חשיבות GRC בעידן הבינה המלאכותית
- אלגו ריתם
- ספטמבר 15, 2024
- חדשות בינה מלאכותית
- AI, GRC
- 0תגובות
בינה מלאכותית והצורך הגובר בממשל תאגידי, ניהול סיכונים וציות
עידן הבינה המלאכותית (AI) והטכנולוגיות המתקדמות מחייב התאמות משמעותיות בדרך שבה ארגונים מנהלים ומפקחים על פעילויותיהם. עם אימוץ מואץ של טכנולוגיות AI ורגולציה הולכת וגוברת, תפקיד הממשל התאגידי, ניהול הסיכונים והציות (Governance, Risk and Compliance – GRC) הופך לחיוני יותר מתמיד לשגשוג, יציבות כלכלית וביטחון ארגוניים.
גל חדש של רגולציה וטכנולוגיות
ארגונים נתקלים בריבוי של דרישות רגולטוריות שעליהם לקיים. התפתחות בולטת בארה”ב היא חוקים חדשים של רשות ניירות הערך (SEC) המחייבים חברות ציבוריות לחשוף אירועי אבטחת סייבר תוך ארבעה ימי עסקים, או לשלם קנסות כבדים. ה-SEC כבר החלה להחמיר את האכיפה בנושא זה, כפי שראינו במקרה של Intercontinental Exchange, חברת האם של בורסת ניו יורק, שקנסה על אי-דיווח בזמן על פריצת סייבר.
במקביל, אנו עדים לניסיונות חדשים לוויסות השימוש בבינה מלאכותית. באיחוד האירופי, לדוגמה, חוקקה רגולציית AI חדשה במאי האחרון. בארה”ב, ממשל ביידן הוציא צו מבצעי בסוף 2022 המטיל על סוכנויות ממשלתיות לפתח ולהטמיע בינה מלאכותית באופן בטוח, מאובטח ואחראי, תוך רגולציה של התעשייה ושיתוף פעולה בינלאומי.
תפקיד ה-GRC בזירה החדשה
תפקיד ה-GRC מבצע את הבדיקה הנאותה להבטיח שעסקים עומדים בכל התקנות והמנדטים לציות הרלוונטיים. מגיבוש מדיניות ותקנים ועד ניטור מרשם הסיכונים לקבלת החלטות, GRC הוא השומר הסף של דרישות הציות. למרבה הצער, הציות נתפס לעיתים כרובה נגד ביצוע עסקים יעיל. אך במציאות העכשווית, הוא חיוני לא רק למניעת סיכונים אלא גם כמנוע צמיחה עסקית.
זכיית תמיכת מקבלי ההחלטות
כדי שתפקיד ה-GRC יוכל להשפיע באופן המיטבי, הוא זקוק לתמיכה ברמת הדירקטוריון – משימה שלעיתים קרובות קשה יותר מהצפוי. אחד האתגרים המרכזיים הוא שלא כל חברי הדירקטוריון מנוסים בטכנולוגיה, אבטחה ובינה מלאכותית. למרות שהמודעות גוברת, דוח משנת 2023 מצא שרק 12% מחברות ה-S&P 500 כללו דירקטורים עם הכשרה רלוונטית בתחום הסייבר. קבלת המידע הנכון ממקורות מהימנים היא אתגר נוסף ומתמשך.
גורם מרכזי לקידום התמיכה הוא סמנכ”ל אבטחת המידע (CISO) ועמיתיו, אשר מתווכים בין תפקיד ה-GRC לדירקטוריון ומסייעים להבין את חשיבותו וערכו. חינוך הוא המפתח – הדירקטוריון צריך להבין את תפקידו ומה מצופה ממנו, למשל במקרה של פריצה הדורשת חשיפה מיידית.
חברות משכללות את דרכי איסוף ודיווח מדדי הציות, וזו צעד חיובי. עם זאת, חשוב להעביר את המידע הרלוונטי באופן פשוט, ממוקד וכולל ללא להציפו בפרטים מיותרים. הדירקטוריון צריך לשאול שאלות כדי להבין על אילו סיכונים יש להתמקד ומה ההשלכות האמיתיות לעסק במקרה של אירוע. הכל מתחיל בהענקת מידע נגיש המספק תמונה הוליסטית של הסיכונים. מובילי GRC יכולים לסייע בכימות הסיכון בצורה ברורה.
חמש פרקטיקות מומלצות לשיתוף הדירקטוריון בנושא GRC
השתמשו בפרקטיקות המומלצות הבאות כדי לסייע לחברי הדירקטוריון לעבוד באופן יעיל עם צוות ה-GRC:
ספקו לדירקטוריון מידע על מסגרת ניהול הסיכונים הנהוגה
למשל, NIST CSF 2.0 או ISO27001, והקשירו את דרישות הציות הרלוונטיות להשלכות המשמעותיות לעסק.
חנכו את הדירקטוריון על השימוש הארגוני בבינה מלאכותית
היכן ואיך הארגון משתמש ב-AI בפעילותו, וההשפעות של שימוש זה על דרישות הציות והניטור.
שלבו מומחים חיצוניים לביצוע הערכות סיכון בלתי תלויות והמלצות
תמכו במוכנות על בסיס התקנים הרלוונטיים באמצעות הערכות סיכון וניטור מתמשכים, המשפרים את יכולות ההיערכות והתגובה.
GRC, אבטחה ובינה מלאכותית – שילוב חיוני
פונקציות GRC מוצלחות בתחום אבטחת הסייבר מספקות נתונים ומדדים עקביים בכל רבדי הארגון, ומבטיחות שכולם – מצוותי התפעול ועד הדירקטוריון – עובדים עם אותם נתונים. במילים אחרות, GRC יכול לתמוך הן בפיקוח אסטרטגי והן בניהול תפעולי באמצעות אותם נתונים. גישה זו מקנה שקיפות וגמישות להתמודדות עם תקנות ואיומים חדשים.
תפקיד ה-GRC תמיד היה חשוב, אך כעת הבינה המלאכותית נכנסת למשוואת הרגולציה. היא משנה את נוף האיומים, את המודל התפעולי, את המוצרים והשירותים. דירקטוריונים נדרשים להפוך למנוסים יותר בנושאי אבטחת סייבר ובינה מלאכותית, במיוחד בפרטים הנוגעים לאופן השימוש הארגוני ב-AI. באמצעות יישום הפרקטיקות המומלצות שהוזכרו, מובילי GRC יכולים לבנות את ידע הדירקטוריון בתחומים אלה בדרכים שיכולות להשפיע לטווח ארוך באופן חיובי על מצב האבטחה והציות של הארגון.
שאלות נפוצות
מדוע GRC הופך לחשוב יותר בעידן הבינה המלאכותית?
תפקיד ה-GRC הופך לחשוב יותר בעידן הבינה המלאכותית בשל שני גורמים מרכזיים: העלייה באימוץ טכנולוגיות AI בארגונים, והרגולציה ההולכת וגוברת על השימוש בהן. ארגונים חייבים להבין את הסיכונים החדשים שמציב השימוש ב-AI ולציית לתקנות חדשות, ותפקיד ה-GRC הוא לוודא ציות זה באמצעות בדיקה נאותה.
מה התפקיד של הדירקטוריון בהקשר של GRC?
הדירקטוריון נדרש לתמוך בתפקיד ה-GRC ולהבין את חשיבותו כדי שיוכל לבצע את תפקידו באופן יעיל. חבריו צריכים להיות מנוסים בסיכוני סייבר ובינה מלאכותית, לקבל מידע רלוונטי ומקיף על הסיכונים והציות, ולשאול שאלות להבנת ההשלכות האמיתיות לארגון.
מהם האתגרים בקבלת תמיכה מהדירקטוריון עבור GRC?
אחד האתגרים המרכזיים הוא שלא כל חברי הדירקטוריון מנוסים בטכנולוגיה, אבטחה ובינה מלאכותית. קבלת מידע רלוונטי ממקורות מהימנים היא אתגר נוסף. יש גם צורך לחנך את הדירקטורים לגבי חשיבות ה-GRC ותפקידם בהקשר זה, למשל בהתמודדות עם אירועי אבטחה דורשי חשיפה.
איזה סוג של מידע עשוי לסייע להדירקטוריון להפנים את חשיבות ה-GRC?
מידע רלוונטי, ממוקד וכולל על סיכונים, איומים, רגולציות ומצב הציות של הארגון יכול לסייע להדירקטוריון להפנים את חשיבות ה-GRC. חשוב להציג את המידע באופן פשוט וברור, עם הדגמות והמחשות מהשטח לתרגום המשמעויות לעסק.
