Rethinking AI Resilience: ‘Set It and Forget It’ Modelini Bırakmanın Zamanı Neden Geldi

Son Gallup anketi, çalışan yetişkinlerin yarıdan fazlasının teknolojiyi yılda en az birkaç kez kullandığını göstererek AI benimsenmesindeki artış trendine işaret ediyor. Bu veriler, kurumsal ortamlarda gerçekleşen hızlı AI benimsenmesinin sadece bir göstergesi. Birçok kurumsal lider AI’nın yatırım getirisini sorgulamaya başladı, ancak bu durum organizasyonların manuel görevleri kolaylaştırmak ve üretkenliği en üst düzeye çıkarmak için teknolojiye yönelmesini engellemedi.

Bu benimseme devam ederken, organizasyonlar otomatik iş akışlarında ortaya çıkan zararlı hataları görmezden gelme eğiliminde olabilirler. AI’yı, sadece teknolojiyi kurup çalıştıran ve varlığını “unutan” bir anahtar teslim çözüm olarak görürler. Bazı güvenlik ekipleri bu düşünceye karşı koyarak, güvenli ve emniyetli AI kullanımını teşvik eden otomasyon oyun kitapları oluşturur. Ancak, en iyi IT ve güvenlik ekipleri bile bu oyun kitaplarında ayarlama için çok az alan bırakır. Bu nedenle, işletmeler AI ile güvenli bir şekilde evrimleşemez, teknoloji kendisi de aynı şekilde evrimleşir.

İşletmeler kritik iş akışlarında yapay zekâya daha fazla yetki verdikçe, operasyonel çeviklik günümüz kuruluşları için yeni zorunluluk olmalıdır. Bunun yaygın bir uygulamaya dönüşmesi için kurumsal güvenlik liderleri “kur ve unut” anlayışını bırakmalı ve dayanıklılığı temel alan sistemler tasarlamalıdır.

Otomasyon Paradoksunu Anlamak

AI destekli otomasyon, çok sayıda kurumsal fonksiyonda büyük verimlilik artışları sağlıyor. Bir örnek olarak siber güvenliği ele alalım. AI araçları, analistlerin aşırı yüklü ve bunalmış güvenlik operasyon merkezlerinde zaman bulamadıkları ek adımları atabilmelerini sağlıyor. Bu, uyarı önceliklendirme, olay inceleme, tehdit tespiti, çapraz referans doğrulama ve ikinci bir görüş alma gibi görevleri içerir. Bazı C‑suite liderlerinin aksine, CISOs genellikle AI’nın gelecekte sağlayacağı değere karşı iyimser. “The CISO Report: From Risk to Resilience in the AI Era” verilerine göre, CISOs’un %83’ü otomasyonun beklentileri aşma ihtimali en yüksek yatırım olduğunu düşünüyor.

Bu faydalar karşısında bir paradoks hâlâ var. Aynı rapor, CISOs’un AI konusunda taşıdığı şüpheciliği, otonom hataların sonuçlarından korktuklarını vurguluyor. CISOs’un %83’ü, kaçırılan uyarılar ya da yanlış pozitifler gibi halüsinasyonların etkilerini, ajan AI hakkında en büyük endişeleri olarak sıralıyor. Bu halüsinasyon endişelerini destekleyecek yeterli kanıt mevcut. Büyük bir ticari havayolu, müşteri hizmetleri sohbet botunun yas tutma ücreti iade politikasını “halüsinasyon” yapması sonrası hukuki sorumlulukla karşı karşıya kaldı ve tazminat ödemeye mahkum edildi. Bir tehdit istihbarat firması ise bir startup’ı yabancı bir güçten gelen hackerlarla bağladığı iddia edilen raporu yayınladığı için yasal sorunlarla karşılaşıyor. AI bir hatayı yaptığında, sonuçlar sadece iç sistemleri değil, sermaye ve itibarı da etkileyebilir.

Eski Oyun Kitaplarıyla Gelen Sorun

AI odaklı güvenlik oyun kitapları, başarılı ve güvenli AI benimsenmesi için bir temel oluşturur. Ancak bu oyun kitapları hiç değişmediğinde sorunlar ortaya çıkar. Tehditler, BT altyapısı ve iş ortamları sürekli evrim geçirir. AI, tehdit aktörlerinin saldırılarını ölçeklendirmesine olanak tanırken, genişleyen ve giderek karmaşıklaşan BT ortamları tespiti zorlaştırır. Aynı zamanda, işletmeler AI’ya daha fazla sorumluluk verdiğinde, hataların sonuçları daha da önemli hâle gelir.

Bu unsurların tümü gelişmeye devam ediyorsa otomasyon mantığı da onlarla birlikte gelişmelidir. Değişmeyen otomasyon çalışma kitapları bunu engeller ve güvenlik ekiplerini güncel sorunlarla eski mantık kullanarak karşı karşıya bırakır. Hatta bazı durumlarda sonuç, güvenlik ekibinin hiç çalışma kitabı olmamasından daha kötü olabilir.

Çalışma kitaplarının güncel yapay zekâ uygulamalarına uygun, yaşayan yapılara dönüşmesi ve kurum içi dayanıklılığı güçlendirmesi için şu özelliklere sahip olmaları gerekir:

• Yeni tehdit istihbaratına karşı sürekli test edilmeli
• Gerçek olaylar gerçekleştiğinde güncellenmeli
• Etkili ya da değer sağlamaz hâle geldiğinde emekli edilmeli

This mindset aligns şu kurumun rehberliğiyle Yapay zekâ sistemlerinin sürekli izlenmesini ve insanların sürekli müdahalesini teşvik eden Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ile diğer küresel siber güvenlik kurumlarının rehberliğiyle.

Dayanıklılık Formülünü Uygulamak

Yapay zekâ çağı, işletmelerin yapay zekâyı tek noktalı bir çözüm olarak gören ya da mevcut kullanım alanlarına yalnızca otomasyon ekleyen anlayışı geride bırakmasını gerektiriyor. Kuruluşlar bunun yerine, hem BT çalışanlarının hem de sistemlerin yapay zekânın doğru yaptığı işleri geliştirmesine ve teknoloji hata yaptığında verimli biçimde karşılık vermesine olanak tanıyan bir dayanıklılık kültürü oluşturmalıdır.

Üç bölümlü pratik bir formül, bu dayanıklılığın otomatik eylemlere yerleştirilmesine yardımcı olabilir.

• Güven: Her otomatik iş akışı için ekipler kendilerine şu soruyu sormalıdır: Otomatik yanıtı başlatan tetikleyiciye ne kadar güveniyoruz?
• Geri Döndürülebilirlik: Eylem geri döndürülebilir mi? Eğer öyleyse, bunu ne kadar hızlı ve güvenli bir şekilde yapabiliriz?
• Patlama Yarıçapı: Bir hata yayılırsa sonuçlar ne kadar geniş kapsamlı olur ve etkilenen varlık iş açısından ne kadar kritik?

Doğru gözlemlenebilirlik ve izleme araçları bu soruları yanıtlamak için hayati önemdedir. Ekipler, otomatik bir yanıtın BT ortamının neresinde gerçekleşebileceğini, hangi diğer varlıkları etkilediğini ve işle ilgili sonuçlarını bütünüyle anlayabilmek için birleşik bir gözlemlenebilirlik ve veri yönetimi platformundan yararlanmalıdır. Bu çalışmanın düzenli yapılması, güvenlik ekiplerinin yapay zekâ çalışma kitaplarını güncel tutmasını sağlar. Ayrıca BT ekipleri, uygunsuz otomatik eylemlerin yaygın ve maliyetli etkilerini önlemek için nereye ve nasıl müdahale edeceğini bileceğinden, insanın süreçte kaldığı uygulamaların doğru şekilde yürütülmesine yardımcı olur.

Kur ve Unut Artık Yok

Modern CISO ve IT liderlerinin, AI davranışıyla ilgili sorumluluğun kendilerinde sona erdiğini fark etmeleri önemlidir. AI ne kadar çok kritik kurumsal çalışmaya dokunursa, baş güvenlik sorumlularının üzerindeki yük o kadar artar. Hatırlanması gereken iyi bir kural şudur: “Otomasyon, düğmeye kim basacağını değiştirir. Düğmeye basılmasından kim sorumlu olduğunu değiştirmez.”

Bugünün CISO’sunun üzerindeki risk ve sorumluluk, “kur ve unut” oyun kitaplarını sürdürmek için çok yüksektir. Bunun yerine, dayanıklılık hem bir uygulama hem de bir kültür olmalı; bu kültür işletmeye nüfuz etmeli ve AI bir hata yaptığında geri toparlanmasını sağlamalıdır. Ekipler sürekli izleme, geri döndürülebilirlik, sınırlama ve insan sahipliğini otomasyon oyun kitabına eklediğinde, işletmeler otomatik bir kararın tüm işletmeyi etkileyen bir soruna dönüşmesini önleyebilir.