM ที่เพิ่มขึ้นบ่อยครั้งจะแสดงให้เห็นถึงข้อมูลรั่วไหล โดเมนที่คล้ายกัน หรือจุดอ่อนที่ไม่เคยถูกตรวจพบมาก่อน แทนที่จะสร้างความชัดเจน ความมองเห็นที่ดีขึ้นนี้สามารถสร้างปัญหาใหม่: เราจะเริ่มต้นที่ไหน?

ผมเคยเห็นทีมงานปิดการสแกนขั้นสูงเพราะปริมาณผลลัพธ์สร้างความไม่สบายใจในด้านการเมืองหรืองบประมาณ การมองเห็นที่ดีขึ้นต้องการการให้ความสำคัญที่ดีขึ้น และความเต็มใจที่จะเผชิญปัญหาอย่างตรงไปตรงมา

4. ถูกบังคับให้ใช้สัญญาเก่า

แม้ว่าเครื่องมือที่ดีกว่าจะมีอยู่ องค์กรหลายแห่งถูกบังคับให้ใช้สัญญากับผู้ให้บริการเก่า สัญญาเหล่านี้มีผลกระทบทางการเงินที่รุนแรงจนการเปลี่ยนแปลงก่อนสิ้นสุดสัญญาเป็นเรื่องที่ไม่สามารถทำได้

ความมั่นคงทางอีเมลเป็นตัวอย่างคลาสสิก วิธีแก้ปัญหาที่ทันสมัยตอนนี้มีการตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI การสร้างแบบจำลองพฤติกรรม และความทนทานที่มีมาตรฐานสำหรับสภาพแวดล้อมแบบผสม แต่ถ้าผู้ให้บริการปัจจุบันของคุณไม่ได้ปรับปรุงและคุณถูกมัดไว้กับสัญญา 5 ปี คุณจะถูกขัดขวางจนกว่าสัญญาจะสิ้นสุด

ไม่ใช่แค่เรื่องเทคโนโลยี แต่ยังเกี่ยวกับการวางแผน การจัดซื้อ และการวางแผนเชิงกลยุทธ์

5. การเพิ่มขึ้นของ AI ในเงา

การนำ AI มาใช้ไม่ได้เกิดขึ้นจากบนลงล่างเท่านั้น แต่ยังเกิดขึ้นทุกที่ โดยไม่จำเป็นต้องมีการรู้ตัวจากฝ่ายความมั่นคง การวิจัยของเราแสดงให้เห็นว่ามากกว่า 85% ของพนักงานกำลังใช้เครื่องมือ AI เช่น ChatGPT, Copilot และ Bard (ไม่ต้องพูดถึง DeepSeek และ TikTok!)

หากไม่มีการกำกับดูแลที่เหมาะสม พนักงานอาจป้อนข้อมูลที่ละเอียดอ่อนเข้าเครื่องมือสาธารณะ ไว้วางใจผลลัพธ์ที่หลอกลวง หรือละเมิดนโยบายของบริษัทโดยไม่ตั้งใจ นี่เป็นเรื่องราวที่กลืนไม่เข้าคายไม่ออกเกี่ยวกับการปฏิบัติตามกฎระเบียบและการคุ้มครองข้อมูล และการเพิกเฉยต่อปัญหาไม่ได้ทำให้ปัญหาหายไป

ผู้นำด้านความมั่นคงควร采取ท่าทีที่积极โดย:

• การสร้างนโยบายการใช้งานที่ยอมรับได้
• การปิดกั้นแอป AI ที่ไม่ได้รับอนุมัติเมื่อจำเป็น และส่งผู้ใช้ไปยังเครื่องมือที่ได้รับอนุมัติ
• การเปิดตัวแพลตฟอร์ม AI ที่ปลอดภัยสำหรับการใช้งานภายใน
• การฝึกอบรมพนักงานเกี่ยวกับการใช้ AI อย่างรับผิดชอบ

บันทึกภาคสนาม: นโยบายการใช้ AI ไม่ได้เปลี่ยนแปลงการใช้งาน คุณไม่สามารถบังคับใช้สิ่งที่คุณไม่รู้จัก ดังนั้นขั้นตอนแรกคือการ量การใช้งาน จากนั้นจึงเปลี่ยนเป็นการบังคับใช้

6. การจ้างบุคคลภายนอกมีความเสี่ยงของตนเอง

ไม่มีบริษัทใดที่มีโครงสร้างพื้นฐานเพียงพอที่จะสร้างและจัดเก็บโมเดลขนาดใหญ่ภายในองค์กร ซึ่งหมายความว่าการจ้างบุคคลภายนอกมักเป็นทางเดียวที่เป็นไปได้ แต่นี่ก็ทำให้เกิดความเสี่ยงจากบุคคลที่สามและห่วงโซ่อุปทานที่ CISO ต้องคุ้นเคย

เหตุการณ์เช่น SolarWinds, Kaseya และการละเมิด Snowflake ล่าสุดเน้นย้ำว่าการเชื่อถือผู้ร่วมให้บริการภายนอกโดยไม่มีการมองเห็นสามารถนำไปสู่การเปิดเผยที่สำคัญได้ เมื่อคุณจ้างบุคคลภายนอกสำหรับโครงสร้างพื้นฐาน AI คุณจะสืบทอดทัศนคติด้านความปลอดภัยของซัพพลายเออร์

ไม่เพียงพอที่จะเชื่อถือในแบรนด์ ต้องเรียกร้องความชัดเจนเกี่ยวกับ:

• วงจรชีวิตของโมเดลและความถี่ในการอัปเดต
• โพรโทคอลการรับมือเหตุการณ์
• การควบคุมความปลอดภัยและประวัติการปฏิบัติตามกฎระเบียบของผู้ให้บริการ
• การแยกข้อมูลและการควบคุมผู้เช่า

7. พื้นที่โจมตีของ AI ที่กำลังขยายตัว

เมื่อองค์กรนำ AI มาใช้ พวกเขาต้องเตรียมพร้อมสำหรับเวกเตอร์ภัยคุกคามที่เฉพาะเจาะจงสำหรับ AI ผู้โจมตีกำลังทดลองกับ:

• การปนเปื้อนโมเดล (การเปลี่ยนแปลงข้อมูลฝึกอบรมอย่างลับๆ)
• การฉีดข้อความ (การควบคุมพฤติกรรม LLM)
• การป้อนข้อมูลที่เป็นปฏิปักษ์ (การหลบหลีกการตรวจจับ)
• การเอาเปรียบการหลอกลวง (การหลอกให้ผู้ใช้เชื่อถือผลลัพธ์ที่เป็นเท็จ)

สิ่งเหล่านี้ไม่ใช่เรื่องสมมติ แต่เป็นเรื่องจริงและกำลังเติบโต เมื่อผู้ป้องกันนำ AI มาใช้ พวกเขาต้องปรับกลยุทธ์การทดสอบการโจมตี การตรวจสอบ และการตอบสนองให้เหมาะสมกับพื้นที่โจมตีใหม่นี้

8. คนและกระบวนการอาจเป็นปัญหาจริง

หนึ่งในความท้าทายที่ถูกมองข้ามมากที่สุดคือความพร้อมขององค์กร เครื่องมือ AI มักต้องการการเปลี่ยนแปลงกระบวนการทำงาน ทักษะ และความคิด

นักวิเคราะห์ต้องเข้าใจเมื่อใดที่ควรไว้วางใจ AI เมื่อใดที่ควรท้าทาย และวิธีการเพิ่มระดับอย่างมีประสิทธิภาพ ผู้นำต้องรวม AI เข้ากับกระบวนการตัดสินใจโดยไม่ทำให้ความเสี่ยงเป็นอัตโนมัติ

การฝึกอบรม คู่มือ และการเปลี่ยนแปลงกระบวนการทำงานต้องพัฒนาไปพร้อมกับเทคโนโลยี การนำ AI มาใช้ไม่ใช่แค่โครงการทางเทคนิค แต่เป็นการเปลี่ยนแปลงของมนุษย์

เราควรทำอะไร?

แม้จะมีความท้าทาย ผมเชื่อมั่นว่าประโยชน์ของ AI ในด้านความมั่นคง远超过ความเสี่ยง หากทำได้อย่างถูกต้อง นี่คือคำแนะนำของผมสำหรับองค์กรที่จะก้าวไปข้างหน้า:

• เริ่มต้นด้วยขนาดเล็กและทดสอบอย่างเข้มงวด
• เลือกกรณีการใช้งานที่มีผลกระทบวัดได้ ทำการทดลองแบบควบคุม ตรวจสอบประสิทธิภาพ สร้างความไว้วางใจด้วยข้อมูล ไม่ใช่การโฆษณา
• นำฝ่ายกฎหมาย ความเสี่ยง และความมั่นคงเข้ามาตั้งแต่เนิ่นๆ
• อย่าปล่อยให้ถึงขั้นการทำสัญญา นำฝ่ายกฎหมายและความเสี่ยงเข้ามาทบทวนเงื่อนไขการรับมอบข้อมูล ความเสี่ยงด้านกฎระเบียบ และผลกระทบจากห่วงโซ่อุปทานในตอนต้น

วัดทุกอย่าง

ติดตาม KPI ก่อนและหลังการนำไปใช้ สร้างแดชบอร์ดที่พูดได้ทั้งในด้านความมั่นคงและธุรกิจ ตัวเลขทำให้หรือทำลายการระดมทุนสำหรับ AI

เลือกพันธมิตรที่มีหลักฐานการทำงานที่ประสบความสำเร็จ

มองข้ามการนำเสนอผลิตภัณฑ์ ต้องการอ้างอิง ขอถามเกี่ยวกับการสนับสนุนหลังการขาย ความซับซ้อนในการใช้งาน และผลลัพธ์ในสภาพแวดล้อมที่คล้ายกัน

อะไรต่อไป? กรณีการใช้งานที่น่าสนใจ

เรายังคงอยู่ในช่วงต้นของการเดินทาง AI ในด้านความมั่นคง CISO ที่มีวิสัยทัศน์กำลังสำรวจ:

• การควบคุมไฟร์วอลล์ GRC และการปฏิบัติตามกฎระเบียบโดยอัตโนมัติด้วย AI
• ใช้ข้อมูลภัยคุกคามที่ได้รับการปรับปรุงด้วย AI เพื่อเร่งการรับมือภัยคุกคามและความแม่นยำ
• การจำลองการโจมตีและทดสอบการโจมตีด้วย AI
• โครงสร้างพื้นฐานหลายผู้ให้บริการที่สามารถฟื้นตัวได้ด้วยตนเอง
• การควบคุมสิทธิ์การเข้าถึงตามความเสี่ยงที่ขับเคลื่อนด้วย AI ตามพฤติกรรม

กรณีการใช้งานเหล่านี้กำลังย้ายจากห้องปฏิบัติการนวัตกรรมเข้าสู่การผลิต องค์กรที่สร้างความแข็งแกร่งในขณะนี้จะเตรียมพร้อมที่จะใช้ประโยชน์จาก AI ได้ดีกว่า

ความคิดสุดท้าย: การชะลอไม่ใช่การป้องกัน

AI มาถึงแล้ว และภัยคุกคามที่มี AI ก็มาถึงเช่นกัน การที่คุณรอช้าเพิ่มขึ้นจะทำให้คุณเสียเปรียบมากขึ้น แต่นี่ไม่ได้หมายความว่าคุณควรรีบเข้าไปโดยไม่ต้องมีการวางแผน

ด้วยการวางแผนอย่างรอบคอบ การกำกับดูแลที่โปร่งใส และพันธมิตรที่เหมาะสม องค์กรของคุณสามารถนำ AI มาใช้อย่างปลอดภัย โดยเพิ่มความสามารถโดยไม่ต้องสูญเสียการควบคุม

อนาคตของความมั่นคงคือการเสริมด้วย AI คำถามเดียวคือว่าคุณจะนำหรือตามหลัง