CISA og NCSC leder arbeidet med å heve AI-sikkerhetsstandardene

CISA og NCSC leder arbeidet med å heve AI-sikkerhetsstandardene

Tidsstempel: 27. november 2023, kl
CISA og NCSC leder arbeidet med å heve AI-sikkerhetsstandardene PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

Storbritannias National Cyber ​​Security Agency (NCSC) og USAs Cybersecurity and Infrastructure Security Agency (CISA) har publisert offisiell veiledning for sikring av AI-applikasjoner – et dokument byråene håper vil sikre at sikkerhet er iboende i AIs utvikling.

Det britiske spionbyrået sier det veiledningsdokument er den første i sitt slag og støttes av 17 andre land.

Kjører publikasjon er den langvarige frykten for at sikkerhet ville være en ettertanke ettersom leverandører av AI-systemer jobber for å holde tritt med tempoet i AI-utviklingen.

Lindy Cameron, administrerende direktør ved NCSC, sa tidligere i år at teknologiindustrien har en historie med å la sikkerhet være et sekundært hensyn når tempoet i teknologisk utvikling er høyt.

I dag trakk retningslinjene for sikker AI-systemutvikling igjen oppmerksomheten til dette problemet, og la til at AI også alltid vil bli utsatt for nye sårbarheter.

"Vi vet at AI utvikler seg i et fenomenalt tempo, og det er behov for samordnet internasjonal handling, på tvers av myndigheter og industri, for å følge med," sa Cameron.

"Disse retningslinjene markerer et viktig skritt i å forme en virkelig global, felles forståelse av cyberrisikoen og avbøtende strategier rundt AI for å sikre at sikkerhet ikke er et etterskrift til utvikling, men et kjernekrav hele veien. 

"Jeg er stolt over at NCSC leder avgjørende innsats for å heve AI-cybersikkerhetsgrensen: et sikrere globalt cyberrom vil hjelpe oss alle til trygt og trygt å realisere denne teknologiens fantastiske muligheter."

Retningslinjene vedtar en sikker-for-design tilnærming, ideelt for å hjelpe AI-utviklere med å ta de mest cybersikre avgjørelsene i alle stadier av utviklingsprosessen. De vil gjelde for applikasjoner bygget fra grunnen av og for de som er bygget på toppen av eksisterende ressurser.

Den fullstendige listen over land som støtter veiledningen, sammen med deres respektive cybersikkerhetsbyråer, er nedenfor:

  • Australia - Australian Signals Directorate's Australian Cyber ​​Security Center (ACSC) 
  • Canada – Canadian Center for Cyber ​​Security (CCCS) 
  • Chile – Chiles regjering CSIRT
  • Tsjekkia - Tsjekkias nasjonale cyber- og informasjonssikkerhetsbyrå (NUKIB)
  • Estland – Estlands informasjonssystemmyndighet (RIA) og Estlands nasjonale cybersikkerhetssenter (NCSC-EE)
  • Frankrike – det franske byrået for cybersikkerhet (ANSSI)
  • Tyskland – Tysklands føderale kontor for informasjonssikkerhet (BSI)
  • Israel – Israelsk nasjonale cyberdirektorat (INCD)
  • Italia – det italienske nasjonale byrået for cybersikkerhet (ACN)
  • Japan – Japans nasjonale senter for hendelsesberedskap og strategi for cybersikkerhet (NISC; Japans sekretariat for vitenskap, teknologi og innovasjonspolitikk, kabinettkontoret
  • New Zealand – New Zealand National Cyber ​​Security Center
  • Nigeria - Nigerias nasjonale informasjonsteknologiutviklingsbyrå (NITDA)
  • Norge – Norsk nasjonalt cybersikkerhetssenter (NCSC-NO)
  • Polen - Polens NASK National Research Institute (NASK)
  • Republikken Korea – Republikken Koreas nasjonale etterretningstjeneste (NIS)
  • Singapore – Cyber ​​Security Agency of Singapore (CSA)
  • Storbritannia av Storbritannia og Nord-Irland – National Cyber ​​Security Center (NCSC)
  • USA – Cybersecurity and Infrastructure Agency (CISA); National Security Agency (NSA; Federal Bureau of Investigations (FBI)

Retningslinjene er delt inn i fire hovedfokusområder, hver med spesifikke forslag for å forbedre hvert trinn i AI-utviklingssyklusen.

1. Sikker design

Som tittelen tilsier sier retningslinjene at sikkerhet bør vurderes allerede før utbygging starter. Det første trinnet er å øke bevisstheten blant ansatte om AI-sikkerhetsrisikoer og deres avbøtende tiltak. 

Utviklere bør deretter modellere truslene mot systemet deres, vurdere å fremtidssikre disse også, som å ta høyde for det større antallet sikkerhetstrusler som vil komme etter hvert som teknologien tiltrekker seg flere brukere, og fremtidig teknologisk utvikling som automatiserte angrep.

Sikkerhetsbeslutninger bør også tas med hver funksjonalitetsbeslutning. Hvis en utvikler i designfasen er klar over at AI-komponenter vil utløse visse handlinger, må det stilles spørsmål om hvordan man best kan sikre denne prosessen. For eksempel, hvis AI skal modifisere filer, bør de nødvendige sikkerhetstiltakene legges til for å begrense denne muligheten bare til applikasjonens spesifikke behov.

2. Sikker utvikling

Sikring av utviklingsstadiet inkluderer veiledning om forsyningskjedesikkerhet, vedlikehold av robust dokumentasjon, beskyttelse av eiendeler og håndtering av teknisk gjeld.

Sikkerhet i forsyningskjeden har vært et spesielt fokuspunkt for forsvarere de siste årene, med en bølge av høyprofilerte angrep som har ført til et stort antall ofre. 

Det er viktig å sikre at leverandørene som brukes av AI-utviklere er verifisert og fungerer i henhold til høye sikkerhetsstandarder, og det samme er å ha planer på plass for når oppdragskritiske systemer opplever problemer.

3. Sikker distribusjon

Sikker distribusjon innebærer å beskytte infrastrukturen som brukes til å støtte et AI-system, inkludert tilgangskontroller for APIer, modeller og data. Hvis en sikkerhetshendelse skulle manifestere seg, bør utviklere også ha respons- og utbedringsplaner på plass som antar at problemer en dag vil dukke opp.

Modellens funksjonalitet og dataene den er trent på bør beskyttes mot angrep kontinuerlig, og de bør frigis på en ansvarlig måte, først når de har vært gjenstand for grundige sikkerhetsvurderinger. 

AI-systemer skal også gjøre det enkelt for brukere å være trygge som standard, der det er mulig å gjøre det sikreste alternativet eller konfigurasjonen til standard for alle brukere. Åpenhet om hvordan brukernes data brukes, lagres og får tilgang er også nøkkelen.

4. Sikker drift og vedlikehold

Den siste delen dekker hvordan du sikrer AI-systemer etter at de har blitt distribuert. 

Overvåking er kjernen i mye av dette, enten det er systemets oppførsel for å spore endringer som kan påvirke sikkerheten, eller hva som legges inn i systemet. Å oppfylle kravene til personvern og databeskyttelse vil kreve overvåking og logging inndata for tegn på misbruk. 

Oppdateringer bør også utstedes automatisk som standard, slik at utdaterte eller sårbare versjoner ikke er i bruk. Til slutt, å være en aktiv deltaker i informasjonsdelingsfellesskap kan hjelpe industrien med å bygge en forståelse av AI-sikkerhetstrusler, og gi mer tid for forsvarere til å tenke ut avbøtende tiltak som igjen kan begrense potensielle ondsinnede utnyttelser. ®

Tidstempel:

Mer fra Registeret