ווי אַ נייַע קאָוד פון פּראַקטיסיז קען העלפֿן רעדוצירן אַי ריזיקירן
אינהאַלט פון אינהאַלט:
די בריטיש רעגירונג בעט גרויס אויף אַי. געגעבן די שטאַט פון ציבור פיינאַנסיז און אַ פּראַלאָנגד לאַנדיש פּראָודאַקטיוויטי סאַמפּ, אין פילע וועגן, עס האט צו. אַן אַמביציעס אַי אַפּערטונאַטיז אַקשאַן פּלאַן מודיע אין יאנואר האט פיל צו רעקאָמענדירן. אָבער, ווו עס איז געלעגנהייט, עס איז אויך ריזיקירן.
דאָס איז וואָס עס איז כאַרטאַנינג צו זען די רעגירונג אויך נעמען באַטאָנען סטעפּס צו פֿאַרבעסערן די זיכערהייט פון די אַי יקאָוסיסטאַם. מודיע בלויז פערצן נאַכט נאָך דעם קאַמף פּלאַן, אַ נייַע "וועלט-ערשטער" פּראַקטיסיז קאָד וועט העלפן פירן דעוועלאָפּערס, סיסטעם אָפּערייטערז און אנדערע סטייקכאָולדערז אין בויען, דיפּלויינג, מיינטיינינג און מאָניטאָרינג זייער אַי סיסטעמען אין לויט מיט זיכערהייט בעסטער פּראַקטיסיז. עס איז געהאפט אַז דער קאָד וועט יווענטשאַוואַלי פאָרעם די יקער פון אַ נייַע אינטערנאַציאָנאַלע ETSI נאָרמאַל.
פארוואס מיר דאַרפֿן עס
כאָטש די טעכנאָלאָגיע איז פּראַגרעסינג ראַפּאַדלי, מיר שוין וויסן עטלעכע פון די שליסל טרעץ אַז אַי פּאָוזאַז צו געשעפטן אויב נישט סיקיורלי דיזיינד. זיי אַרייַננעמען:
- פּינטלעך ינדזשעקשאַן אַטאַקס וואָס לאָזן בייזע אַקטערז צו בייפּאַס די געבויט-אין זיכערקייַט גאַרדריילז אין סדר צו זידלען גרויס שפּראַך מאָדעלס (LLMs) פֿאַר נעפעריש ענדס. דער פינצטער וועב איז ריפּאָרטאַדלי שוין אַוואַדע מיט "דזשאַילברעאַק-ווי-אַ-דינסט" אָפרינגז וואָס געבן פּונקט דעם.
- וואַלנעראַביליטיז און מיסקאַנפיגיעריישאַנז אין אַי סיסטעם קאַמפּאָונאַנץ, וואָס קען זיין עקספּלויטאַד / גענוצט צו גאַנווענען אָדער "סם" שפּירעוודיק טריינינג דאַטן אָדער מאָדעלס. אַזאַ זיכערהייט האָלעס שוין אנטדעקט געווארן אַריבער די צושטעלן קייט, אַרייַנגערעכנט אין וועקטאָר דאַטאַבייסיז, אָפֿן מקור קאַמפּאָונאַנץ און LLM-האָסטינג פּלאַטפאָרמס.
- אָפּלייקענונג פון דינסט, אויב אַ אַטאַקער פידז אַ אַניוזשואַלי גרויס אַרייַנשרייַב אין אַ LLM
- סענסיטיוו דאַטן אַנטפּלעקונג (למשל קונה דאַטן) דורך די ענטפער צו אַ באַניצער ס פּינטלעך, צי אַנינטענשאַנאַל אָדער בייזע
דער אמת איז אַז מאָדערן אַי סיסטעמען יקספּאַנד אַן שוין ברייט פֿירמע סייבער-אַטאַק ייבערפלאַך, אַרייַנגערעכנט אַפּיס, LLM מאָדעלס, אָפֿן מקור קאָד, טריינינג דאַטאַסעץ, פראָנט-ענד ינטערפייסיז און וואָלקן ינפראַסטראַקטשער. די ריזיקירן פון מאַלפעאַסאַנס וואקסט ווי זיי ווערן עמבעדיד אין מער געשעפט פּראַסעסאַז און אַפּלאַקיישאַנז. די OWASP Top 10 פֿאַר LLM אַפּפּליקאַטיאָנס איז אַ גרויס אָנהייב. אָבער דאָס איז נישט אַ יגזאָסטיוו רשימה פון אַי-פֿאַרבונדענע זיכערהייט ריסקס.
פֿאַר וועמען עס איז
דער קאָד פון פיר זיך אַפּלייז צו אַ נומער פון שליסל סטייקכאָולדערז. די אַרייַננעמען:
- ווייכווארג ווענדאָרס וואָס פאָרשלאָגן אַי באַדינונגס צו קאַסטאַמערז
- ווייכווארג ווענדאָרס וואָס נוצן אַי ינעווייניק, צי עס איז באשאפן אין-הויז אָדער דורך אַ דריט פּאַרטיי
- רעגולער אָרגאַנאַזיישאַנז וואָס שאַפֿן אַי סיסטעמען פֿאַר אין-הויז נוצן
- רעגולער אָרגאַנאַזיישאַנז וואָס נוצן בלויז דריט-פּאַרטיי אַי קאַמפּאָונאַנץ פֿאַר אין-הויז נוצן
בלויז "AI ווענדאָרס" וואָס פאַרקויפן מאָדעלס אָדער קאַמפּאָונאַנץ אָבער טאָן ניט אַקשלי אַנטוויקלען אָדער צעוויקלען זיי זענען מסתּמא אַרויס די "פאַרנעם" פון דעם קאָד.
וואָס איז אין די קאָד
די פּראַקטיסיז קאָוד איז צעטיילט אין 13 "פּרינציפּן" קאַווערינג יעדער בינע פון די אַי לייפסיקלע, אַריבער פּלאַן, אַנטוויקלונג, דיפּלוימאַנט, וישאַלט און סוף פון לעבן. זיי זענען:
- כאַפּן וויסיקייַט פון אַי זיכערהייט טרעץ און ריסקס דורך טריינינג סייבערסעקוריטי שטעקן און אַ ברייט אָנגעשטעלטער באַזע.
- פּלאַן אַי סיסטעמען פֿאַר זיכערהייט, פאַנגקשאַנאַליטי און פאָרשטעלונג באזירט אויף גרונטיק פּלאַנירונג און ריזיקירן אַסעסמאַנץ.
- אָפּשאַצן / מאָדעל טרעץ און פירן ריסקס שייַכות צו די נוצן פון אַי דורך זיכערהייט קאָנטראָלס און קעסיידערדיק מאָניטאָרינג.
- געבן מענטש פֿאַראַנטוואָרטלעכקייט און פאַרזע פֿאַר אַי סיסטעמען.
- ידענטיפיצירן, שפּור און באַשיצן אַסעץ דורך אַ פולשטענדיק ינוואַנטאָרי און טראַקינג מכשירים וואָס אַקאַונץ פֿאַר ינטערדעפּענדענסעס און קאַנעקטיוויטי.
- זיכער ינפראַסטראַקטשער אַזאַ ווי אַפּיס, מאָדעלס, דאַטן און טריינינג און פּראַסעסינג פּייפּליינז. דאָס זאָל אַרייַננעמען אַ וואַלנעראַביליטי אַנטפּלעקונג פּאָליטיק און אינצידענט פאַרוואַלטונג / סיסטעם אָפּזוך פּלאַנז.
- באַוואָרענען די ווייכווארג צושטעלן קייט דורך ריזיקירן אַסעסמאַנץ, מיטאַגייטינג קאָנטראָלס און דאַקיומענטיישאַן.
- דאָקומענט דאַטן, מאָדעלס און פּראַמפּס מיט אַ קלאָר קאָנטראָלירן שטעג פון סיסטעם פּלאַן און וישאַלט פּלאַנז נאָך דיפּלוימאַנט. דאַקיומענטיישאַן וועט זיין דארף צו פאַרווייכערן די זארגן וועגן דאַטן פאַרסאַמונג ווען עפנטלעך טריינינג דאַטן זענען געניצט.
- אָנפירן צונעמען טעסטינג און אפשאצונג קאַווערינג אַלע מאָדעלס, אַפּלאַקיישאַנז און סיסטעמען איידער דיפּלוימאַנט דורך פרייַ טעסטערס.
- צעוויקלען סיקיורלי דורך טעלינג סוף ניצערס ווי זייער דאַטן וועט זיין געוויינט, אַקסעסט און סטאָרד. סטייקכאָולדערז זאָל אויך צושטעלן זיכערהייט-באַטייַטיק דערהייַנטיקונגען, גיידאַנס אויף פאַרוואַלטונג און קאַנפיגיעריישאַן, און הילף צו אַנטהאַלטן און פאַרמינערן די פּראַל פון קיין אינצידענט.
- האַלטן רעגולער זיכערהייט דערהייַנטיקונגען, פּאַטשאַז און מיטיגיישאַנז.
- מאָניטאָר סיסטעם נאַטור דורך לאָגינג סיסטעם און באַניצער אַקשאַנז און דיטעקטינג אַנאַמאַליז, זיכערהייט בריטשיז אָדער אומגעריכט נאַטור איבער צייט.
- פאַרזיכערן געהעריק דאַטן און מאָדעל באַזייַטיקונג ווען דיקאַמישאַנינג אָדער טראַנספערינג אָונערשיפּ פון אַ מאָדעל אָדער טריינינג דאַטן.
שטעלן די בילדינג בלאַקס אין פּלאַץ
די גוטע נייַעס איז אַז בעסטער-פיר סייבערסעקוריטי סטאַנדאַרדס קענען העלפֿן אָרגאַנאַזיישאַנז נאָכקומען מיט די קאָד. ISO 27001 איז ציטירט אין דעם דאָקומענט זיך, אָבער David Cockcroft, אינפֿאָרמאַציע זיכערהייט סעקטאָר פאַרוואַלטער ביי ISOQAR, קליימז אַז ISO 42001 איז דער בעסטער פּאַסיק. דער לעפיערעך נייַע סטאַנדאַרט איז דיזיינד צו העלפֿן אָרגאַנאַזיישאַנז פאַרלייגן, ינסטרומענט, טייַנען און קעסיידער פֿאַרבעסערן אַ אַרטיפיסיאַל ינטעלליגענסע מאַנאַגעמענט סיסטעם (AIMS).
"די פונדאַמענטאַל פֿאַרבינדונגען צו ISO 42001 זענען קענטיק פון די אָנהייב. די וילעם און סטייקכאָולדערז אין די קאָוד פון פיר זענען גלייַך לינגקט צו די אָרגאַנאַזיישאַנאַל קאָנטעקסט און די ראָלע פון דער אָרגאַניזאַציע אין די אַי לייפסיקלע געפֿונען אין דער נאָרמאַל, "ער דערציילט ISMS.online.
"אַלע פּרינסאַפּאַלז אין די קאָוד פון פיר קענען זיין מאַפּט צו די קלאָזיז און קאָנטראָלס אין די 42001 נאָרמאַל."
Andreas Vermeulen, הויפּט פון אַי אין Avantra, שטימען.
"דורך ינטאַגרייטינג ISO 42001 מיט קראַנט זיכערהייט סטאַנדאַרדס, אָרגאַנאַזיישאַנז קענען פֿאַרבעסערן העסקעם מיט די קאָד, ינשורינג אַז אַי-ספּעציפיש זיכערהייט און אַפּעריישאַנאַל ריסקס זענען אַדאַקוואַטלי אַדרעסד, און אַזוי פֿאַרבעסערן די קוילעלדיק זיכערהייט האַלטנ זיך פון אַי," ער דערציילט ISMS.online.
"די וק איז אַ שטאַרק ביישפּיל דורך גרינדן פולשטענדיק גיידליינז וואָס ענשור די זיכער און זיכער דיפּלוימאַנט פון אַי טעקנאַלאַדזשיז. די השתדלות שטעלן עס ווי אַ פירער אין דער פאַראַנטוואָרטלעך אַנטוויקלונג פון אַי סיסטעמען.
ביי ISMS.online, מיר האָבן פריער געפרעגט צי די רעגירונג ס אַמביציעס אַי פּלאַנז קען אויך אַרייַנשפּריצן סייבער-ריזיקירן אין די ינפראַסטראַקטשער און אַפּלאַקיישאַנז וואָס זענען נויטיק צו מאַכט זיין פיל-טאַוטיד "יאָרצענדלינג פון נאציאנאלע רינואַל". אַזוי עס איז גוט צו זען עטלעכע נוציק גיידאַנס ארויס צוזאמען אָפט ווייג הבטחות פון טעק-געפירט וווּקס.
"די נייַע קאָוד פון פיר, וואָס מיר האָבן געשאפן אין מיטאַרבעט מיט גלאבאלע פּאַרטנערס, וועט ניט בלויז העלפֿן פֿאַרבעסערן די ריזיליאַנס פון אַי סיסטעמען קעגן בייזע אנפאלן, אָבער אויך שטיצן אַן סוויווע אין וואָס די וק אַי כידעש קענען טרייוו," זאגט NCSC טעכניש דירעקטאָר, Ollie Whitehouse.
ווי דער קאָד מאַטיורז און יוואַלווז אין אַן אינטערנאַציאָנאַלע סטאַנדאַרט, עס קען ווערן די דע פאַקטאָ באַסעלינע פֿאַר אַי זיכערהייט פֿאַר עטלעכע מאָל צו קומען.
