சப்ளையர் மதிப்பீடு மற்றும் மூன்றாம் தரப்பு ஆபத்து

ஆதாயங்கள்:

• சான்றிதழ், சேமிப்பு, டேட்டா ரெசிடென்சி மற்றும் துணை செயலி அச்சுகள் ஆகியவற்றில் AI விற்பனையாளரை மதிப்பிடும் திறன்
• ஆவணங்கள் மற்றும் ஒப்பந்த உட்பிரிவுகளுடன் உத்தரவாதங்களைச் சரிபார்க்கும் திறன் மற்றும் வாய்மொழி வார்த்தைகளில் தங்கியிருக்காது
• டிபிஏ மற்றும் விலகல்/நீக்குதல் நிபந்தனைகளை முன் கொள்முதல் பாதுகாப்பு மதிப்பாய்வுடன் இணைக்கும் திறன்

பெரும்பாலான நிறுவனங்கள் தங்கள் சொந்த மாதிரிகளைப் பயிற்றுவிப்பதில்லை; வழங்குநரின் API ஐப் பயன்படுத்துகிறது. இது ஆபத்தை அகற்றாது - இது வேறொருவருக்கு மாற்றும், மேலும் நீங்கள் மாற்றும் அபாயத்தை மதிப்பிடுவது உங்கள் பொறுப்பு. உங்கள் தரவு செல்லும் ஒவ்வொரு மூன்றாம் தரப்பினரும் உங்கள் பாதுகாப்பு எல்லையின் நீட்டிப்பாகும். இந்த யூனிட்டில் AI சப்ளையரை எப்படி மதிப்பிடுவது என்பதை நீங்கள் கற்றுக் கொள்வீர்கள்; இணக்கச் சான்றிதழ்கள், தரவுச் செயலாக்க ஒப்பந்தம் (DPA), தரவு சேமிப்பு, தரவு இருப்பிடம் மற்றும் துணைச் செயலிகள் மூலம் வாங்குவதற்கு முந்தைய பாதுகாப்பு மதிப்பாய்வை எவ்வாறு நடத்துவது என்பதை நாங்கள் கற்றுக்கொள்வோம்.

ஏன் மூன்றாம் தரப்பு ஆபத்து?

தணிக்கை அல்லது மீறல் ஏற்பட்டால், "நாங்கள் தரவைச் செயலாக்கவில்லை, வழங்குநர் செய்தார்" என்ற பாதுகாப்பு உங்களைச் சேமிக்காது. நீங்கள் தரவுக் கட்டுப்பாட்டாளர்; வழங்குபவர் தரவு செயலி. KVKK மற்றும் GDPR இந்த வேறுபாட்டைக் காட்டுகின்றன, ஆனால் பெரும்பாலான பொறுப்பு உங்களிடம் உள்ளது. அதனால்தான் ஒரு சப்ளையரைத் தேர்ந்தெடுப்பது கொள்முதல் முடிவு அல்ல, ஆனால் ஒரு பாதுகாப்பு முடிவு.

எச்சரிக்கை: "பெரிய மற்றும் நன்கு அறியப்பட்ட வழங்குநர்" என்பது பாதுகாப்பிற்கான உத்தரவாதம் அல்ல. கையொப்பமிடப்பட்ட ஒப்பந்த உட்பிரிவுகள் மற்றும் சரிபார்க்கக்கூடிய சான்றிதழ்களிலிருந்து உத்தரவாதம் வருகிறது; பிராண்டின் புகழ் காரணமாக அல்ல.

மதிப்பீட்டு அச்சுகள்

ஏழு அச்சுகளில் AI விற்பனையாளரை ஆராயவும்:

• இணக்கச் சான்றிதழ்கள்: SOC 2 வகை II (ஒரு நிறுவனத்தின் பாதுகாப்புக் கட்டுப்பாடுகளின் சுயாதீன தணிக்கை), ISO/IEC 27001 (தகவல் பாதுகாப்பு மேலாண்மை தரநிலை) மற்றும் பெருகிய முறையில் ISO/IEC 42001 (செயற்கை நுண்ணறிவு மேலாண்மை அமைப்பு தரநிலை).
• தரவுத் தக்கவைப்பு: ப்ராம்ட்/பதில் எவ்வளவு காலம் தக்கவைக்கப்படுகிறது? ZDR (பூஜ்ஜிய தரவு தக்கவைப்பு) வழங்கப்படுகிறதா?
• பயிற்சியில் பயன்படுத்தவும்: மாதிரியைப் பயிற்றுவிக்க உங்கள் தரவு பயன்படுத்தப்படுகிறதா? (பொதுவாக கார்ப்பரேட் மட்டங்களில் "இல்லை".)
• தரவு குடியிருப்பு: எந்த நாட்டில்/பிராந்தியத்தில் தரவு செயலாக்கப்பட்டு சேமிக்கப்படுகிறது?
• துணைச் செயலிகள்: வழங்குநர் எந்த நிறுவனங்களைப் பயன்படுத்துகிறார் (கிளவுட், கண்காணிப்பு)? அவையும் உங்கள் எல்லையின் ஒரு பகுதியாகும்.
• பாதுகாப்பு அம்சங்கள்: குறியாக்கம் (போக்குவரத்தில்/ஓய்வில்), அணுகல் கட்டுப்பாடு, தணிக்கை பதிவு, நிகழ்வு அறிவிப்பு நேரம்.
• ஒப்பந்தம் மற்றும் வெளியேறுதல்: DPA உள்ளதா? சேவை முடிவடையும் பட்சத்தில் உங்கள் தரவு நீக்கப்படும் என்பது உறுதியா? லாக்-இன் ஆபத்து என்ன?

படிப்படியாக: சப்ளையர் மதிப்பாய்வு

1. பாதுகாப்பு கருத்துக்கணிப்பைச் சமர்ப்பிக்கவும். மேலே உள்ள அச்சுகளை கேள்விகளின் பட்டியலாக மாற்றவும்.
2. ஆதாரம் கேளுங்கள். ஆவணங்களுடன் உரிமைகோரல்களைச் சரிபார்க்கவும் (SOC 2 அறிக்கை, ISO சான்றிதழ், DPA வரைவு).
3. தரவு ஓட்டத்தை வரைபடம். எந்தத் தரவு எங்கு, எந்தச் செயல்முறைக்கு செல்கிறது?
4. DPA உடன் பேச்சுவார்த்தை நடத்தவும். தரவு செயலாக்க ஒப்பந்தத்தில் கையெழுத்திடாமல் உற்பத்தியைத் தொடங்க வேண்டாம் (வழங்குபவர் தரவை எவ்வாறு செயலாக்குவார் என்பதைக் குறிப்பிடும் சட்ட உரை).
5. துணைச் செயலிகளை மதிப்பாய்வு செய்யவும். முழு சங்கிலியையும் கவனியுங்கள்.
6. மறுமதிப்பீட்டு அட்டவணையை அமைக்கவும். சப்ளையர் அபாயத்தை வருடத்திற்கு ஒரு முறையாவது மறுபரிசீலனை செய்ய வேண்டும்.

நான்கு நகலெடுக்கக்கூடிய டெம்ப்ளேட்கள்

சப்ளையர் பாதுகாப்பு ஆய்வு மையம்:

வழங்குநரிடம் கேட்க வேண்டிய விஷயங்கள்:1. உங்களிடம் என்ன இணக்கச் சான்றிதழ்கள் உள்ளன? (SOC 2 வகை II, ISO 27001/42001) அறிக்கையைப் பகிர முடியுமா?2. எவ்வளவு கோரிக்கை/பதில் தரவு சேமிக்கப்படுகிறது? ZDR விருப்பம் உள்ளதா?3. மாதிரி பயிற்சியில் எங்கள் தரவு பயன்படுத்தப்படுகிறதா? ஒப்பந்தத்தில் எழுதப்பட்டுள்ளதா?4. எந்த பகுதியில் தரவு செயலாக்கம்/சேமிக்கப்படுகிறது? நாம் ஒரு பிராந்தியத்தை தேர்வு செய்யலாமா?5. உங்கள் துணைச் செயலிகள் யார்? அது மாறும்போது எப்படி அறிவிப்பது?6. மீறினால் உங்களின் அறிவிப்பு காலம் என்ன?7. ஒப்பந்தம் முடிவடையும் போது எங்கள் தரவு எப்படி, எப்போது நீக்கப்படும்?

சாட்சியச் சரிபார்ப்பு விதி:

ஒவ்வொரு கோரிக்கைக்கும், "ஆதாரம் உள்ளதா?" சரிபார்க்கவும்:- சான்றளிப்பு உரிமைகோரல் -> தற்போதைய அறிக்கை/சான்றிதழ் எண்ணை நான் பார்த்தேனா?- ZDR/சேமிப்பு உரிமைகோரல் -> இது ஒப்பந்த விதியில் எழுதப்பட்டுள்ளதா?- பயிற்சியில் பயன்படுத்தாதது -> DPA இல் திறந்த விதி உள்ளதா? ஆதாரம் இல்லாத ஒவ்வொரு உரிமைகோரலையும் "சரிபார்க்கப்படவில்லை" எனக் குறிக்கவும்; வாய்மொழி வார்த்தைகளை ஏற்காதீர்கள்.

டேட்டாஃப்ளோ மேப்பிங் ப்ராம்ட்:

பின்வரும் ஒருங்கிணைப்புக்கான தரவு ஓட்டத்தைப் பிரித்தெடுக்கவும்: {{ சூழ்நிலை }}ஒவ்வொரு படியிலும் குறிப்பிடவும்: எந்தத் தரவு (அதில் PII உள்ளது), அது எங்கு செல்கிறது (எந்த நிறுவனம்/பிராந்தியம்), எந்த நோக்கத்திற்காக, எவ்வளவு சேமிக்கப்படுகிறது. நிறுவன எல்லையை கடக்கும் ஒவ்வொரு படி மற்றும் துணை செயலிகளையும் குறிக்கவும்.

சப்ளையர் ஆபத்து மதிப்பெண் அட்டை:

ஒவ்வொரு அச்சையும் 0-2 மதிப்பெண்களுடன் (0=எதுவும் இல்லை, 1=பகுதி, 2=முழுமை): சான்றிதழ், ZDR/தக்கவைப்பு, பயிற்சியில் பயன்படுத்த வேண்டாம், தரவு வசிப்பிடம், துணை செயலி வெளிப்படைத்தன்மை, மீறல் அறிவிப்பு, வெளியேறுதல்/நீக்குதல். மொத்தமாக < 10 அல்லது ஏதேனும் அச்சு 0 எனில்: "ஆபத்து அதிகம், உற்பத்தியில் வைக்கவும்".

பலவீனமான ப்ராம்ட் / ஸ்ட்ராங் ப்ராம்ட்

மோசமான அணுகுமுறை

வலுவான அணுகுமுறை

"பெரிய நிறுவனம், பாதுகாப்பானது" எனக் கருதி

சான்றிதழ் மற்றும் DPA ஆவணத்துடன் சரிபார்க்கவும்

வாய்மொழி உத்தரவாதங்களை நம்பியிருக்கிறது

ஒவ்வொரு உத்தரவாதத்தையும் ஒப்பந்த விதியுடன் இணைத்தல்

வழங்குநரை மதிப்பாய்வு செய்யவும்

துணை செயலி சங்கிலியையும் கவனியுங்கள்

ஒரு முறை தேர்வு செய்து மறந்து விடுங்கள்

வருடாந்திர மறுமதிப்பீட்டு காலண்டர்

மூன்று சிறிய வழக்குகள்

வழக்கு 1 - DPA இல்லாமல் தொடங்கப்பட்ட திட்டம் நிறுத்தப்பட்டது. ஒரு சில்லறை விற்பனை நிறுவனம் விரைவாக ஒரு உதவியாளரை உற்பத்திக்கு கொண்டு வந்தது; வழங்குநரிடம் கையொப்பமிடப்பட்ட டிபிஏ இல்லை என்று சட்டக் குழு பின்னர் கண்டறிந்தது. வாடிக்கையாளர் தரவு செயலாக்கப்படும் போது திட்டம் இடைநிறுத்தப்பட்டது, DPA பேச்சுவார்த்தை நடத்தப்பட்டது மற்றும் ஐரோப்பிய ஒன்றிய பிராந்தியத்தில் தரவு இருப்பிடம் சரி செய்யப்பட்ட பிறகு மீண்டும் திறக்கப்பட்டது.

வழக்கு 2 - துணைச் செயலி சங்கிலி ஆச்சரியத்தை ஏற்படுத்துகிறது. ஒரு சுகாதார நிறுவனம் முதன்மை வழங்குநரை அங்கீகரித்துள்ளது; இருப்பினும், தரவு ஓட்டம் மேப்பிங் வழங்குநர் மூன்றாம் நாட்டில் உள்ள ஒரு நிறுவனத்தை கண்காணிப்புக்குப் பயன்படுத்துகிறார் என்பதை வெளிப்படுத்தியது. இது தரவு வதிவிடத் தேவையை மீறியது. நிறுவனம் ஒப்பந்தத்தில் பிராந்தியத்தில் தங்கியிருப்பதைச் சேர்த்தது.

வழக்கு 3 - ஸ்கோர்கார்டு மலிவான ஏலத்தை நீக்கியது. மூன்று முன்மொழிவுகள் மதிப்பீடு செய்யப்பட்டன. மலிவான வழங்குநர் சான்றிதழ் அச்சில் 0 (SOC 2 இல்லை) பெற்றார். ஸ்கோர்கார்டு விதி "ஏதாவது அச்சு 0 ஆக இருந்தால், அதை தயாரிப்பில் வைக்கவும்"; 22% அதிக விலை கொண்ட ஆனால் முழுமையாக மதிப்பிடப்பட்ட வழங்குநர் தேர்ந்தெடுக்கப்பட்டார் மற்றும் முடிவு தணிக்கைக்கு ஆவணப்படுத்தப்பட்டது.

உதவிக்குறிப்பு: இரண்டு வெவ்வேறு உத்தரவாதங்களை ஒருபோதும் குழப்ப வேண்டாம்: "எங்கள் தரவு சேமிக்கப்படவில்லை (ZDR)" மற்றும் "எங்கள் தரவு பயிற்சியில் பயன்படுத்தப்படவில்லை" என்பது தனித்தனி உட்பிரிவுகள். ஒரு வழங்குநர் ஒன்றை வழங்கலாம் ஆனால் மற்றொன்றை வழங்க முடியாது; ஒப்பந்தத்தில் இரண்டையும் தெளிவாகக் கேளுங்கள்.

பொதுவான தவறுகள்

• பாதுகாப்பு உத்தரவாதமாக வழங்குநரின் அளவு/பிராண்டைக் கருத்தில் கொள்வது.
• ஆவணங்களுடன் உரிமைகோரல்களை சரிபார்க்காமல் வாய் வார்த்தைகளை நம்பியிருப்பது.
• டிபிஏவில் கையொப்பமிடாமல் உற்பத்திக்குச் செல்கிறது.
• துணைச் செயலி சங்கிலியைப் புறக்கணித்தல் (தரவு குடியிருப்பு அங்கு துளைக்கப்படுகிறது).
• ZDR மற்றும் "கல்வியில் பயன்படுத்தப்படவில்லை" உத்தரவாதம் ஒன்றுதான் என்று நினைப்பது.
• ஒரு முறை சப்ளையரை அங்கீகரிப்பது மற்றும் ஆண்டுதோறும் மறு மதிப்பீடு செய்யாமல் இருப்பது.

சுருக்கமாக

• நீங்கள் தரவுக் கட்டுப்பாட்டாளர்; சப்ளையர் தேர்வு என்பது பாதுகாப்பு முடிவு, வாங்கும் முடிவு அல்ல.
• ஏழு அச்சுகளில் மதிப்பீடு செய்யுங்கள்: சான்றிதழ், தக்கவைப்பு/ZDR, கல்விப் பயன்பாடு, தரவு வதிவிடச் செயலி, துணைச் செயலிகள், பாதுகாப்பு அம்சங்கள், ஒப்பந்தம்/வெளியேறுதல்.
• ஆவணம் மற்றும் ஒப்பந்த விதிகள் மூலம் ஒவ்வொரு உத்தரவாதத்தையும் சரிபார்க்கவும்; பிராண்ட் மற்றும் வாய் வார்த்தை போதாது.
• துணை செயலி சங்கிலியையும் கருத்தில் கொள்ளுங்கள்; தரவு குடியிருப்பு அடிக்கடி அங்கு துளைக்கப்படுகிறது.
• ஒரு DPA கையொப்பமிடப்படுவதற்கு முன்பு உற்பத்தியைத் தொடங்காதீர்கள் மற்றும் சப்ளையரை ஆண்டுதோறும் மறு மதிப்பீடு செய்யுங்கள்.

விண்ணப்ப பணி

நீங்கள் பயன்படுத்தும் (அல்லது மதிப்பீடு செய்யும்) AI விற்பனையாளருக்கான பாதுகாப்புக் கணக்கெடுப்பை மேலே நிரப்பி, "ஆதாரம் உள்ளதா?" என்று கேட்கவும். ஒவ்வொரு பதிலுக்கும். நெடுவரிசையை டிக் செய்யவும். பின்னர் தரவு ஓட்டத்தை வரைபடமாக்கி, நிறுவன எல்லையை கடக்கும் ஒவ்வொரு அடியையும் குறிக்கவும். இறுதியாக, ஏழு அச்சுகளை மதிப்பெண் மற்றும் ஆபத்து மதிப்பெண் அட்டையை உருவாக்கி, "இது உற்பத்திக்கு ஏற்றதா?" உங்கள் முடிவுக்கான காரணங்களை எழுதுங்கள்.

சரிபார்ப்பு பட்டியல்

• [ ] வழங்குநரின் இணக்கச் சான்றிதழ்களை (SOC 2 / ISO 27001) ஆவணப்படுத்தியுள்ளேன்.
• [ ] தரவு சேமிப்பு, ZDR மற்றும் "கல்வியில் பயன்படுத்தாதது" பிரிவுகள் ஒப்பந்தத்தில் எழுதப்பட்டுள்ளன.
• [ ] இது எனது தரவு குடியிருப்பு தேவையை (KVKK/GDPR) பூர்த்தி செய்கிறது.
• [ ] துணை செயலி சங்கிலியை வரைபடமாக்கி மதிப்பீடு செய்தேன்.
• கையொப்பமிடப்பட்ட டிபிஏ இல்லாமல் நான் தயாரிப்பில் இறங்கவில்லை.
• [ ] நான் சப்ளையருக்கான வருடாந்திர மறுமதிப்பீட்டு காலெண்டரை அமைத்துள்ளேன்.