‏راهنمای SANS برای حاکمیت امنیت هوش مصنوعی

SANS یه راهنمای رایگان به اسم AI Govern Field Guide منتشر کرده که یه بخش از مدل بلوغ امنیت هوش مصنوعی‌ش (SANS AI Security Maturity Model) رو باز می‌کنه. این مدل سه ستون داره: Protect، Utilize و Govern. نویسنده‌ش Chris Cochran هست، Field CISO و معاون امنیت هوش مصنوعی SANS. نکته اصلی اینه که امتیاز کلی بلوغ سازمان نمی‌تونه بیشتر از یه مرحله بالاتر از امتیاز Govern باشه. یعنی اگه governance‌ت تو مرحله ۲ مونده باشه، هرچقدر هم بقیه کارها قوی باشه، کل برنامه تو مرحله ۳ گیر می‌کنه.

به گفته SANS، بیشتر سازمان‌ها وقتی هوش مصنوعی رو خطرناک می‌بینن، اول سراغ ممنوع کردنش می‌رن. ولی این کار جلوی استفاده رو نمی‌گیره، فقط اونو می‌بره روی حساب‌های شخصی و دستگاه‌هایی که هیچ کنترلی روشون نیست. برای همین راهنما فرق دو مفهوم رو روشن می‌کنه. BYOAI (یعنی کارمندا ابزار هوش مصنوعی شخصی خودشون رو سر کار میارن) قبل از اینکه سیاستی وجود داشته باشه هم هست. Shadow AI فقط وقتی معنی داره که یه سیاست نوشته شده باشه و کسی اونو زیر پا بذاره.

مدل پنج قابلیت Govern رو امتیاز می‌ده: سیاست هوش مصنوعی، مدیریت ریسک، نظارت و پاسخگویی، دید روی Shadow AI و BYOAI، و آمادگی برای قوانین. راهنما برای هر کدوم یه کار مشخص پیشنهاد می‌ده: ساختن یه شورای governance با اعضایی از تیم‌های مختلف، جایگزین کردن سیاست «آره یا نه» با یه سیاست چندسطحی، اضافه کردن ریسک‌های هوش مصنوعی به ثبت ریسک سازمان، تبدیل کشف یه‌باره ابزارها به پایش مداوم، و ساختن فهرست دارایی‌های هوش مصنوعی که هر مورد یه مالک مشخص با اختیار متوقف کردنش داشته باشه.

یه قانون مهم دیگه اینه که امتیاز بر اساس مدرک داده می‌شه، نه ادعا. قابلیتی که مستند نشده باشه حداکثر امتیاز ۲ از ۵ می‌گیره، حتی اگه تو عمل درست اجرا بشه. برای همین SANS می‌گه یه تیم کوچیک با یه مالک مشخص و فرایند مستند می‌تونه از یه سازمان بزرگ که کارهاش مستند نیست امتیاز بهتری بگیره.

تو این صفحه چند آمار هم اومده: کمبود مهارت امنیت هوش مصنوعی با ۶۰ درصد حالا از کمبود نیرو با ۴۰ درصد جلو زده و بزرگ‌ترین چالش این حوزه‌ست. حقوق نقش‌هایی مثل AI GRC Lead هم بین ۱۶۰ تا ۲۴۰ هزار دلار گزارش شده. فشار قانونی هم داره بیشتر می‌شه و چارچوب‌هایی مثل EU AI Act، NIST AI RMF، ISO 42001 و OWASP AI Exchange مشخص می‌کنن governance قابل حسابرسی چه شکلی باید باشه.

نکات کلیدی:

• امتیاز کلی بلوغ حداکثر یه مرحله از امتیاز Govern بالاتر می‌ره.
• پنج قابلیت امتیازدار: سیاست، مدیریت ریسک، نظارت و پاسخگویی، دید روی Shadow AI و BYOAI، آمادگی قانونی.
• قابلیت بدون مستندات حداکثر امتیاز ۲ از ۵ می‌گیره.
• Shadow AI فقط بعد از نوشته شدن یه سیاست به وجود میاد؛ BYOAI قبلش هم هست.
• کمبود مهارت (۶۰٪) حالا از کمبود نیرو (۴۰٪) چالش بزرگ‌تری حساب می‌شه.
• راهنما رایگان‌ه و بعد از پر کردن یه فرم کوتاه دانلود می‌شه.