如何看待新興技術的炒作和風險
責編：gltian ｜2023-09-21 15:30:15隨著組織不斷加快數字化工作，那些喜歡嘗試新鮮事物的人可能會因為好奇或炒作而急于進入下一個大事件。近年來，人工智能（AI）、云服務、區塊鏈和物聯網（IoT）等新興技術應用激增，吸引了大量組織采用這些技術。其中一個因素可能是由于全球人口中更適應數字技術和采用新技術的數字原生代數量的增加。
從組織的角度來看，管理與新興技術相關的安全和風險可能具有挑戰性。組織為了保持領先，在沒有進行詳細和平衡的風險和收益評估的情況下采用這些新興技術，可能會感到壓力。但是，為了避免被潛在的威脅所蒙蔽，必須了解和考慮使用這些技術所涉及的風險。
新興技術的炒作
最新流行的新興技術之一是生成式人工智能。麥肯錫將生成人工智能描述為“可用于創建新內容的算法（如ChatGPT），包括音頻、代碼、圖像、文本、模擬和視頻。該領域的最新突破有可能徹底改變我們的內容創建方式。”生成式人工智能在全球引起轟動可能是因為ChatGPT于2022年11月推出供公眾使用。在推出兩個月后，它的月活躍用戶達到了1億。ChatGPT的推出創造了平臺增長最快的記錄。由于采用率如此之快，組織必須考慮到ChatGPT或其他生成式人工智能服務將被其員工以某種方式使用。
新興技術為用戶提供了獨特的好處。例如，生成式人工智能服務使用戶能夠通過根據提示生成內容而無需人類專家或專業知識的參與的方式提高生產力。用戶可以將各種生成式人工智能服務用于不同的目的，如創作藝術品、編寫計算機代碼、解釋復雜主題或了解新領域。
然而，拋開炒作不談，使用新興技術并非沒有風險。管理層應謹慎對待對組織潛在負面影響和風險。以OpenAI的ChatGPT為例，它的數據遭到泄露，在用戶注意到他們可以看到其他用戶聊天歷史記錄的標題后，該服務關閉了10個小時。此外，1.2%的ChatGPT Plus用戶的個人數據也可能遭到泄露。
從監管和治理的角度看，意大利成為第一個因隱私問題禁止ChatGPT的國家，中國和美國正在研究對人工智能的監管。此外，技術領導者呼吁暫停生成式人工智能的開發和實施，理由是人工智能的快速發展和缺乏強大的人工智能治理是重大問題。
盡管許多組織信奉“小處著手，大處著眼，快速行動”的口號，但重要的是要在這一點與認真考慮所涉及的風險之間取得平衡。組織希望保持競爭力并跟上最新趨勢是可以理解的，但謹慎對待新興技術也很重要。如果沒有適當的控制措施，組織在使用這些技術時可能會無意中超出其風險偏好。
將新興技術的風險降至最低
關鍵是在利用技術的收益和管理風險之間找到平衡。實現這一平衡需要仔細評估每項技術的風險和收益，并實施適當的控制措施減輕風險。各組織還應進行持續監測，并隨著新興技術的發展調整其風險管理方法。
組織為了在采用新興技術的同時最大限度地降低風險，可以考慮以下4個關鍵因素：
- 人員——如前所述，大多數組織可能無法阻止員工使用公開的新興技術服務。工作人員可能會想方設法繞過技術控制措施，使用個人設備訪問這些服務，從而導致數據泄露等潛在的負面后果。因此，各組織應就這些技術對工作人員進行教育，提高意識，發展安全文化并傳達期望。組織還可以在工作人員使用這些技術時提供明確的指導作為防護欄。
- 數據——組織應審查并了解其數據政策，確定新興技術服務方面的任何差距或危害。這將使組織能夠評估適合上傳到這些服務或與這些服務一起使用的數據類型。此外，各組織應實施技術控制措施，例如監測通過互聯網瀏覽器和互聯網流量的數據泄露，及時發現和防止潛在的數據泄露或違規行為。
- 監管——在技術領域，特別是新興技術領域，監管并不總是積極主動的，可能導致覆蓋范圍不足。然而，當技術成熟，風險變得明顯時，監管往往會迎頭趕上。因此，組織應經常審查監管環境，避免違反任何監管要求，因為違規可能會導致嚴重的聲譽或金錢損失。
- 敵對——盡管技術本身可以視作中立的，但可能會被敵對的行為者濫用。因此，各組織需要警惕新興技術的敵對使用，將其作為威脅環境評估的一部分，并了解如果采取此類行動，安全態勢將如何受到影響。此外，組織應針對這些潛在的敵對活動定期審查當前的安全控制措施，確保這些措施保持有效。在生成式人工智能的情況下，這些安全控制措施可以包括反釣魚保護和內部威脅緩解。
結論
下一個新興技術總是指日可待。組織必須適應接受這些技術，并管理采用這些技術帶來的不確定性，以避免陷入炒作陷阱。這對首席信息安全官（CISO）等安全和風險專業人員尤其重要，因為他們通常負責評估可能影響組織的風險。通過采取風險知情的方法，安全和風險專業人員可以在前進的道路上平衡新興技術的潛在收益及其可能帶來的風險。
來源：ISACA