Her kurumsal yapay zeka görüşmesinde odanın sessizleştiği belirli bir an vardır. Güvenlik tarafından biri sorar: "Peki veri tam olarak nereye gidiyor?" Ve yanıt — "bir model sağlayıcının API'sine gönderiliyor" — projenin çoğu zaman öldüğü andır.
Ve iyi bir nedenle ölür. Otomatikleştirmeye değer iş akışları, en hassas verinize dokunanlardır: fiyatlar ve marjlar, hasta kayıtları, yayınlanmamış tasarımlar, müşteri kişisel verileri, anlaşma koşulları. Bu bir tesadüf değil. Etrafında otomasyon kuracak kadar değerli olan veri, tam da bir üçüncü tarafa vermeye en isteksiz olduğunuz veridir. Hayır diyen CISO zorluk çıkarmıyor. İşini yapıyor.
Asıl soru "bulut mu değil mi" değil. "Yapay zekanın nerede düşünmesine izin var?"
Ekipler bunu bir ikilem gibi kurar — bulut iyi, on-prem eski moda — ve konuyu kaçırır. Faydalı soru daha dardır: bu belirli iş akışı için, bu belirli veri göz önünde bulundurulduğunda, işlemenin nerede gerçekleşmesine izin var? Bu bir topoloji kararıdır ve bir değil, üç dürüst yanıtı vardır.
- Bulut (yönetilen): kurması en hızlı, işletme yükü en düşük; veri düşük hassasiyetliyse ya da zaten o bulutta yaşıyorsa en iyisi. Herkese açık bir pazarlama SSS botu hava boşluğuna ihtiyaç duymaz.
- VPC / özel bulut: model ve orkestrasyon kendi bulut sınırınızın içinde çalışır. Veri, paylaşılan bir uç noktaya ulaşmak için halka açık internetten geçmez. Çoğu regüle kurum için doğru varsayılan budur — veriniz çevrenizden çıkmadan modern modellere erişirsiniz.
- On-prem / kendi barındırdığınız: tüm yığın sizin kontrol ettiğiniz altyapıda, bazen tamamen hava boşluklu çalışır. İşletmesi daha yavaş ve daha pahalıdır; savunma işleri, belirli sağlık verileri ve dava açıp koruyacağınız fikrî mülkiyet için kesinlikle doğrudur.
Hassasiyet, departmanın değil verinin bir özelliğidir
İçgüdü ekibe göre sınıflandırmaktır — "finans hassas, pazarlama değil." Bu çok kaba. Tek bir iş akışı çoğu zaman katmanları karıştırır: bir teklif, herkese açık bir ürün adı (düşük), pazarlıkla belirlenmiş bir marj (yüksek) ve bir müşteri iletişimi (regüle) içerir. Tümünü en katı katmana yönlendirirseniz her şeyi aşırı mühendislersiniz. En gevşeğine yönlendirirseniz sızdırırsınız.
Daha iyi analiz birimi iş akışı değil, alandır. Herhangi bir şey sınırınızdan çıkmadan önce hassas alanları maskeleyin ya da tokenlaştırın; modelin geri kalanı üzerinde akıl yürütmesine izin verin. Kişisel veri maskeleme bir uyum kutucuğu değildir — yüksek değerli bir iş akışının, asıl önemli kısımları ifşa etmeden daha düşük maliyetli, daha hızlı bir dağıtımda çalışmasını sağlayan mekanizmadır.
"Sadece API'ye gönder" göründüğünden neden daha pahalı
Kolay yolun, sonradan ortaya çıkan bir maliyeti vardır. 2024'te ortalama veri ihlali maliyeti 4,88 milyon dolara ulaştı ve en çok acıtan ihlaller, tam da bir yapay zeka iş akışına vereceğiniz veriyi içerenlerdir — müşteri kayıtları, fikrî mülkiyet, finansallar. Yönetilen bir API'yi bir VPC dağıtımıyla tarttığınızda, kıyaslama "ucuz mu pahalı mı" değildir. "Şimdi biraz daha yüksek bir işletme maliyeti" ile "milyonlarla ve manşetlerle ölçülen bir kuyruk riski" arasındadır.
Böyle çerçevelendiğinde, CISO'nun hayırı bir sürtünme değildir. Fiyatlandırılmamış bir risk yönetimidir ve çözüm, ona yanıtın evet olabileceği bir topoloji vermektir.
Dağıtım esnekliği bir özellik değil. Gerçek veriye dokunmanın ön koşuludur.
Etrafında kurduğumuz tasarım ilkesi şudur: aynı iş akışı — aynı konektörler, aynı korumalar, aynı onay mantığı — yeniden yazmadan buluta, VPC'ye ya da on-prem'e dağıtılabilmelidir. Çünkü verinin hassasiyeti ve dolayısıyla gereken topoloji, iş akışına ve müşteriye göre değişen bir iş girdisidir. Tek bir dağıtım modelini dayatan bir platform, sizi ya önemsizi aşırı güvenceye almaya ya da kritik olanı yetersiz güvenceye almaya zorlar.
Yapay zekanın nerede düşündüğünü, ne yaptığından ayırın; CISO projeleri öldüren kişi olmaktan çıkar ve her birinin hangi topolojiye ihtiyacı olduğunu söyleyen kişiye dönüşür. En değerli verinizi — dokunmaktan en çok korktuğunuz veriyi — güvenle yayına taşıyan konuşma budur.
Kaynaklar
- IBM Security, Cost of a Data Breach Report 2024, IBM Corporation, 2024.
Hangi iş akışlarınızın on-prem, VPC ya da bulutta yer alması gerektiğini planlamak ister misiniz? 30 dakikalık teknik bir görüşme ayarlayın.