Siber Güvenlik Derinlemesine: Güvenlik stratejisi, son trendler ve tanınması gereken kişiler hakkında özellikli yazılar.
Bazı şirketler özel ajan tabanlı yapay zekâ kapsamı oluştururken, büyük sigortacılar bunu sessizce dışlıyor; bu durum işletmelerin haberi olmadan açıkta kalmasına yol açıyor.
Stephen Lawton, Katkıda Bulunan Yazar
Bu yıl yaşanan bir dizi veri ihlalinin ardından birkaç sigorta şirketi, yapay zekânın hedefi olabilecek veya kontrolden çıkan yapay zekâ ajanlarının kaynağı olabilecek işletmeleri kapsayan yapay zekâya ilişkin proaktif poliçeler sunmaya başladı. Bu arada diğer taşıyıcılar bu yeni riskten bilinçli olarak uzak duruyor ve işletmelerin nasıl yöneteceğini kendilerinin bulmasına bırakıyor.
Kuruluşu saldıran kontrolden çıkan yapay zekâ ajanlarına karşı veya kuruluş içinde oluşturulan ve kurumsal ortamı ihlal edip üçüncü taraflara saldıranlara karşı işletmeyi sigortalatmak yaygın bir kapsam değil. Birçok işletme yanlışlıkla siber ve sorumluluk sigortası poliçelerinin yapay zekâya ilişkin riskleri kapsadığını düşünüyor.
Kurumsal sigorta poliçeleri takvim yılının sonunda yenilenmeye hazırlanırken, sigorta sorumluluğunu üstlenen CFO'lar, genel ve dış danışmanlar, CISO'lar ve diğer kurumsal yöneticiler bunları yakından incelemeli, mevcut yapay zekâ risklerini belirlemeli ve içine gömülü olabilecek dışlamaları tespit etmeli. Mevcut poliçenin kapsamadığı türde teminatların neler olduğunu öğrenmek için yapay zekâya özel poliçe sunan sigortacılarla görüşmek de iyi bir zaman. Sigortacılar, yapay zekâ ve yapay zekâ ajanlarının artan kullanımının işletmelerin yönetişimiyle aynı hızda ilerlemediği konusunda uyarıyor. Hugging Face ve diğer sunuculara yönelik yakın zamanda yaşanan Open AI saldırıları gibi kontrolden çıkan yapay zekâ olayları sigortacıların endişelerini daha da artırdı.
Geçen yıl yapay zekâya ilişkin kayıplar için özel sigorta kapsamı bebeklik dönemindeydi. Taşıyıcılar genellikle asgari kapsamı genel Hatalar ve İhmal (E&O) poliçelerine, Yönetim Kurulu ve Yöneticiler (D&O) sorumluluk sigortasına veya basitçe sorumluluk poliçesine ekliyordu, ancak bu poliçelerin çoğu yapay zekânın gerçek risklerini ele almak için yetersiz.
Bugün birkaç uzman sigorta firması yapay zekâya ilişkin olaylar için kapsam sunuyor; bu kapsam ekler, teknoloji E&O poliçelerine eklenen dil veya bağımsız poliçeler şeklinde olabiliyor. Amaç tasarlanmış poliçeler, onaylı ekler ve yapay zekâ risklerini hedefleyen özel kapsam satan sigorta şirketleri ve uzman sağlayıcılar arasında Armilla, Coalition, Corgi Insurance, Cowbell, Munich Re ve Beazley bulunuyor.
Ancak birkaç büyük taşıyıcı yapay zekâya ilişkin riskleri ve otonom makine davranışını ticari genel sorumluluk poliçelerinden kısıtlıyor veya dışlıyor, Verisk/ISO dışlama eklerini benimsiyor. Dışlamalar, üretken yapay zekânın işletmelerde yaygın hale gelmesinden önce yazılmış poliçelerdeki boşlukları ele alıyor. Sigorta sektörü ticaret yayını Insurance Business'a göre ISO eki, üretken yapay zekâdan kaynaklanan bedensel yaralanma, mal hasarı ve kişisel ve reklam zararı kapsamını kaldırıyor. Chubb, Travelers, Berkshire Hathaway, AIG ve W.R. Berkley bu eki benimseyenler arasında, yayına göre.
AI'ye Özel Sigorta İçin Nitelik Kazanma
Peki şirketler kontrolden çıkan yapay zekâ ajanlarından kaynaklanabilecek kayıplardan nasıl korunabilir? Bugün riski azaltmak ve yapay zekâya özel sigorta için nitelik kazanma yeteneğini artırmak için yapabilecekleriniz şöyle:
Mevcut siber ve kurumsal sorumluluk sigortanızı gözden geçirerek hangi yapay zekâya ilişkin kayıpların karşılandığını ve güvenlik açıklarınızın nerede kaldığını belirleyin.
Ağ altyapınızı analiz ederek gelen ve giden yapay zekâ ajanı saldırılarını ele almak için yeterli fren mekanizmalarına, belirli politikalar ve prosedürlere sahip olup olmadığınızı belirleyin.
Genel veya dış danışmanınızın üçüncü taraf sözleşmelerini gözden geçirmesini sağlayın; tedarik zincirinizin sizi potansiyel yapay zekâ tehditlerinden koruduğundan emin olun.
Tedarik zinciri ortaklarınızdan tedarik zinciri ortaklarının da korunmasını talep etmelerini isteyin; işletmelerin tedarik zincirinde birkaç seviye geriye doğru koruma ihtiyacı var.
Mühendislik ekibinizden satıcıların yapay zekâ uygulamalarını oluşturmak için kullandıkları farklı tasarım kalıplarını ve mimari ilkelerini belirlemesini isteyin. Tüm yapay zekâ geliştirme aynı şekilde güvenlik yazılımına uyumlu değil ve tepki vermiyor; uyumsuz mimari ilkelerini aynı şekilde ele almak güvenlik boşlukları bırakabilir.
Yapay zekâ uygulamalarınızın işlerini yapmak için gereken minimum sistem haklarına ve kimlik bilgilerine sahip olduğundan emin olun.
Ajan tabanlı yapay zekâyı hizmet hesapları veya uç nokta algılama ve müdahale sistemleri gibi ele alın. Bunlar "kur ve unut" değil. İzlenmeleri ve sürdürülmeleri gerekiyor.
Yapay zekâ bir şirketin karşılaşabileceği her sorun için panzehir değil. Belirli kullanım durumları ve yapılandırmaları olan bir araç. Ağınızı ilgilendiren her şey için her şeyi kapsayan bir çözüm olarak kullanırsanız tehlikeye girersiniz. Yapay zekâyı yazılı kurallarınız, beklentileriniz ve sonuçlarınız olan belirli görevler için kullanın ve ardından yapay zekâ uygulamalarının bu özel hedefleri karşıladığından emin olun.
Siber Olmayan Poliçelerde Kapsam Nasıl Görünüyor
Yapay zekâ tabanlı riskler için kapsam bazen siber sigorta kapsamının ötesine geçiyor. Yapay zekânın işletmedeki yaygınlığı nedeniyle potansiyel başarısızlıkları için teminatlar muhtemelen diğer uzmanlık alanlarında da ortaya çıkacak.
Örneğin yapay zekâ, işletmelerde insan kaynakları departmanları tarafından işe alım aracı olarak yaygın şekilde kullanılıyor, diyor Armilla'nın Londra sendikası için poliçe yazan Lloyd's kapsayıcısı Armilla'da aktüerya başkanı Andrew Correll. Halüsinasyon yapan veya sigortalanabilir bir olaya yol açan önyargı sergileyen yapay zekâ araçları için kapsam muhtemelen işletmenin sorumluluk kapsamına veya özel bir siber sigorta poliçesinden ayrı olarak kullanım durumlarına özel kapsama dahil edilebilir, diye ekliyor.
Yapay zekâ kapsamı sadece kurumsal bir bilgisayarın saldırıya uğrayıp tamamen devre dışı kalmasından daha fazlasını ele alıyor, diyor Beazley'de Yapay Zekâ ve Yeni Risk Stratejisi Lideri Craig Linton. Bazı durumlarda sistem sadece bir yapay zekâ ajanı tarafından içeri sokulan istenmeyen verilerden arındırılması gerekiyor. Bu amaçla sistemlerin çevrimdışı tutulması iş operasyonlarını kesintiye uğratabilir ancak sistemin çevrimdışı kalmasına veya başarısız olmasına zorlayan yaygın bir kötü amaçlı yazılım saldırısından farklıdır ve bu bir teminat olayıdır. Beazley saldırılara karşı savunmalar için özel poliçeler ve Linton'ın "yapay zekâ gönüllü kapatma kapsamı" dediği ekler sunuyor.
İşletmelerin yapay zekâya ilişkin kapsam için nitelik kazanabilmesi için aktüerler "kontrollerin bütününü bütünsel olarak" inceliyor, diyor Correll.
"İnsan incelemesi bunun açık bir bileşeni," diyor. "Ama aynı zamanda hangi fren mekanizmalarının ve kuralların mevcut olduğuna da bakıyoruz."
Beazley'in yapay zekâ kapsamı başvurusu yaklaşık 15 güvenlik kontrolüne odaklanan onlarca soru içeriyor, diyor Linton. Güvenlik kontrollerinin çoğu siber sigorta kapsamı için gerekli — çok faktörlü kimlik doğrulama, yedekleme ve kurtarma, eğitim ve ağ koruması — ancak taşıyıcı aynı zamanda operasyonel teknoloji güvenliği, birleşme ve satın almalar ve Ödeme Kartı Endüstrisi (PCI) güvenliği hakkında da sorular soruyor.
Genellikle genel veya dış danışman, baş finans sorumlusu ve kıdemli yöneticilerin satın aldığı yapay zekâ sigortası alan ekiplerine, çalışanların kurumsal ve kişisel cihazlarında denetimsiz yapay zekâ kullanıyor olabileceği konusunda uyarıda bulunuyor. Geçmişte şirketlerin karşılaştığı benzer gölge BT zorlukları gibi, çalışanlar işverenleri tarafından sağlanmayan ve BT ekibi tarafından güvence altına alınmayan araçları kolay ve ucuz elde edebildikleri için gölge yapay zekâya yönelecek. Yapay zekâ ile bu durum önemli riskler getirebilir, diyor.
Birkaç kaynağın belirttiği bir zorluk, üretken yapay zekâ büyük dil modellerinin (LLM) halüsinasyon yapması ve önyargı göstermesi sorununu ele almak. Corgi Insurance için halüsinasyon yapan, yanlış veya önyargılı model çıktıları için kapsam Teknoloji E&O poliçesi kapsamında olabilir / Üretken yapay zekâ teknolojileri yaygınlaşmadan önce yazılmış Genel Teknoloji E&O poliçeleri model çıktılarını nasıl ele aldıkları konusunda sessiz veya belirsiz olabilir. Şirket açık yapay zekâ çıktısı dili aramayı ve algoritmik önyargı dışlamalarını dikkatlice gözden geçirmeyi öneriyor. Yapay zekâ odaklı bir poliçe seçerken deyimsel olarak şeytan ayrıntıda gizlidir, diyor Cowbell'in kurucu ortağı ve CEO'su Jack Kudale. Poliçe metni kötü niyetli olmayan bir sistem arızasını ele alıyor mu? Yetkisiz bir ifşayı herhangi bir dış müdahale olmadan ele alıyor mu? Bu siber kapsamın içinde mi? Teknoloji hatalar ve ihmallerinde mi yoksa tamamen farklı bir riskte mi? Bu tür sorular poliçenin veya ek teminatın işletmenin sigortalamaya çalıştığı tehdidi ele alıp almayacağını veya Verisk/ISO dışlama ekleri ve üst düzey sigortacılar tarafından kullanılan benzer sınırlamalar gibi olası bir dışlamanın olup olmadığını belirleyecek. Kurumsal bir incelemede mevcut bir poliçede bir dışlama bulunursa, işletme daha sonra bu riski azaltmak için uzman kapsam satın alabilir.
Kuruluşunuzu potansiyel kontrolden çıkan yapay zekâ ajanları ve diğer yapay zekâ risklerine karşı korumak, işletmelerin üç risk alanının korunmasını proaktif olarak sağlamasını gerektirir: altyapı, veri hatları ve tedarik zinciri, diyor Kudale.
Altyapıyı korumak, yanlış yapılandırılmış sunucular, aşırı yetkilendirilmiş kimlikler veya açık genel uç noktalarınızın olmadığından emin olmayı içeriyor. Veri hatlarını güvence altına almak, depolama mimarisinin ihlallerden, tehlikelerden ve kötü karar vermeden güvence altına alınmasını sağlamayı içeriyor, diye ekliyor. Son olarak, kuruluşların tedarik zincirlerini doğrudan satıcılarının ötesinde güvence altına almaları gerekiyor. Tehditler ikincil, üçüncül veya tedarik zincirinde daha da geriden gelebilir.
"En çok endişelendiğimiz şeylerden biri bu," diyor Kudale. "Halüsinasyon ve önyargı konusunda diğerleri kadar endişelenmiyoruz. Tedarik zinciri konusunda daha çok endişeleniyoruz."
Stephen Lawton, 30 yılı aşkın süredir siber güvenlik ve iş sürekliliğini takip eden deneyimli bir gazeteci ve siber güvenlik uzmanıdır. 2023 için Küresel En İyi 25 Veri Uzmanı ve 2022 için Küresel En İyi 20 Siber Güvenlik Uzmanı seçildi. Stephen, içerik laboratuvarının editoryal direktörü olarak görev yaptığı SC Magazine/SC Media/CyberRisk Alliance'da bir on yıldan fazla zaman geçirdi. Daha önce MicroTimes ve Digital News & Review dahil olmak üzere ulusal ve bölgesel ödüllü çeşitli yayınların baş editörüydü. Stephen, medya ve teknoloji firması AFAB Consulting LLC'nin kurucusu ve kıdemli danışmanıdır. Ona [email protected] adresinden ulaşabilirsiniz.
