تصميم بنية الهوية للمؤسسات ذات المستوى العالي من الضمان

كل عامل يمثل هوية. ومعظمها غير خاضع لأي رقابة.

تتدفق العناصر التفاعلية من كل اتجاه في آن واحد. يقوم المطورون بتثبيت مساعدات سطح المكتب وبيئات التطوير المتكاملة (IDE). وتقوم فرق الأعمال بإنشاء «مساعدين» على المنصات السحابية. ويقوم الموردون بدمج العناصر التفاعلية في البرامج التي تستخدمها بالفعل. ومعظمها يمتلك بيانات اعتماد ويصل إلى أنظمة التسجيل. وقليل منها مسجل في قوائم الجرد. وأقل من ذلك يمتلك مالكًا محددًا. ولا يقدم أي منها تقريبًا الأدلة التي قد يقبلها المراجع.

يمكن لبعض المؤسسات أن تتحمل أخطاء الذكاء الاصطناعي أو أن تعالج المشكلات في بيئة الإنتاج. أما المؤسسات الخاضعة للرقابة فلا يمكنها ذلك. فعندما يقوم أحد الموظفين بإصدار دفعة، أو يقرأ سجلاً لم يكن بحاجة إليه، أو يغير استحقاقاً دون إذن، فإن ذلك يُعد حدثاً يجب الإبلاغ عنه. وتكون المؤسسة هي المسؤولة عن ذلك، وليس مورد النموذج.

دليلان. معيار واحد.

تتألف الورقة من نسختين، كُتبتا للمجموعتين اللتين يتعين عليهما التوصل إلى حل صحيح معًا.

دليل القيادة هذا موجه إلى المديرين التنفيذيين ومجالس الإدارة. ويتناول المجالات التي يخلق فيها الوكلاء القيمة، والتحديات الخمسة التي يجب موازنتها مع تلك القيمة، وسلم الاستقلالية، والعناصر الثمانية التي تميز المؤسسات التي تستخدم الوكلاء بأمان عن تلك التي لا تفعل ذلك، بالإضافة إلى ثمانية أسئلة يجب أن يكون كل مجلس إدارة قادرًا على الإجابة عليها.

هذه البنية موجهة إلى مديري أمن المعلومات (CISO) وقادة إدارة الهوية ومهندسي الأمن. وهي تحدد نموذجًا تشغيليًّا مكونًا من ستة أجزاء، وبنية مرجعية تضع بوابة بين كل وكيل وكل أداة، بالإضافة إلى الأدلة اللازمة لإعادة بناء مسار إجراء وكيل واحد بعد مرور أشهر على حدوثه.

ما ستتعلمه

• لماذا يُعد نشر الوكلاء قرارًا يتعلق بالحوكمة وليس عملية شراء تقنية، وكيف تمنح البرامج الحالية الخاصة بمخاطر النماذج والهوية الصناعات الخاضعة للرقابة ميزة تنافسية.
• كيفية توسيع نطاق استقلالية الوكيل على مراحل، مع وضع الضوابط والأدلة المطلوبة قبل كل خطوة تصاعدية.
• لماذا تعجز ضوابط حسابات الخدمة عن التعامل مع الوكلاء الذين يربطون عشرات استدعاءات الأدوات في ثوانٍ معدودة، ويخفقون بشكل معقول بدلاً من أن يلفتوا الانتباه بصخب؟.
• ست ممارسات تنتج كل منها أدلة: سجل الوكلاء الذي يضم أسماء المالكين، وإمكانية التتبع، وإمكانية التدقيق، ومعالجة البيانات ذات السيادة، وتوفير الموارد بشكل مقيد، ومراقبة الانحراف.
• كيفية الحفاظ على البوابة والسياسة وسجل التدقيق داخل نطاق شبكتك الخاصة عندما تقتضي ذلك قواعد السيادة.
• خطة مدتها 30 و90 و180 يومًا لإجراء جرد للعوامل، ووضع حاجز في المسار، وجعل الحوكمة ممارسة روتينية.

تم تصميمه بناءً على السؤال الأول الذي يطرحه الممتحنون

يطرح كل قطاع خاضع للتنظيم نسخة من السؤال نفسه عقب وقوع حادث ما. وتحدد هذه الورقة المخاطر والالتزامات الخاصة بكل قطاع.

• الخدمات المالية: ما هي الجهة التي أصدرت هذا الدفع، ومن الذي أذن به؟
• الرعاية الصحية: ما هي السجلات التي اطلع عليها الموظف، وهل كان هذا الاطلاع ضروريًا لأداء المهمة؟
• الطاقة والمرافق العامة: هل يمكن لهذا الوكيل أن يصل إلى نظام تشغيلي، ومن يستطيع إيقافه؟
• الحوكمة: أين ذهبت البيانات، وهل خرجت من نطاق الولاية القضائية؟

كل مسألة من هذه المسائل تتعلق بالهوية. فالمنظمات التي تستند في إجاباتها إلى السجلات، بدلاً من المقابلات، تحافظ على ترخيصها وسمعتها وثقة الجهة الرقابية بها.

الاستقلالية هي سلم، وليست مفتاحًا

لا تثبت نتائج الاختبارات القياسية الأداء الموثوق به في عملك، باستخدام بياناتك. تحدد الورقة البحثية ثلاث مستويات. في المستوى الأول، يقدم الوكيل التوصيات ويقوم شخص ما بتنفيذ كل إجراء. في المرحلة الثانية، لا يتصرف الوكيل إلا في الحالات التي يمكن فيها التراجع عن الإجراءات، ويتم إحالة القرارات ذات العواقب إلى شخص حقيقي تمت المصادقة على هويته. أما في المرحلة الثالثة، فيقوم الوكيل بإنجاز المهام المحددة من البداية إلى النهاية، ضمن حدود مالية ونطاق عمل لا يمكنه تجاوزها. كل ترقية هي قرار خاضع للرقابة، يتم اتخاذه بناءً على أدلة مستمدة من بيئتك الخاصة.

ثمانية أسئلة موجهة إلى مجلس الإدارة

إن مجلس الإدارة الذي يحصل على إجابة موثقة لكل سؤال هو الذي يتحكم في استخدام الذكاء الاصطناعي. أما مجلس الإدارة الذي يكتفي بعرض تقديمي، فلا يفعل ذلك. وفيما يلي ثلاثة من الأسئلة الثمانية التي ستجدها في الورقة البحثية:

• كم عدد وكلاء الذكاء الاصطناعي الذين يعملون في مؤسستنا حاليًا، ومن المسؤول عن كل واحد منهم؟
• بالنسبة للإجراءات المترتبة، من الذي يوافق عليها، وكيف يتم التحقق من هوية هذا الشخص؟
• إذا طلبت منا هيئة رقابية إعادة بناء إجراء واحد اتخذه أحد الوكلاء خلال الربع الماضي، فهل يمكننا القيام بذلك بالاعتماد على السجلات وحدها؟

كيف يطبق «RSA Agent ID» المبدأ النظري على أرض الواقع

تختتم كلتا النسختين بعملية ربط كل توصية بمعرّف وكيل RSA. حيث تقوم «Discover» بإنشاء سجل الوكلاء، وتعيين المالكين، وقياس نطاق التأثير. أما «Secure» فتضع بوابة MCP، وسياسة، وموافقة بشرية معتمدة في مسار كل مكالمة، سواء كانت مُدارة من قِبل RSA أو مُستضافة ذاتيًا داخل نطاق شبكتك. يسجل سجل التدقيق كل قرار، بما في ذلك حالات الرفض، كحدث رقابي مرتبط بالأطر التي يستخدمها المراجع لديك بالفعل.

احصل على التقرير الفني

الهوية المؤسسية للقطاعات الخاضعة للتنظيم، بما في ذلك دليل القيادة والهيكل التنظيمي. موجهة إلى المديرين التنفيذيين وأعضاء مجلس الإدارة ومسؤولي أمن المعلومات (CISO) وقادة قسم الهوية وفرق إدارة المخاطر والامتثال.