Cẩm nang của Microsoft về Bảo mật cho doanh nghiệp ứng dụng AI: Quản trị và Bảo mật dữ liệu

1. Phân loại: Thiết lập khả năng quan sát và quyền sở hữu

Hành trình quản trị bắt đầu từ việc hiểu rõ những tài sản dữ liệu bạn đang sở hữu. Các tổ chức cần xây dựng khả năng quan sát toàn diện trên dữ liệu có cấu trúc, phi cấu trúc và dữ liệu do AI tạo ra – bao gồm cả khả năng theo dõi các trợ lý ảo AI mới xuất hiện. Việc phân loại dữ liệu đòi hỏi:

• Một sơ đồ rõ ràng, trực quan gắn với mức độ rủi ro kinh doanh
• Chủ sở hữu và người quản trị dữ liệu được xác định trong từng đơn vị kinh doanh
• Kiểm kê liên tục, được hỗ trợ bởi các nỗ lực khám phá dữ liệu do CIO dẫn dắt

Phân loại dữ liệu đặt nền tảng cho toàn bộ các bước tiếp theo.

2. Gắn nhãn: Biến quản trị thành hành động

Nếu phân loại xác định mục đích, thì gắn nhãn chính là cách thực thi mục đích đó. Các nhãn độ nhạy kết nối chính sách với việc sử dụng dữ liệu trong thực tế, cung cấp thông tin cho hệ thống bảo mật, kiểm soát truy cập và cả cách nhân viên tương tác với kết quả từ trợ lý ảo AI.

Các yếu tố then chốt bao gồm:

• Triển khai công nghệ hỗ trợ thực thi gắn nhãn, đảm bảo các nhãn có thể tự động kích hoạt chính sách bảo mật và ngăn ngừa mất dữ liệu (DLP)
• Chiến lược gắn nhãn dựa trên đánh giá rủi ro và tác động kinh doanh
• Đào tạo nhân viên để củng cố về thời điểm và cách áp dụng nhãn

3. Bảo vệ: Vận hành hóa bảo mật

Bảo vệ là giai đoạn chuyển các chính sách thành cơ chế bảo vệ thực tế. Điều này bao gồm:

• Thực thi chính sách thông qua kiểm soát truy cập như: Kiểm soát truy cập theo Vai trò (RBAC), Truy cập đúng lúc (JIT) và Ngăn mất dữ liệu (DLP)
• Mã hóa dữ liệu khi lưu trữ và khi truyền tải
• Giám sát tự động để phát hiện chia sẻ dữ liệu quá mức hoặc vi phạm chính sách
• Kế hoạch ứng phó sự cố có cấu trúc, được tuân thủ các quy định về quyền riêng tư

Những kiểm soát này đảm bảo dữ liệu nhạy cảm được bảo vệ, ngay cả khi các công cụ AI truy cập và xử lý dữ liệu ở quy mô lớn.

4. Quản lý: Quản trị toàn bộ vòng đời dữ liệu

Quản trị là một quá trình liên tục. Các tổ chức cần duy trì:

• Chính sách lưu trữ và xóa dữ liệu phù hợp với nguyên tắc tối thiểu hóa
• Giám sát liên tục để phát hiện sai lệch dữ liệu, gắn nhãn sai và các bất thường trong truy cập
• Tự động tái xác nhận quyền sở hữu dữ liệu
• Khả năng quan sát và quản trị các trợ lý ảo AI trên các nhóm CNTT, phát triển và bảo mật

Quản lý vòng đời dữ liệu giúp giảm bề mặt tấn công và đảm bảo sự đồng bộ lâu dài giữa hoạt động sử dụng dữ liệu và giá trị kinh doanh.