Hagnaður:
- Geta til að meta gervigreindarsöluaðila á vottun, geymslu, gagnavist og undirvinnsluásum
- Hæfni til að sannreyna tryggingar með skjölum og samningsákvæðum og ekki treysta á munnleg orð
- Geta til að tengja DPA og skilyrði um afþakkað/eyðingu við öryggisskoðun fyrir kaup
Flestar stofnanir þjálfa ekki eigin fyrirmyndir; notar API þjónustuveitunnar. Þetta útilokar ekki áhættuna - það færir hana bara til einhvers annars og það er á þína ábyrgð að meta áhættuna sem þú ert að flytja. Sérhver þriðji aðili sem gögnin þín fara til eru framlenging á öryggismörkum þínum. Í þessari einingu munt þú læra hvernig á að meta gervigreind birgi; Við munum læra hvernig á að framkvæma öryggisskoðun fyrir kaup í gegnum samræmisvottorð, gagnavinnslusamning (DPA), gagnageymslu, gagnaheimili og undirvinnsluaðila.
Hvers vegna áhætta þriðja aðila?
Ef um er að ræða endurskoðun eða brot, mun vörnin „við unnum ekki gögnin, veitandinn gerði það“ ekki bjarga þér. Þú ert ábyrgðaraðili gagna; Þjónustuveitan er gagnavinnslan. KVKK og GDPR gera þennan greinarmun, en mest af ábyrgðinni er áfram hjá þér. Þess vegna er val á birgi ekki ákvörðun um kaup, heldur öryggisákvörðun.
Varúð: „Stór og vel þekkt veitandi“ er ekki trygging fyrir öryggi. Trygging kemur frá undirrituðum samningsákvæðum og sannanlegum vottorðum; ekki vegna orðspors vörumerkisins.
Matsásar
Skoðaðu gervigreindarsöluaðila á sjö ásum:
- Fylgnivottorð: SOC 2 Type II (óháð úttekt á öryggiseftirliti stofnunar), ISO/IEC 27001 (stjórnunarstaðall upplýsingaöryggis) og í auknum mæli ISO/IEC 42001 (gervigreindarstjórnunarkerfisstaðall).
- Varðveisla gagna: Hversu lengi er hvetja/svar varðveitt? Er boðið upp á ZDR (núll varðveisla gagna)?
- Notkun í þjálfun: Eru gögnin þín notuð til að þjálfa líkanið? (Venjulega „nei“ á fyrirtækjastigi.)
- Aðsetur gagna: Í hvaða landi/svæði eru gögnin unnin og geymd?
- Undirvinnsluaðilar: Hvaða önnur fyrirtæki notar veitandinn (ský, eftirlit)? Þeir eru líka hluti af mörkum þínum.
- Öryggiseiginleikar: Dulkóðun (í flutningi/í hvíld), aðgangsstýring, endurskoðunarskrá, tilkynningatími viðburða.
- Samningur og útgangur: Er DPA til? Er tryggt að gögnunum þínum verði eytt ef þjónustunni lýkur? Hver er hættan á læsingu?
Skref fyrir skref: Umsögn birgja
- Sendu öryggiskönnun. Breyttu ásunum hér að ofan í spurningalista.
- Biddu um sannanir. Staðfestu fullyrðingar með skjölum (SOC 2 skýrsla, ISO vottorð, DPA drög).
- Kortleggðu gagnaflæðið. Hvaða gögn fara hvert og í hvaða ferli?
- Semja um DPA. Ekki hefja framleiðslu án þess að undirrita gagnavinnslusamning (lagatextinn sem tilgreinir hvernig veitandinn mun vinna úr gögnunum).
- Skoða undirvinnsluaðila. Íhugaðu alla keðjuna.
- Settu upp endurmatsáætlun. Áhættu birgja skal endurskoða að minnsta kosti einu sinni á ári.
Fjögur afritanleg sniðmát
Kjarni öryggiskönnunar birgja:
Atriði sem þarf að spyrja þjónustuveitandann: 1. Hvaða samræmisvottorð hefur þú? (SOC 2 Type II, ISO 27001/42001) Getur þú deilt skýrslunni?2. Hversu mikið af beiðni/svargögnum er varðveitt? Er ZDR valkostur?3. Eru gögnin okkar notuð í líkanaþjálfun? Er það skrifað í samninginn?4. Á hvaða svæði eru gögnin unnin/geymd? Getum við valið svæði?5. Hverjir eru undirvinnsluaðilar þínir? Hvernig lætur þú vita þegar það breytist?6. Hver er tilkynningarfrestur ef um brot er að ræða?7. Hvernig og hvenær er gögnum okkar eytt þegar samningnum lýkur?
Regla um sannprófun sönnunargagna:
Fyrir hverja fullyrðingu, "eru til sannanir?" athuga:- Vottunarkrafa -> hef ég séð núverandi skýrslu/skírteinisnúmer?- ZDR/geymslukrafa -> er það skrifað í samningsákvæðinu?- Notkun í þjálfun -> Er opið ákvæði í DPA? Merktu allar fullyrðingar án sönnunargagna sem „EKKI SANNAÐAR“; Samþykkja ekki munnleg orð.
Kortlagning gagnaflæðis:
Dragðu út gagnaflæðið fyrir eftirfarandi samþættingu: {{ scenario }}Tilgreindu í hverju skrefi: hvaða gögn (innihalda þau PII), hvert þau fara (hvaða fyrirtæki/svæði), í hvaða tilgangi, hversu mikið er geymt. Merktu hvert skref og undirvinnsluaðila sem fara yfir mörk fyrirtækisins.
Áhættustigakort birgja:
Skora hvern ás með einkunnina 0-2 (0=engin, 1=að hluta, 2=full): vottorð, ZDR/varðveisla, ekki nota í þjálfun, gagnavist, gagnsæi undirvinnsluaðila, tilkynning um brot, brottför/eyðing. Ef heildarfjöldi < 10 eða einhver ás er 0: "Áhætta mikil, sett í framleiðslu".
Veik kvaðning / sterk kvaðning
léleg nálgun
Sterk nálgun
Miðað við "stórt fyrirtæki, öruggt"
Staðfestu vottorð og DPA með skjali
að treysta á munnlegar tryggingar
Að tengja allar tryggingar við samningsákvæðið
Skoðaðu bara þjónustuveituna
Hugleiddu einnig undirvinnslukeðjuna
veldu einu sinni og gleymdu
Árlegt endurmatsdagatal
Þrjú Mini Cass
Mál 1 - Verkefni byrjað án DPA var hætt. Smásölufyrirtæki kom fljótt með aðstoðarmann í framleiðslu; Lögfræðiteymið uppgötvaði í kjölfarið að engin undirrituð DPA var til staðar hjá þjónustuveitunni. Verkefnið var stöðvað á meðan verið var að vinna úr gögnum viðskiptavina, samið var um DPA og opnað aftur eftir að lögheimili gagna var fest á ESB svæðinu.
Tilfelli 2 - Undirvinnslukeðja kemur á óvart. Heilbrigðisfyrirtæki hafði samþykkt aðalþjónustuna; Hins vegar kom í ljós við kortlagningu gagnaflæðis að veitandinn notaði fyrirtæki í þriðja landi við eftirlit. Þetta braut í bága við skilyrði um búsetu gagna. Fyrirtækið bætti dvöl á svæðinu við samninginn.
Tilfelli 3 - Skorkort felldi niður ódýra tilboðið. Þrjár tillögur voru metnar. Ódýrasta veitandinn fékk 0 (enginn SOC 2) á vottunarásnum. Skorkortsreglan "ef einhver ás er 0, settu hann í framleiðslu" var eytt; Valinn var 22% dýrari en fullmetinn veitandi og ákvörðunin skjalfest til endurskoðunar.
Ábending: Ekki rugla saman tveimur mismunandi ábyrgðum: „gögnin okkar eru ekki geymd (ZDR)“ og „gögnin okkar eru ekki notuð í þjálfun“ eru aðskilin ákvæði. Þjónustuaðili getur boðið eitt en ekki hitt; Biðjið um hvort tveggja skýrt í samningnum.
Algeng mistök
- Miðað við stærð/vörumerki þjónustuveitunnar sem öryggistryggingu.
- Að treysta á munnmæli án þess að sannreyna fullyrðingar með skjölum.
- Að fara í framleiðslu án þess að skrifa undir DPA.
- Hunsa undirvinnslukeðjuna (gagnabúseta er stungið þar inn).
- Hélt að ZDR og "ekki notað í menntun" ábyrgðin séu þau sömu.
- Að samþykkja birginn einu sinni og ekki endurmeta árlega.
Í stuttu máli
- Þú ert ábyrgðaraðili gagna; Birgjaval er öryggisákvörðun, ekki kaupákvörðun.
- Metið á sjö ásum: vottun, varðveisla/ZDR, kennslunotkun, búsetu gagna, undirvinnsluaðila, öryggiseiginleika, samningur/útgangur.
- Staðfestu hverja tryggingu með skjali og samningsákvæði; Vörumerki og munnleg orð eru ekki nóg.
- Hugleiddu einnig undirvinnslukeðjuna; gagnavist er oft gatað þar.
- Ekki hefja framleiðslu áður en DPA hefur verið undirritað og endurmetið birginn árlega.
Umsóknarverkefni
Fylltu út öryggiskönnunina hér að ofan fyrir gervigreindaraðila sem þú notar (eða metur) og spyrðu „er sönnun fyrir því? fyrir hvert svar. Merktu við dálkinn. Kortleggðu síðan gagnaflæðið og merktu hvert skref sem fer yfir mörk fyrirtækisins. Að lokum skaltu skora ásana sjö og búa til áhættuskorkort og spyrja "hentar það til framleiðslu?" Skrifaðu ástæðurnar fyrir ákvörðun þinni.
gátlisti
- [ ] Ég hef skjalfest fylgnivottorð veitunnar (SOC 2 / ISO 27001).
- [ ] Gagnageymsla, ZDR og „non-use in education“ ákvæði eru skrifuð í samninginn.
- [ ] Það uppfyllir skilyrði um búsetu gagna (KVKK/GDPR).
- [ ] Ég kortlagði og lagði mat á undirvinnslukeðjuna.
- [ ] Ég fór ekki í framleiðslu án undirritaðs DPA.
- [ ] Ég setti upp árlegt endurmatsdagatal fyrir birginn.