/13270692/i_800.jpg)
76% казахстанских директоров по информационной безопасности ожидают, что в период с 2025 по 2028 год злоумышленники начнут использовать новые, более эффективные способы кибератак. При этом руководителей сильнее беспокоит то, как сотрудники применяют ИИ, чем защита самих ИИ-моделей от внешних атак.
Основной риск связан с так называемым «теневым ИИ» – использованием публичных сервисов без согласования с ИТ-службой и подразделением информационной безопасности. В запросы к таким системам могут попадать корпоративные документы, персональные данные и сведения, составляющие коммерческую тайну. Компания при этом не всегда знает, какие нейросети используют сотрудники и сохраняются ли введенные данные на стороне поставщика.
Для контроля предлагается создать реестр разрешенных ИИ-моделей, журналировать запросы и ответы, а также отслеживать передачу чувствительной информации. Системы предотвращения утечек данных (DLP) можно настраивать на обнаружение попыток загрузить корпоративные сведения в публичные сервисы. Для конфиденциальных данных компании могут использовать закрытые модели.
Также рекомендуется учитывать все используемые ИИ-сервисы и фиксировать взаимодействие с ними. При разработке внутренних правил компании могут опираться на стандарт управления ИИ ISO/IEC 42001, рамочную модель управления рисками ИИ NIST AI RMF и перечень уязвимостей приложений на базе больших языковых моделей OWASP Top 10 for LLM Apps.
Опрос отражает обеспокоенность руководителей, но не позволяет оценить число фактических утечек: открытой статистики по Казахстану пока нет. Поэтому компаниям важно не ждать появления подтвержденных инцидентов, а заранее учитывать ИИ-сервисы в общей системе контроля внешних приложений и определять правила передачи данных.
