การประเมินซัพพลายเออร์และความเสี่ยงของบุคคลที่สาม

กำไร:

• ความสามารถในการประเมินผู้จำหน่าย AI เกี่ยวกับการรับรอง การจัดเก็บ ถิ่นที่อยู่ของข้อมูล และแกนตัวประมวลผลย่อย
• สามารถตรวจสอบการรับรองด้วยเอกสารและข้อสัญญาโดยไม่อาศัยคำพูด
• ความสามารถในการผูก DPA และเงื่อนไขการยกเลิก/การลบเพื่อซื้อการตรวจสอบความปลอดภัยล่วงหน้า

องค์กรส่วนใหญ่ไม่ได้ฝึกอบรมโมเดลของตนเอง ใช้ API ของผู้ให้บริการ การดำเนินการนี้ไม่ได้ขจัดความเสี่ยง เพียงแต่ส่งต่อไปยังบุคคลอื่น และเป็นความรับผิดชอบของคุณที่จะต้องประเมินความเสี่ยงที่คุณกำลังถ่ายโอน บุคคลที่สามทุกรายที่ข้อมูลของคุณไปถือเป็นส่วนขยายของขอบเขตความปลอดภัยของคุณ ในหน่วยนี้คุณจะได้เรียนรู้วิธีการประเมินซัพพลายเออร์ AI เราจะเรียนรู้วิธีดำเนินการตรวจสอบความปลอดภัยก่อนการซื้อผ่านใบรับรองการปฏิบัติตามข้อกำหนด ข้อตกลงการประมวลผลข้อมูล (DPA) การจัดเก็บข้อมูล ภูมิลำเนาของข้อมูล และผู้ประมวลผลย่อย

เหตุใดจึงมีความเสี่ยงจากบุคคลที่สาม?

ในกรณีที่มีการตรวจสอบหรือการละเมิด การป้องกัน "เราไม่ได้ประมวลผลข้อมูล ผู้ให้บริการดำเนินการ" จะไม่ช่วยคุณ คุณเป็นผู้ควบคุมข้อมูล ผู้ให้บริการคือผู้ประมวลผลข้อมูล KVKK และ GDPR สร้างความแตกต่างนี้ แต่ความรับผิดชอบส่วนใหญ่ยังคงอยู่กับคุณ นั่นเป็นเหตุผลว่าทำไมการเลือกซัพพลายเออร์จึงไม่ใช่การตัดสินใจซื้อ แต่เป็นการตัดสินใจด้านความปลอดภัย

ข้อควรระวัง: "ผู้ให้บริการรายใหญ่และมีชื่อเสียง" ไม่รับประกันความปลอดภัย การรับประกันมาจากข้อสัญญาที่ลงนามและการรับรองที่ตรวจสอบได้ ไม่ใช่เพราะชื่อเสียงของแบรนด์

แกนประเมินผล

ตรวจสอบผู้ขาย AI ในเจ็ดแกน:

• การรับรองการปฏิบัติตามข้อกำหนด: SOC 2 Type II (การตรวจสอบอิสระของการควบคุมความปลอดภัยขององค์กร), ISO/IEC 27001 (มาตรฐานการจัดการความปลอดภัยของข้อมูล) และ ISO/IEC 42001 ที่เพิ่มมากขึ้น (มาตรฐานระบบการจัดการปัญญาประดิษฐ์)
• การเก็บรักษาข้อมูล: ข้อความแจ้ง/ตอบกลับจะถูกเก็บไว้นานเท่าใด มี ZDR (การเก็บรักษาข้อมูลเป็นศูนย์) หรือไม่
• ใช้ในการฝึกอบรม: ข้อมูลของคุณใช้เพื่อฝึกโมเดลหรือไม่ (โดยปกติจะ "ไม่" ในระดับองค์กร)
• ถิ่นที่อยู่ของข้อมูล: ข้อมูลถูกประมวลผลและจัดเก็บในประเทศ/ภูมิภาคใด
• ผู้ประมวลผลย่อย: ผู้ให้บริการรายใดใช้ (คลาวด์, การตรวจสอบ)? พวกเขายังเป็นส่วนหนึ่งของขอบเขตของคุณด้วย
• คุณสมบัติด้านความปลอดภัย: การเข้ารหัส (ระหว่างทาง/ขณะพัก), การควบคุมการเข้าถึง, บันทึกการตรวจสอบ, เวลาแจ้งเตือนเหตุการณ์
• สัญญาและการออก: มี DPA หรือไม่ ข้อมูลของคุณรับประกันว่าจะถูกลบหากบริการสิ้นสุดลงหรือไม่ ความเสี่ยงของการล็อคอินคืออะไร?

ทีละขั้นตอน: การทบทวนซัพพลายเออร์

1. ส่งแบบสำรวจความปลอดภัย เปลี่ยนแกนด้านบนให้เป็นรายการคำถาม
2. ขอหลักฐาน. ตรวจสอบการอ้างสิทธิ์ด้วยเอกสารประกอบ (รายงาน SOC 2, ใบรับรอง ISO, ร่าง DPA)
3. แมปการไหลของข้อมูล ข้อมูลไหนไปที่ไหนและไปกระบวนการไหน?
4. เจรจา DPA อย่าเริ่มการผลิตโดยไม่ลงนามในข้อตกลงการประมวลผลข้อมูล (ข้อความทางกฎหมายที่ระบุวิธีที่ผู้ให้บริการจะประมวลผลข้อมูล)
5. ตรวจสอบผู้ประมวลผลย่อย พิจารณาห่วงโซ่ทั้งหมด
6. กำหนดตารางการประเมินใหม่ ความเสี่ยงของซัพพลายเออร์ควรได้รับการตรวจสอบอีกครั้งอย่างน้อยปีละครั้ง

เทมเพลตที่คัดลอกได้สี่แบบ

หลักการสำรวจความปลอดภัยของซัพพลายเออร์:

สิ่งที่ต้องถามผู้ให้บริการ:1. คุณมีใบรับรองการปฏิบัติตามข้อกำหนดอะไรบ้าง? (SOC 2 Type II, ISO 27001/42001) คุณสามารถแบ่งปันรายงานได้หรือไม่2. ข้อมูลคำขอ/การตอบกลับจะถูกเก็บไว้มากน้อยเพียงใด มีตัวเลือก ZDR หรือไม่3. ข้อมูลของเราถูกใช้ในการฝึกโมเดลหรือไม่ มีเขียนไว้ในสัญญาหรือไม่?4. ข้อมูลถูกประมวลผล/จัดเก็บในภูมิภาคใด เราสามารถเลือกภูมิภาคได้หรือไม่?5. ใครคือผู้ประมวลผลย่อยของคุณ? คุณจะแจ้งเตือนเมื่อมีการเปลี่ยนแปลงได้อย่างไร6. ระยะเวลาการแจ้งเตือนของคุณในกรณีที่มีการละเมิดคือเมื่อใด7. ข้อมูลของเราจะถูกลบอย่างไรและเมื่อใดเมื่อสัญญาสิ้นสุดลง

กฎการตรวจสอบหลักฐาน:

ในแต่ละข้อเรียกร้อง “มีหลักฐานไหม?” ตรวจสอบ:- การอ้างสิทธิ์ในการรับรอง -> ฉันเคยเห็นรายงานปัจจุบัน/หมายเลขใบรับรองหรือไม่- ZDR / การอ้างสิทธิ์ในการจัดเก็บ -> มีการเขียนไว้ในข้อสัญญาหรือไม่- การไม่ใช้ในการฝึกอบรม -> มีข้อกำหนดเปิดใน DPA หรือไม่ ทำเครื่องหมายทุกข้อเรียกร้องโดยไม่มีหลักฐานว่า "ไม่ได้รับการยืนยัน" ไม่ยอมรับคำพูดด้วยวาจา

พร้อมท์การแมป Dataflow:

แยกกระแสข้อมูลสำหรับการผสานรวมต่อไปนี้: {{ สถานการณ์ }}ระบุในแต่ละขั้นตอน: ข้อมูลใด (มี PII หรือไม่) ไปที่ใด (บริษัท/ภูมิภาคใด) เพื่อวัตถุประสงค์ใด จำนวนที่จัดเก็บ ทำเครื่องหมายแต่ละขั้นตอนและโปรเซสเซอร์ย่อยที่ข้ามขอบเขตองค์กร

ตารางสรุปสถิติความเสี่ยงของซัพพลายเออร์:

ให้คะแนนแต่ละแกนด้วยคะแนน 0-2 (0=ไม่มี, 1=บางส่วน, 2=เต็ม):ใบรับรอง, ZDR/การเก็บรักษา, ห้ามใช้ในการฝึกอบรม, ถิ่นที่อยู่ของข้อมูล, ความโปร่งใสของตัวประมวลผลย่อย, การแจ้งเตือนการละเมิด, ออก/ลบ หากผลรวม < 10 หรือแกนใดๆ เป็น 0: "ความเสี่ยงสูง เข้าสู่การใช้งานจริง"

พรอมต์ที่อ่อนแอ / พรอมต์ที่แข็งแกร่ง

วิธีการที่ไม่ดี

แนวทางที่แข็งแกร่ง

สมมติ “บริษัทใหญ่ ปลอดภัย”

ตรวจสอบใบรับรองและ DPA ด้วยเอกสาร

อาศัยความมั่นใจทางวาจา

เชื่อมโยงทุกการรับประกันเข้ากับข้อสัญญา

เพียงตรวจสอบผู้ให้บริการ

พิจารณาห่วงโซ่ตัวประมวลผลย่อยด้วย

เลือกครั้งเดียวแล้วลืม

ปฏิทินการประเมินใหม่ประจำปี

มินิเคสสามอัน

กรณีที่ 1 — โครงการเริ่มต้นโดยไม่มี DPA ถูกหยุด บริษัทค้าปลีกแห่งหนึ่งรีบนำผู้ช่วยมาสู่การผลิต ต่อมาทีมกฎหมายค้นพบว่าไม่มีการลงนาม DPA กับผู้ให้บริการ โปรเจ็กต์ถูกระงับในขณะที่กำลังประมวลผลข้อมูลลูกค้า DPA ได้รับการเจรจาและเปิดใหม่อีกครั้งหลังจากแก้ไขภูมิลำเนาของข้อมูลในภูมิภาคสหภาพยุโรป

กรณีที่ 2 — ห่วงโซ่ตัวประมวลผลย่อยทำให้เกิดความประหลาดใจ บริษัทด้านการดูแลสุขภาพได้อนุมัติผู้ให้บริการหลักแล้ว อย่างไรก็ตาม การทำแผนที่กระแสข้อมูลเปิดเผยว่าผู้ให้บริการใช้บริษัทในประเทศที่สามในการตรวจสอบ สิ่งนี้ละเมิดข้อกำหนดด้านถิ่นที่อยู่ของข้อมูล บริษัทได้เพิ่มการเข้าพักในภูมิภาคเข้าไปในสัญญา

กรณีที่ 3 — Scorecard ยกเลิกการเสนอราคาที่ถูก มีการประเมินข้อเสนอสามข้อ ผู้ให้บริการที่ถูกที่สุดได้รับ 0 (ไม่มี SOC 2) บนแกนการรับรอง กฎดัชนีชี้วัด "หากแกนใดเป็น 0 ให้นำไปใช้จริง" ถูกตัดออก มีการเลือกผู้ให้บริการที่มีราคาแพงกว่าแต่ได้รับคะแนนเต็ม 22% และการตัดสินใจได้รับการบันทึกไว้สำหรับการตรวจสอบ

เคล็ดลับ: อย่าสับสนการรับประกันสองรายการที่แตกต่างกัน: "ข้อมูลของเราไม่ได้จัดเก็บ (ZDR)" และ "ข้อมูลของเราไม่ได้ใช้ในการฝึกอบรม" เป็นประโยคที่แยกจากกัน ผู้ให้บริการอาจเสนออย่างใดอย่างหนึ่ง แต่ไม่ใช่อย่างอื่น ขอความชัดเจนทั้งสองอย่างในสัญญา

ข้อผิดพลาดทั่วไป

• พิจารณาขนาด/แบรนด์ของผู้ให้บริการเป็นหลักประกันความปลอดภัย
• อาศัยคำพูดปากต่อปากโดยไม่ตรวจสอบคำร้องด้วยเอกสารประกอบ
• เข้าสู่การผลิตโดยไม่ต้องลงนามใน DPA
• ละเว้นห่วงโซ่ตัวประมวลผลย่อย (ที่เก็บข้อมูลถูกเจาะอยู่ที่นั่น)
• คิดว่า ZDR และการรับประกัน "ไม่ใช้ในการศึกษา" จะเหมือนกัน
• อนุมัติซัพพลายเออร์หนึ่งครั้งและไม่มีการประเมินซ้ำทุกปี

โดยสรุป

• คุณเป็นผู้ควบคุมข้อมูล การเลือกซัพพลายเออร์เป็นการตัดสินใจด้านความปลอดภัย ไม่ใช่การตัดสินใจซื้อ
• ประเมินในเจ็ดแกน: การรับรอง การเก็บรักษา/ZDR การใช้งานทางการศึกษา ถิ่นที่อยู่ของข้อมูล โปรเซสเซอร์ย่อย คุณลักษณะด้านความปลอดภัย สัญญา/ทางออก
• ตรวจสอบการประกันแต่ละครั้งด้วยเอกสารและข้อสัญญา แบรนด์และปากต่อปากไม่เพียงพอ
• พิจารณาห่วงโซ่ตัวประมวลผลย่อยด้วย ถิ่นที่อยู่ของข้อมูลมักถูกเจาะอยู่ที่นั่น
• ห้ามเริ่มการผลิตก่อนที่จะลงนามใน DPA และประเมินซัพพลายเออร์อีกครั้งทุกปี

งานสมัคร

กรอกแบบสำรวจความปลอดภัยด้านบนสำหรับผู้จำหน่าย AI ที่คุณใช้ (หรือประเมิน) แล้วถามว่า “มีหลักฐานหรือไม่” สำหรับแต่ละคำตอบ ทำเครื่องหมายที่คอลัมน์ จากนั้นแมปการไหลของข้อมูลและทำเครื่องหมายแต่ละขั้นตอนที่ข้ามขอบเขตองค์กร สุดท้าย ให้คะแนนแกนทั้งเจ็ดและสร้างดัชนีชี้วัดความเสี่ยงและถามว่า “เหมาะสำหรับการผลิตหรือไม่” เขียนเหตุผลในการตัดสินใจของคุณ

รายการตรวจสอบ

• [ ] ฉันได้จัดทำเอกสารการรับรองการปฏิบัติตามข้อกำหนดของผู้ให้บริการ (SOC 2 / ISO 27001)
• [ ] การจัดเก็บข้อมูล, ZDR และข้อกำหนด "การไม่ใช้งานในการศึกษา" ได้รับการเขียนไว้ในสัญญา
• [ ] เป็นไปตามข้อกำหนดด้านถิ่นที่อยู่ข้อมูลของฉัน (KVKK/GDPR)
• [ ] ฉันแมปและประเมินผลห่วงโซ่ของโปรเซสเซอร์ย่อย
• [ ] ฉันไม่ได้เข้าสู่การผลิตโดยไม่มี DPA ที่ลงนาม
• [ ] ฉันจัดทำปฏิทินการประเมินซ้ำประจำปีสำหรับซัพพลายเออร์