העובד החדש לא צריך תג כניסה – רק הרשאות גישה

מאת: דין ברזילי , מנהל פריסייל (Pre Sales Engineer), דאנת תקשורת (Danet Communications) בכתבה הקודמת פגשנו חמישה עובדים, חמש קריאות שירות ואינספור מערכות אבטחה. כעת מצטרפים לארגון עובדים מסוג חדש: סוכני AI שלא מגיעים למשרד, אבל מסוגלים לגשת למידע רגיש, לתקשר עם מערכות ולבצע פעולות באופן עצמאי. האם מערך האבטחה הארגוני מוכן להתמודד גם איתם? זוכרים את אותו איש אבטחת מידע שהצטרף לארגון אנטרפרייז גדול בכתבה הקודמת? אחרי אינספור קריאות שירות, תחקור אירועים ומעבר בין מערכות אבטחה שונות, נדמה שסוף-סוף מתחיל להיווצר קצת סדר. ואז מגיעה הודעה מהמנכ"ל: "החלטנו להכניס כלי AI לארגון. אני רוצה שכל המחלקות יתחילו להשתמש ב-ChatGPT, בקלוד (Claude) ובכלים נוספים כדי לשפר את הפרודוקטיביות. בואו נתקדם עם זה". מבחינת המנכ"ל, מדובר במהלך עסקי מתבקש. מבחינת צוות אבטחת המידע, מדובר בשורה חדשה של אתגרים. אותם עובדים, סיכונים חדשים. זוכרים את אורית ממחלקת הכספים, שניסתה להעביר לספק קובץ Excel המכיל מידע רגיש? כעת היא משתמשת ב-ChatGPT כדי לנתח דו"חות פיננסיים. לינה ממשאבי האנוש, שרק רצתה לגשת לפלטפורמת גיוס חדשה, החלה להשתמש בכלי AI כדי לסכם קורות חיים. ו דור מצוות ה-IT? הוא כבר גילה שקלוד יכול לסייע לו לנתח קוד מקור ולפתור תקלות. לכאורה, מדובר בפעולות עסקיות לגיטימיות לחלוטין. אלא שכעת מתעוררות שאלות חדשות: איזה מידע העובדים משתפים עם המודלים? האם הכלים הללו אושרו לשימוש? והאם צוות אבטחת המידע בכלל יודע שהם נמצאים בשימוש? התופעה הזאת, המכונה Shadow AI, מתרחשת כאשר עובדים מאמצים כלי בינה מלאכותית ללא אישור או פיקוח ארגוני מספק. הפתרון אינו בהכרח לחסום את כולם. חסימה גורפת עלולה לפגוע בפרודוקטיביות ולעודד שימוש בכלים חלופיים, מחוץ לשליטת הארגון. האתגר הוא לאפשר חדשנות, מבלי לאבד שליטה על המידע. Netskope One: לדעת מה קורה, ולהחליט מה מותר כאן נכנסת לתמונה פלטפורמת נטסקופ וואן (Netskope One), המשלבת יכולות אבטחה קיימות עם בקרות ייעודיות לשימוש בבינה מלאכותית. יכולות CASB (ר"ת Cloud Access Security Broker) מסייעות לזהות שירותי AI הנמצאים בשימוש, להעריך את הסיכונים הנלווים אליהם ולהפעיל בקרות בהתאם לשירות ולפעולה. לצידן, יכולות DLP (ר"ת Data Loss Prevention) מאפשרות לזהות מידע רגיש ולמנוע העברתו בניגוד למדיניות הארגונית. כך, למשל, ניתן לאפשר לאורית להשתמש בכלי AI מאושר, אך להגביל העלאת מידע פיננסי רגיש אליו. באופן דומה, ניתן להחיל בקרות על שיתוף פרטים אישיים או קוד מקור. יכולות Netskope One AI Command Center מספקות תמונה מרוכזת של השימוש ב-AI והסיכונים הנלווים אליו, ומסייעות לצוותי האבטחה לתעדף טיפול בסיכונים ולהגדיר מדיניות מתאימה. אבל כאן הסיפור רק מתחיל. ומה קורה כשהעובדים כבר לא מבצעים את הפעולות בעצמם? דמיינו שאורית כבר לא צריכה להעלות דו"חות באופן ידני. במקום זאת, היא מפעילה סוכן AI, שמתחבר למערכת הפיננסית, שולף נתונים ומפיק עבורה ניתוחים. לינה מפעילה סוכן שמתחבר למערכת הגיוס, מעבד קורות חיים ומעדכן נתוני מועמדים. ודור? הוא משתמש ב-AI Coding Agent שמקבל גישה למאגרי קוד, מנתח קבצים ומתקשר עם שירותים חיצוניים. הפעולות עדיין נועדו לשרת צרכים עסקיים לגיטימיים. ההבדל הוא שכעת הן יכולות להתבצע באופן אוטומטי, ולעיתים ללא התערבות אנושית בכל שלב. וכאן עולה שאלה חדשה: כיצד מאבטחים פעולה שלא מבוצעת ישירות על ידי עובד, אלא על ידי סוכן AI הפועל בשמו? בעולם הזה, תעבורת AI אינה מוגבלת עוד לדפדפן. היא יכולה לעבור באמצעות APIs, יישומים ארגוניים וסוכנים אוטונומיים. יכולות Netskope One AI Gateway מאפשרות להחיל בקרות על אינטראקציות בין יישומים, סוכנים ומודלי AI, בהתאם לאופן שבו התעבורה מנותבת דרך הפתרון. יכולות AI Guardrails מסייעות לזהות ולצמצם סיכונים כגון Prompt Injection, חשיפת מידע רגיש ואינטראקציות המפרות מדיניות אבטחה. כך ניתן להרחיב את תפישת האבטחה מעבר לשאלה מי משתמש בכלי AI, גם לשאלות איזה מידע עובר למודל, אילו בקשות נשלחות אליו ואילו סיכונים נוצרים במהלך האינטראקציה. חדשנות ואבטחת מידע אינן חייבות לבוא אחת על חשבון השנייה בכתבה הקודמת עסקנו במורכבות שנוצרת כאשר ארגון נדרש לנהל מערכות אבטחה רבות. כעת, אותה סביבת עבודה נדרשת להתמודד גם עם עובדים המשתמשים ב-AI ועם סוכנים הפועלים בשמם. בדאנת תקשורת אנו מלווים ארגונים בתהליך הזה, החל ממיפוי השימוש ב-AI והסיכונים הקיימים, דרך תכנון ארכיטקטורה והטמעת בקרות, ועד לאופטימיזציה מתמשכת. המטרה אינה לעצור את החדשנות, אלא לאפשר אותה, תוך שמירה על המידע הארגוני. ובחזרה למנכ"ל מתחילת הסיפור: התשובה לבקשה שלו לא חייבת להיות "לא". היא יכולה להיות "כן, אבל בצורה מאובטחת, מבוקרת ומנוהלת. הפוסט העובד החדש לא צריך תג כניסה – רק הרשאות גישה הופיע ראשון ב אנשים ומחשבים - פורטל חדשות היי-טק, מיחשוב, טלקום, טכנולוגיות