Con đường nhanh nhất để triển khai AI trong doanh nghiệp chính là bảo mật

Trong bối cảnh trí tuệ nhân tạo (AI) đang thâm nhập sâu vào môi trường làm việc, các nhà lãnh đạo an ninh mạng (CISO) đang đứng trước một lựa chọn chiến lược: trở thành rào cản hay trở thành đối tác chiến lược. Theo báo cáo của McKinsey, tỷ lệ nhân viên sử dụng AI tại nơi làm việc đã tăng vọt lên 76%, trong đó phần lớn các công cụ này chưa từng trải qua quy trình kiểm duyệt an ninh.

Vòng lặp của Shadow AI

Phản ứng truyền thống của nhiều đội ngũ bảo mật là cấm đoán. Tuy nhiên, khi một ứng dụng bị chặn, nhân viên thường tìm cách vượt rào (workaround) chỉ trong vài phút. Khi quy trình phê duyệt chính thức kéo dài hàng tuần, trong khi giải pháp thay thế chỉ mất vài phút, nhân viên chắc chắn sẽ chọn cách làm việc không chính thống. Đây chính là nguồn gốc của tình trạng Shadow AI, nơi các công cụ không được kiểm soát âm thầm truy cập vào dữ liệu doanh nghiệp.

Quản trị dưới góc độ hỗ trợ

Các CISO thành công không tập trung vào việc kiểm soát cứng nhắc mà biến quản trị thành một chức năng hỗ trợ (enablement). Thay vì cấm đoán, họ xây dựng lộ trình rõ ràng để nhân viên tiếp cận các công cụ đã được phê duyệt. Nền tảng của chiến lược này bao gồm:

• Kiểm soát dữ liệu: Xây dựng danh mục công cụ AI đang hoạt động, xác định ai đang sử dụng và loại dữ liệu nào được phép truy cập thông qua các cuộc kiểm định OAuth và giám sát từ trình duyệt.
• Chính sách minh bạch: Một chính sách sử dụng AI hiệu quả cần liệt kê các công cụ được phép, quy định rõ loại dữ liệu nhạy cảm không được đưa vào AI, và quan trọng nhất là giải thích lý do tại sao các quy định này tồn tại.
• Tốc độ phản hồi: Thiết lập quy trình yêu cầu công cụ mới với thời gian phản hồi cam kết. Khi nhân viên có một con đường chính thống nhanh chóng, họ sẽ ít có lý do để tìm đến các giải pháp Shadow AI.

Khi bảo mật được thiết kế như một phần của trải nghiệm người dùng, nhân viên sẽ tự nguyện tuân thủ. Việc hiểu rõ rủi ro và cách thức vận hành của AI không chỉ giúp bảo vệ dữ liệu doanh nghiệp mà còn nâng cao vị thế của đội ngũ an ninh mạng trong các cuộc thảo luận chiến lược cấp cao.

Nguồn tham khảo: The Hacker News