Između inovacije i rizika: što kada zaposlenici koriste neodobreni AI?

U eri umjetne inteligencije, gdje zaposlenici sve češće posežu za alatima koji nisu pod kontrolom organizacije, granica između inovacije i rizika postaje sve tanja, a kibernetička sigurnost pitanje poslovnog opstanka. Iako svijest o prijetnjama na razini uprava postoji, ona se teško prelijeva u svakodnevnu operativnu praksu.

O tome koliko su tvrtke u Hrvatskoj i regiji spremne na nove prijetnje, zašto je "Zero Trust" pristup ključan te može li regulativa držati korak s tehnologijom, za Bloomberg Adria TV govorio je Tomislav Vračić, regionalni direktor za tehnologiju u Microsoftu koji obilježava 30 godina poslovanja u Hrvatskoj.

Skrivena prijetnja iz ureda

Jedan od najvećih izazova s kojim se organizacije danas suočavaju jest takozvani shadow IT ili "skrivena tehnologija". Zaposlenici, u želji da si olakšaju posao, često koriste AI alate i agente koji nisu službeno odobreni, čime nesvjesno otvaraju vrata značajnim sigurnosnim rizicima.

"Podaci za globalno tržište, koji su nažalost vrlo slični onima u Hrvatskoj i regiji, pokazuju da 29 posto zaposlenika koristi neodobrene AI agente. Istodobno, manje od pola organizacija ima specifične sigurnosne kontrole", upozorava Vračić. Dodaje kako svijest o problemu postoji na najvišim razinama, no još uvijek nije ušla u pravu operativnu primjenu. "Korisnici su vrlo često nestrpljivi. Čuli su za neki alat i pokušavaju ga primijeniti kako bi si olakšali posao, što sa sobom donosi jako puno rizika."

Ključno je, stoga, raditi na podizanju svijesti na svim razinama organizacije, počevši od jasne procjene rizika i edukacije zaposlenika o posljedicama nekontroliranog korištenja umjetne inteligencije.

'Zero Trust': Arhitektura koja ne prašta

Kao odgovor na sve sofisticiranije prijetnje, Vračić zagovara "Zero Trust" pristup. To je sigurnosna arhitektura koja se temelji na tri ključna principa: eksplicitno provjeri, koristi najmanje privilegije pristupa i pretpostavi da je sustav probijen (assume breach). Umjesto da se vjeruje bilo čemu unutar korporativne mreže, "Zero Trust" model zahtijeva provjeru svakog zahtjeva za pristupom, bez obzira na to odakle dolazi. Taj model ne obuhvaća samo zaštitu identiteta, već i podataka, aplikacija, uređaja, infrastrukture i mreže, stvarajući cjelovit obrambeni ekosustav. Ipak, njegova primjena u praksi još uvijek kaska.

"Zero Trust nije jedan proizvod koji kupite, već strateški pristup i promjena načina razmišljanja o sigurnosti. Vrlo često organizacije misle da su, ako su kupili jedno rješenje koje štiti određeni segment, implementirali dovoljno. Nažalost, nisu", ističe Vračić. Podaci govore da tek jedna trećina organizacija ima implementiranu takvu sveobuhvatnu arhitekturu, što znači da velika većina i dalje nema strateški pristup zaštiti. "Djelomična rješenja više nisu dovoljna u okruženju gdje napadači koriste sve naprednije alate, a zaposlenici pristupaju podacima s različitih lokacija i uređaja. Potrebna je integrirana obrana koja štiti svaku točku sustava."

Može li regulativa pratiti tehnologiju?

Dok se tehnologija razvija eksponencijalnom brzinom, zakonodavni okviri, poput europske NIS2 Direktive, pokušavaju uspostaviti red. Najistaknutiji primjer je NIS2 Direktiva, koja značajno proširuje obuhvat sektora podložnih strožim sigurnosnim pravilima i uvodi rigoroznije nadzorne mjere te zahtjeve za izvještavanje o incidentima. Uz nju, tu su i drugi važni okviri poput Akta o umjetnoj inteligenciji (AI Act), koji postavlja pravila temeljena na razini rizika. No, može li zakonodavstvo doista držati korak?

"Zakonodavno se ne može pratiti razvoj tehnologije, ona uvijek traži način kako se razvijati i kako pokazati određene stvari koje se mogu unaprijediti. Međutim, postojeći zakonodavni okvir koji imamo u EU, a time i u Hrvatskoj, dovoljno je snažan i stabilan da omogući ono primarno, a to je analiza rizika i pristup iz perspektive kontrole rizika," objašnjava Vračić. Kod Europe je specifično, kaže, što se "uvijek pokušava regulirati prije nego, primjerice, u drugim državama, pogotovo u Americi, Japanu ili nekim drugim zemljama. Mi u Europi moramo naći neku zlatnu sredinu."

 

Trenutno zakonodavstvo radi na implementaciji odredbi koje omogućuju daljnje definiranje, što ga čini, vjeruje Vračić, dovoljno fleksibilnim. "Ne možemo predvidjeti koju tehnologiju bismo trebali staviti u zakon, ali možemo definirati način na koji je želimo kontrolirati – a to je da uvijek imamo čovjeka u sredini koji donosi konačnu odluku i da se vodimo etičkim principima i odgovornom primjenom."

Od Windowsa do AI obrane

U trideset godina prisutnosti u Hrvatskoj, Microsoft je prošao put od prodaje licenci za Windowse i Office do razvoja naprednih cloud i AI rješenja za kibernetičku sigurnost. Prelazak na oblak omogućio je trenutnu zaštitu, kaže Vračić.

Danas umjetna inteligencija donosi novu revoluciju. "Napadači koriste umjetnu inteligenciju, no da bismo se adekvatno branili, moramo je koristiti i za kibernetičku obranu", kaže Vračić. AI danas služi za dinamičku analizu, otkrivanje anomalija i deepfake sadržaja te drastično skraćuje vrijeme reakcije. "Vrijeme otkrivanja napadača u mreži koje je prije trajalo mjesecima, danas si ne možemo priuštiti da traje duže od nekoliko sekundi ili minuta."

 

--Cijeli razgovor pogledajte u videu.