CONTENTS
- 1. Keamanan AI | AI generatif, jalur kebocoran data dan teknologi yang paling umum tetapi tidak terlihat
- - Perubahan metode kebocoran
- 2. Keamanan AI | Ancaman yang beralih dari masalah teknologi menjadi risiko manajemen
- - Kebocoran informasi rahasia berbasis masukan
- - Injeksi prompt dan serangan adversarial
- - Ketidakjelasan struktur pertanggungjawaban
- 3. Keamanan AI | Inti tata kelola data AI yang harus dibangun perusahaan
- - Struktur yang mencegah data keluar
- - Pengendalian teknis yang memblokir informasi pada tahap masukan
- - Pengelolaan berdasarkan siklus hidup AI
- - Penetapan pihak yang bertanggung jawab secara jelas
- 4. Keamanan AI | Era ketika tingkat keamanan menentukan kepercayaan terhadap perusahaan dan penilaian investasi
- - AI bukan sesuatu yang harus dihalangi, melainkan aset manajemen yang harus dikelola
1. Keamanan AI | AI generatif, jalur kebocoran data dan teknologi yang paling umum tetapi tidak terlihat
Latar belakang meningkatnya arti penting keamanan AI sudah jelas.
AI generatif telah menjadi "alat produktivitas sehari-hari" yang paling sering digunakan di tempat kerja, tetapi pada saat yang sama dengan cepat menjadi jalur kebocoran data dan teknologi yang paling sulit dikendalikan oleh perusahaan.
Masalahnya adalah masih banyak perusahaan yang menganggap AI sekadar sebagai alat kerja.
Namun, pada kenyataannya AI berfungsi sebagai infrastruktur kebocoran baru setelah surel, USB, dan cakram keras eksternal. Karena lebih sulit dideteksi dan dikendalikan dibandingkan metode kebocoran yang telah ada, AI secara signifikan meningkatkan kesulitan penanganan bagi perusahaan.
Berdasarkan analisis terkini terhadap lingkungan perusahaan di luar negeri, sebagian besar karyawan diketahui telah menggunakan perangkat AI generatif.
Masalahnya, banyak di antara mereka menggunakan AI melalui akun pribadi yang berada di luar lingkup pengelolaan dan pengendalian perusahaan.
Perubahan metode kebocoran
Kebocoran teknologi juga terjadi dengan cara yang sulit dideteksi oleh sistem keamanan yang ada, dan hal ini semakin menyulitkan penanganannya.
Sistem keamanan yang ada dirancang dengan berfokus pada pengunggahan atau penyimpanan berkas. Namun, sebagian besar kebocoran data dan teknologi sebenarnya terjadi bukan melalui berkas, melainkan melalui proses salin dan tempel, yaitu ketika informasi dimasukkan ke dalam prompt.
∙ Sebagian besar penggunaan tersebut dilakukan melalui akun pribadi
∙ Kebocoran terjadi melalui "saluran tanpa berkas" berupa papan klip
∙ Kebocoran tersebut bahkan sulit dideteksi melalui DLP dan log keamanan yang ada
Akibatnya, perusahaan bukan hanya tidak mampu mencegah kebocoran, tetapi juga berada dalam keadaan tidak menyadari bahwa kebocoran telah terjadi.
Dengan demikian, dalam proses penggunaan AI, alur kerja dengan visibilitas dan pengendalian yang melemah menjadi faktor risiko yang lebih besar daripada teknologinya sendiri.
Dalam lingkungan perusahaan di luar negeri, bahkan telah dilaporkan kasus ketika struktur algoritma inti terungkap kepada pihak luar hanya melalui pemasukan prompt AI dalam proses peninjauan kode pengembangan atau penataan dokumentasi teknis.
2. Keamanan AI | Ancaman yang beralih dari masalah teknologi menjadi risiko manajemen
Persoalan keamanan AI telah memasuki tahap ketika kebocoran data dan teknologi akibat AI generatif harus dipandang bukan lagi sebagai insiden, melainkan sebagai risiko manajemen yang bersifat struktural.
Jenis ancaman utama adalah sebagai berikut.
Kebocoran informasi rahasia berbasis masukan
Ketika karyawan atau jajaran manajemen memasukkan informasi rahasia ke dalam prompt, informasi tersebut dapat keluar dari ranah kendali perusahaan.
Bergantung pada cara layanan AI dioperasikan, kemungkinan bahwa informasi yang dimasukkan akan digunakan sebagai log atau data analisis sulit dikesampingkan sepenuhnya.
Injeksi prompt dan serangan adversarial
Ini merupakan metode serangan yang melalui masukan eksternal mendorong AI mengungkapkan data yang tidak dimaksudkan untuk diungkapkan atau menghindari aturan internal.
Risikonya meningkat terutama dalam pekerjaan otomatis, seperti layanan pelanggan, peringkasan dokumen, dan verifikasi kode.
Hal ini dapat berkembang melampaui insiden keamanan kecil menjadi risiko yang membuat perusahaan menanggung tanggung jawab hukum atau kontraktual yang tidak dimaksudkan dalam proses pengambilan keputusan otomatis.
Ketidakjelasan struktur pertanggungjawaban
Keluaran AI muncul dalam bentuk "produk turunan", sehingga sangat sulit membuktikan kesamaannya dengan teknologi asli, jalur kebocoran, dan pihak yang bertanggung jawab setelah kejadian.
Oleh karena itu, perusahaan dapat menghadapi risiko manajemen berikut.
∙ Dinilai sebagai perusahaan dengan pengelolaan keamanan yang tidak memadai dalam proses investasi dan kerja sama
∙ Risiko pelanggaran regulasi terkait data pribadi dan teknologi industri
∙ Kerentanan struktural yang membuat terulangnya insiden tidak dapat dicegah bahkan setelah insiden terjadi
Keamanan AI kini tidak lagi terbatas pada ranah departemen keamanan informasi atau penanggung jawab tertentu, tetapi telah berkembang menjadi risiko manajemen yang harus dikelola di seluruh perusahaan.
3. Keamanan AI | Inti tata kelola data AI yang harus dibangun perusahaan
Untuk menjaga keamanan AI, beberapa perusahaan memilih untuk melarang penggunaan AI generatif sepenuhnya, tetapi langkah ini sulit menjadi alternatif yang realistis.
Ketika penggunaan AI sepenuhnya dilarang dalam organisasi yang telah merasakan efisiensi dan kecepatannya, penggunaan AI akan beralih dari sistem resmi ke AI bayangan (Shadow AI).
AI bayangan adalah penggunaan akun pribadi atau layanan AI eksternal oleh karyawan dan jajaran manajemen tanpa persetujuan atau pengelolaan perusahaan.
Dalam keadaan ini, pencatatan dan pemantauan data masukan maupun keluaran menjadi tidak mungkin, dan setelah kejadian pun sulit memastikan informasi apa yang diberikan kepada pihak luar serta melalui jalur mana.
Khususnya, ketika data sensitif seperti kode, dokumentasi teknis, dan informasi pelanggan dimasukkan ke dalam prompt tanpa pengendalian khusus, kebijakan keamanan dan sistem pengendalian internal pada praktiknya menjadi tidak efektif.
Akibatnya, pengendalian menghilang dan timbul persoalan tambahan berupa risiko yang justru semakin besar.
Oleh karena itu, yang diperlukan bukanlah pelarangan, melainkan struktur penggunaan yang dapat dikendalikan, yaitu tata kelola data.
Apa yang dimaksud dengan tata kelola data?
Dalam lingkungan AI, inti tata kelola data adalah struktur pengendalian terpadu yang mencakup lingkup data masukan dan keluaran AI, persyaratan penggunaannya, serta metode pencatatan dan pemantauan.
Untuk mencegah kebocoran melalui AI, perusahaan harus terlebih dahulu mengidentifikasi apa yang harus dilindungi.
Pengendalian yang diterapkan tanpa mendefinisikan lingkup teknologi dan data inti pasti hanya bersifat formalitas.
Jika prasyarat ini tidak terpenuhi, sistem atau kebijakan keamanan apa pun akan sulit diterapkan secara efektif.
Struktur yang mencegah data keluar
Jika AI generatif terbuka digunakan secara langsung, informasi yang dimasukkan oleh karyawan dan jajaran manajemen akan dikirimkan bukan ke sistem internal perusahaan, melainkan ke server layanan eksternal.
Dalam proses ini, perusahaan sulit memeriksa atau mengendalikan secara langsung lokasi penyimpanan data tersebut, cara pemrosesannya, dan apakah data itu digunakan kembali untuk pelatihan.
Sebaliknya, dalam lingkungan lokal ketika perusahaan memiliki server sendiri dan mengoperasikan AI hanya di dalam sistem internal, atau dalam struktur AI Privat berbasis VPC khusus yang mengoperasikan AI di ruang independen yang dipisahkan khusus untuk perusahaan meskipun menggunakan komputasi awan eksternal, perusahaan dapat mengelola secara langsung lingkup penyimpanan, pemrosesan, dan akses data.
Karena memungkinkan pengendalian agar data tidak bocor ke luar, struktur semacam ini kini telah menjadi prasyarat mendasar, bukan sekadar pilihan.
Pengendalian teknis yang memblokir informasi pada tahap masukan
Kebijakan atau pernyataan komitmen saja memiliki keterbatasan.
Untuk mencegah kesalahan, diperlukan mekanisme penghambat fisik yang melampaui sekadar "disiplin".
∙ Penyamaran atau pembatasan pemasukan data pribadi dan teknologi inti
∙ Pengendalian terhadap tindakan salin dan tempel itu sendiri
Pengelolaan berdasarkan siklus hidup AI
Pengendalian harus berfungsi pada seluruh tahap, mulai dari pengumpulan data, pelatihan, inferensi, hingga pemusnahan.
∙ Struktur penghapusan pembelajaran (Unlearning) yang memungkinkan penghapusan data tertentu jika diperlukan
∙ Penetapan hak akses berbeda berdasarkan peran dan pencabutannya secara otomatis
Penetapan pihak yang bertanggung jawab secara jelas
Kebocoran teknologi dan data akibat AI generatif kini merupakan bidang yang memerlukan penetapan tanggung jawab secara jelas.
Perusahaan perlu menetapkan pihak yang bertanggung jawab atas kebijakan penggunaan AI, pengendalian akses, dan penanganan insiden, serta memasukkan aspek AI ke dalam sistem keamanan yang ada, seperti ISMS-P.
Hal ini juga berkaitan langsung dengan struktur pembelaan hukum untuk membuktikan bahwa perusahaan telah memenuhi tanggung jawab pengelolaannya ketika terjadi insiden.
4. Keamanan AI | Era ketika tingkat keamanan menentukan kepercayaan terhadap perusahaan dan penilaian investasi
Sebagaimana kebocoran teknologi telah meluas menjadi risiko bagi seluruh industri, tingkat keamanan AI kini mulai berfungsi sebagai unsur penilaian perusahaan yang melampaui insiden individual.
▶ Pemeriksaan tingkat pengendalian penggunaan AI dalam uji tuntas investasi
▶ Penguatan persyaratan keamanan dalam proses kerja sama internasional dan pemindahan data
▶ Kegagalan mematuhi regulasi dapat berkembang menjadi persoalan tanggung jawab manajemen
Cara menetapkan dan mengelola lingkup penggunaan AI serta pihak yang bertanggung jawab merupakan hal penting.
AI bukan sesuatu yang harus dihalangi, melainkan aset manajemen yang harus dikelola
AI merupakan alat untuk meningkatkan daya saing perusahaan, tetapi sekaligus dapat menjadi jalur kebocoran informasi tercepat jika tidak dikendalikan.
Oleh karena itu, penting untuk meninjau struktur pengambilan keputusan dan sistem pertanggungjawaban organisasi secara bersamaan.
Untuk menanggapi perubahan ini, Firma Hukum Daeryun telah membentuk Grup Inteligensi AI dan Data serta membangun sistem analisis perkara dan penanganan risiko berbasis data yang memadukan ▲kepatuhan AI ▲strategi AI menurut sektor industri ▲keamanan siber dan penanganan krisis ▲forensik digital&e-discovery.
Jika Anda perlu meninjau struktur penggunaan AI, mendiagnosis risiko kebocoran data, atau merancang tata kelola AI internal, pertimbangkan untuk meninjau strategi penanganan melalui diagnosis terpadu dari sudut pandang solusi keamanan dan risiko manajemen.
Berita Terkait
