"Запретить ИИ не получится": эксперт рассказал, как компаниям защититься от утечки данных

Что произошло 

Компании не смогут полностью запретить сотрудникам использовать искусственный интеллект, поэтому вместо ограничений им стоит создавать безопасные условия для работы с нейросетями. При этом главной уязвимостью в системе кибербезопасности остаются сами люди. Об этом на форуме IGF в Алматы рассказал эксперт в области кибербезопасности, IT-технологий и коммуникаций Евгений Питолин. 

Почему запрет на использование ИИ не решит проблему 

По словам Питолина, подход к защите корпоративных данных меняется. Эксперт считает, что полностью запретить сотрудникам пользоваться искусственным интеллектом не получится, поэтому компаниям стоит сосредоточиться на его безопасном использовании. 

"Раньше это была задача только директоров по кибербезопасности, сейчас, по сути, это задача каждого из нас, особенно если мы работодатели, – не пытаться каким-то магическим рубильником что-то сломать, остановить, запретить. Хотя и это возможно, но недолго", – отметил Питолин.  

Вместо этого организациям необходимо выстраивать рабочую среду, в которой сотрудники смогут пользоваться современными инструментами, не нарушая корпоративные правила и требования законодательства. 

Что должны сделать работодатели для защиты данных 

Питолин выделил три основных направления, на которых компаниям следует сосредоточиться. Прежде всего работодатель должен предоставить сотрудникам безопасную корпоративную языковую модель. Она может быть как казахстанской, так и зарубежной. Главное, чтобы организация понимала, какие данные обрабатывает сервис, на каких условиях он работает и какие обязательства существуют между компанией и его поставщиком.  

Второй важный момент – обучение сотрудников правилам безопасного использования искусственного интеллекта. Эксперт обратил внимание на риски, возникающие при загрузке корпоративных документов в зарубежные сервисы. Например, если сотрудник отправляет нейросети файл с персональными данными, чтобы преобразовать его в таблицу Excel, информация уже передаётся на обработку сторонней системе. В зависимости от того, где и как обрабатываются такие сведения, это может создавать риски нарушения законодательства Казахстана о персональных данных. 

Третье направление – использование технических инструментов, которые позволяют контролировать обращение с информацией и снижать вероятность её несанкционированной передачи. По мнению Питолина, работодателям необходимо не просто вводить ограничения, а объяснять сотрудникам, как пользоваться цифровыми сервисами без риска для себя и организации. 

"Вот это, наверное, такой даже не роскошный максимум, а базовый минимум тех вещей, которые надо делать, чтобы не предотвращать, а помогать сотрудникам не нарушать правила, а компании, соответственно, не нарушать законодательство", – сказал он. 

Почему сотрудники не любят системы защиты от утечек 

Отдельно эксперт остановился на системах DLP (Data Loss Prevention), предназначенных для предотвращения утечек корпоративной информации. Такие решения позволяют компаниям контролировать работу с документами и данными, выявлять потенциально опасные действия и предотвращать несанкционированную передачу информации. Однако сотрудники нередко воспринимают DLP как инструмент слежки за ними. 

"Более того, даже сами внедренцы, технические специалисты и ИБ-шники часто всем своим нутром против этой системы. Хотя в ней нет ничего такого. По сути, это инструмент, который контролирует, насколько безопасно мы соблюдаем корпоративные правила и требования информационной безопасности при работе с документами и данными", – отметил Питолин. 

Питолин считает, что одна из причин такого отношения – сложившиеся стереотипы. При этом сами поставщики решений по защите информации недостаточно объясняют, зачем компаниям нужны такие инструменты. 

Кто наиболее уязвим перед кибератаками 

По мнению Питолина, главным слабым звеном в системе кибербезопасности остаётся человек. Причём это касается и государственных учреждений, и банков, и частных компаний. 

"Вы знаете, уязвимые – те, кто существует во всех этих организациях, видах, сущностях. Я бы сказал, это простые люди, которые есть в каждом из госорганов, банков и прочих организаций", – пояснил Питолин. 

Поэтому даже наличие современных технических средств защиты не исключает рисков, если сотрудники не знают, как безопасно обращаться с информацией. 

Чем больше персональных данных, тем строже требования к их защите