سپلائر کی تشخیص اور فریق ثالث کا خطرہ

فائدہ:

• سرٹیفیکیشن، اسٹوریج، ڈیٹا ریذیڈنسی اور سب پروسیسر کے محوروں پر اے آئی وینڈر کا جائزہ لینے کی صلاحیت
• دستاویزات اور معاہدے کی شقوں کے ساتھ یقین دہانیوں کی تصدیق کرنے کی صلاحیت اور زبانی الفاظ پر انحصار نہ کریں۔
• سیکیورٹی کا جائزہ لینے سے پہلے ڈی پی اے اور آپٹ آؤٹ/حذف کرنے کی شرائط کو باندھنے کی اہلیت

زیادہ تر تنظیمیں اپنے ماڈلز کی تربیت نہیں کرتیں۔ فراہم کنندہ کا API استعمال کرتا ہے۔ یہ خطرے کو ختم نہیں کرتا ہے - یہ صرف اسے کسی اور کو منتقل کرتا ہے، اور یہ آپ کی ذمہ داری ہے کہ آپ جس خطرے کو منتقل کر رہے ہیں اس کا اندازہ کریں۔ ہر تیسرے فریق کے پاس آپ کا ڈیٹا جاتا ہے وہ آپ کی سیکیورٹی کی حد کی توسیع ہے۔ اس یونٹ میں آپ سیکھیں گے کہ AI سپلائر کا اندازہ کیسے لگایا جاتا ہے۔ ہم سیکھیں گے کہ تعمیل سرٹیفکیٹس، ڈیٹا پروسیسنگ معاہدے (DPA)، ڈیٹا اسٹوریج، ڈیٹا ڈومیسائل اور سب پروسیسرز کے ذریعے پری پرچیز سیکیورٹی کا جائزہ کیسے لیا جائے۔

تیسری پارٹی کا خطرہ کیوں؟

آڈٹ یا خلاف ورزی کی صورت میں، "ہم نے ڈیٹا پر کارروائی نہیں کی، فراہم کنندہ نے کیا" کا دفاع آپ کو نہیں بچائے گا۔ آپ ڈیٹا کنٹرولر ہیں؛ فراہم کنندہ ڈیٹا پروسیسر ہے۔ KVKK اور GDPR یہ فرق کرتے ہیں، لیکن زیادہ تر ذمہ داری آپ پر ہی رہتی ہے۔ اسی لیے سپلائر کا انتخاب خریداری کا فیصلہ نہیں، بلکہ سیکیورٹی کا فیصلہ ہے۔

احتیاط: "ایک بڑا اور معروف فراہم کنندہ" سیکورٹی کی ضمانت نہیں ہے۔ یقین دہانی دستخط شدہ معاہدے کی شقوں اور قابل تصدیق سرٹیفیکیشنز سے حاصل ہوتی ہے۔ برانڈ کی ساکھ کی وجہ سے نہیں۔

تشخیص کے محور

سات محوروں پر اے آئی وینڈر کی جانچ کریں:

• تعمیل کی سندیں: SOC 2 قسم II (کسی تنظیم کے سیکیورٹی کنٹرولز کا آزادانہ آڈٹ)، ISO/IEC 27001 (انفارمیشن سیکیورٹی مینجمنٹ کا معیار) اور تیزی سے ISO/IEC 42001 (مصنوعی انٹیلی جنس مینجمنٹ سسٹم کا معیار)۔
• ڈیٹا برقرار رکھنا: پرامپٹ/جواب کب تک برقرار رہتا ہے؟ کیا ZDR (صفر ڈیٹا برقرار رکھنے) کی پیشکش کی جاتی ہے؟
• تربیت میں استعمال کریں: کیا آپ کا ڈیٹا ماڈل کو تربیت دینے کے لیے استعمال ہوتا ہے؟ (عام طور پر کارپوریٹ سطحوں پر "نہیں"۔)
• ڈیٹا کی رہائش: کس ملک/علاقے میں ڈیٹا پر کارروائی اور ذخیرہ کیا جاتا ہے؟
• سب پروسیسرز: فراہم کنندہ کون سی دوسری کمپنیاں استعمال کرتا ہے (کلاؤڈ، مانیٹرنگ)؟ وہ بھی آپ کی حدود کا حصہ ہیں۔
• حفاظتی خصوصیات: خفیہ کاری (ٹرانزٹ میں/آرام میں)، رسائی کنٹرول، آڈٹ لاگ، ایونٹ کی اطلاع کا وقت۔
• معاہدہ اور باہر نکلنا: کیا کوئی DPA ہے؟ کیا سروس ختم ہونے پر آپ کے ڈیٹا کے حذف ہونے کی ضمانت ہے؟ لاک ان کا خطرہ کیا ہے؟

مرحلہ وار: سپلائر کا جائزہ

1. سیکیورٹی سروے جمع کروائیں۔ اوپر والے محوروں کو سوالات کی فہرست میں تبدیل کریں۔
2. ثبوت مانگیں۔ دستاویزات کے ساتھ دعووں کی تصدیق کریں (SOC 2 رپورٹ، ISO سرٹیفکیٹ، DPA ڈرافٹ)۔
3. ڈیٹا کے بہاؤ کا نقشہ بنائیں۔ کون سا ڈیٹا کہاں اور کس عمل کے لیے جاتا ہے؟
4. ڈی پی اے سے بات چیت کریں۔ ڈیٹا پروسیسنگ کے معاہدے پر دستخط کیے بغیر پروڈکشن شروع نہ کریں (قانونی متن جو یہ بتاتا ہے کہ فراہم کنندہ ڈیٹا کو کیسے پروسیس کرے گا)۔
5. ذیلی پروسیسرز کا جائزہ لیں۔ پوری زنجیر پر غور کریں۔
6. دوبارہ تشخیص کا شیڈول مرتب کریں۔ سال میں کم از کم ایک بار سپلائر کے خطرے کی دوبارہ جانچ کی جانی چاہیے۔

چار کاپی ایبل ٹیمپلیٹس

سپلائر سیکورٹی سروے کور:

فراہم کنندہ سے پوچھنے کی چیزیں: 1۔ آپ کے پاس کون سے تعمیل کے سرٹیفیکیشن ہیں؟ (SOC 2 Type II, ISO 27001/42001) کیا آپ رپورٹ شیئر کر سکتے ہیں؟ کتنی درخواست/جواب کا ڈیٹا برقرار ہے؟ کیا کوئی ZDR آپشن ہے؟ کیا ہمارا ڈیٹا ماڈل ٹریننگ میں استعمال ہوتا ہے؟ کیا یہ معاہدہ میں لکھا ہے؟ ڈیٹا کو کس علاقے میں پروسیس / اسٹور کیا جاتا ہے؟ کیا ہم کسی علاقے کا انتخاب کر سکتے ہیں؟ آپ کے سب پروسیسرز کون ہیں؟ جب یہ تبدیل ہوتا ہے تو آپ کیسے مطلع کرتے ہیں؟ خلاف ورزی کی صورت میں آپ کی اطلاع کی مدت کتنی ہے؟ معاہدہ ختم ہونے پر ہمارا ڈیٹا کیسے اور کب حذف ہوتا ہے؟

ثبوت کی تصدیق کی جانچ کا اصول:

ہر دعوے کے لیے، "کیا ثبوت ہے؟" چیک کریں:- سرٹیفیکیشن کا دعویٰ -> کیا میں نے موجودہ رپورٹ/سرٹیفکیٹ نمبر دیکھا ہے؟- ZDR/storage claim -> کیا یہ معاہدہ کی شق میں لکھا گیا ہے؟- تربیت میں غیر استعمال -> کیا DPA میں کوئی کھلی شق ہے؟ بغیر ثبوت کے ہر دعوے کو بطور "تصدیق شدہ نہیں" نشان زد کریں؛ زبانی کلامی قبول نہ کریں۔

ڈیٹا فلو میپنگ پرامپٹ:

درج ذیل انضمام کے لیے ڈیٹا کے بہاؤ کو نکالیں: {{ منظر }} ہر قدم پر وضاحت کریں: کون سا ڈیٹا (کیا اس میں PII ہوتا ہے)، یہ کہاں جاتا ہے (کونسی کمپنی/علاقہ)، کس مقصد کے لیے، کتنا ذخیرہ کیا جاتا ہے۔ ہر قدم اور ذیلی پروسیسرز کو نشان زد کریں جو انٹرپرائز کی حد کو عبور کرتے ہیں۔

سپلائر رسک سکور کارڈ:

ہر ایک محور کو 0-2 کے اسکور کے ساتھ اسکور کریں (0=کوئی نہیں، 1=جزوی، 2=مکمل): سرٹیفکیٹ، ZDR/ریٹینشن، ٹریننگ میں استعمال نہ کریں، ڈیٹا ریذیڈنسی، سب پروسیسر کی شفافیت، خلاف ورزی کی اطلاع، باہر نکلنا/حذف کرنا۔ اگر کل <10 یا کوئی محور 0 ہے: "خطرہ زیادہ ہے، پیداوار میں ڈالیں"۔

کمزور پرامپٹ / مضبوط اشارہ

غریب نقطہ نظر

مضبوط نقطہ نظر

"بڑی کمپنی، محفوظ" فرض کرنا

دستاویز کے ساتھ سرٹیفکیٹ اور ڈی پی اے کی تصدیق کریں۔

زبانی یقین دہانیوں پر بھروسہ

ہر یقین دہانی کو معاہدے کی شق سے جوڑنا

صرف فراہم کنندہ کا جائزہ لیں۔

ذیلی پروسیسر چین پر بھی غور کریں۔

ایک بار منتخب کریں اور بھول جائیں۔

سالانہ دوبارہ تشخیص کیلنڈر

تین چھوٹے کیسز

کیس 1 — ڈی پی اے کے بغیر شروع ہونے والا پروجیکٹ روک دیا گیا تھا۔ ایک خوردہ کمپنی فوری طور پر ایک اسسٹنٹ کو پیداوار میں لے آئی۔ قانونی ٹیم نے بعد میں دریافت کیا کہ فراہم کنندہ کے ساتھ کوئی دستخط شدہ DPA نہیں ہے۔ یہ پروجیکٹ اس وقت معطل کر دیا گیا تھا جب کسٹمر ڈیٹا پر کارروائی کی جا رہی تھی، ڈی پی اے پر بات چیت کی گئی اور یورپی یونین کے علاقے میں ڈیٹا ڈومیسائل طے ہونے کے بعد اسے دوبارہ کھول دیا گیا۔

کیس 2 - سب پروسیسر چین نے حیرت کا اظہار کیا۔ صحت کی دیکھ بھال کرنے والی ایک کمپنی نے بنیادی فراہم کنندہ کو منظوری دی تھی۔ تاہم، ڈیٹا فلو میپنگ سے یہ بات سامنے آئی کہ فراہم کنندہ کسی تیسرے ملک میں کسی کمپنی کو نگرانی کے لیے استعمال کر رہا تھا۔ اس سے ڈیٹا ریزیڈنسی کی ضرورت کی خلاف ورزی ہوئی۔ کمپنی نے معاہدے میں علاقائی قیام کو شامل کیا۔

کیس 3 - سکور کارڈ نے سستی بولی کو ختم کر دیا۔ تین تجاویز کا جائزہ لیا گیا۔ سب سے سستا فراہم کنندہ کو سرٹیفیکیشن کے محور پر 0 (کوئی SOC 2 نہیں) موصول ہوا۔ سکور کارڈ کا اصول "اگر کوئی محور 0 ہے تو اسے پروڈکشن میں ڈالیں" ختم کر دیا گیا تھا۔ ایک 22% زیادہ مہنگا لیکن مکمل درجہ بندی فراہم کنندہ کا انتخاب کیا گیا اور فیصلہ آڈٹ کے لیے دستاویز کیا گیا۔

مشورہ: دو مختلف ضمانتوں کو کبھی بھی الجھائیں نہ: "ہمارا ڈیٹا محفوظ نہیں ہے (ZDR)" اور "ہمارا ڈیٹا تربیت میں استعمال نہیں کیا جاتا ہے" الگ الگ شقیں ہیں۔ ایک فراہم کنندہ ایک پیش کر سکتا ہے لیکن دوسرا نہیں؛ معاہدے میں واضح طور پر دونوں سے پوچھیں۔

عام غلطیاں

• تحفظ کی یقین دہانی کے طور پر فراہم کنندہ کے سائز/برانڈ پر غور کرنا۔
• دستاویزات کے ساتھ دعووں کی تصدیق کیے بغیر منہ کی بات پر انحصار کرنا۔
• ڈی پی اے پر دستخط کیے بغیر پروڈکشن میں جانا۔
• سب پروسیسر چین کو نظر انداز کرنا (ڈیٹا کی رہائش گاہ وہاں چھید ہے)۔
• یہ سوچتے ہوئے کہ ZDR اور "تعلیم میں استعمال نہیں" کی ضمانت ایک جیسی ہے۔
• سپلائر کو ایک بار منظور کرنا اور سالانہ دوبارہ جائزہ نہ لینا۔

خلاصہ میں

• آپ ڈیٹا کنٹرولر ہیں؛ سپلائر کا انتخاب ایک حفاظتی فیصلہ ہے، خریداری کا فیصلہ نہیں۔
• سات محوروں پر اندازہ کریں: سرٹیفیکیشن، برقراری/ZDR، تعلیمی استعمال، ڈیٹا ریذیڈنسی، سب پروسیسرز، سیکیورٹی فیچرز، معاہدہ/خارج۔
• دستاویز اور معاہدے کی شق کے ذریعہ ہر یقین دہانی کی تصدیق کریں۔ برانڈ اور منہ کا لفظ کافی نہیں ہے۔
• ذیلی پروسیسر چین پر بھی غور کریں۔ ڈیٹا کی رہائش اکثر وہاں چھید جاتی ہے۔
• ڈی پی اے پر دستخط ہونے سے پہلے پیداوار شروع نہ کریں اور سپلائر کا سالانہ جائزہ لیں۔

درخواست کا کام

اوپر دیئے گئے حفاظتی سروے کو پُر کریں ایک AI وینڈر کے لیے جسے آپ استعمال کرتے ہیں (یا اندازہ لگاتے ہیں) اور پوچھیں "کیا کوئی ثبوت ہے؟" ہر جواب کے لیے۔ کالم پر نشان لگائیں۔ پھر ڈیٹا کے بہاؤ کا نقشہ بنائیں اور ہر اس قدم کو نشان زد کریں جو انٹرپرائز کی حد کو عبور کرتا ہے۔ آخر میں، سات محور اسکور کریں اور رسک اسکور کارڈ تیار کریں اور پوچھیں "کیا یہ پروڈکشن کے لیے موزوں ہے؟" اپنے فیصلے کی وجوہات لکھیں۔

چیک لسٹ

• [ ] میں نے فراہم کنندہ کے تعمیل کے سرٹیفیکیشن (SOC 2 / ISO 27001) کو دستاویز کیا ہے۔
• معاہدے میں ڈیٹا اسٹوریج، ZDR اور "تعلیم میں غیر استعمال" کی شقیں لکھی گئی ہیں۔
• یہ میرے ڈیٹا کی رہائش کی ضرورت کو پورا کرتا ہے (KVKK/GDPR)۔
• میں نے سب پروسیسر چین کا نقشہ بنایا اور اس کا اندازہ کیا۔
• میں دستخط شدہ DPA کے بغیر پیداوار میں نہیں گیا تھا۔
• [ ] میں نے سپلائر کے لیے سالانہ دوبارہ تشخیص کا کیلنڈر ترتیب دیا ہے۔