Cet article explique comment maintenir un accès sécurisé aux applications IA dans votre organisation.
L'utilisation d'outils basés sur l'IA augmente la productivité mais présente également de nouveaux défis et risques de sécurité pour votre organisation. Par exemple, les utilisateurs peuvent saisir des données propriétaires dans la version gratuite d'une application d'IA, donnant ainsi au fournisseur de l'application le droit d'utiliser ces informations. Des individus malveillants pourraient interroger le LLM de l'application d'IA pour extraire les données propriétaires. Alors que le nombre d'applications d'IA augmente rapidement, les équipes de sécurité sont confrontées au défi de savoir quelles applications sont utilisées et où des données sensibles sont partagées.
Pour protéger votre entreprise et ses données sensibles tout en permettant l'utilisation sécurisée des applications d'IA, Cato recommande une stratégie en trois parties :
-
Obtenir la Visibilité : Comprendre quelles applications d'IA sont utilisées, qui les utilise et comment elles sont utilisées
-
Contrôler l'Accès : Mettre en œuvre des politiques pour réguler l'accès aux applications d'IA et appliquer des mesures de sécurité
-
Protéger les Données : Préserver les informations sensibles en empêchant l'accès ou le partage non autorisé au sein des applications d'IA
Tirer parti d'une combinaison de fonctionnalités vous permet de mettre en œuvre cette stratégie et de surveiller et sécuriser le trafic des applications d'IA. Vous pouvez définir des règles de Pare-feu Internet pour contrôler l'accès à une catégorie d'applications d'IA et établir des règles pour des applications d'IA spécifiques. De plus, définissez la Politique de Contrôle d'Application pour garantir que les utilisateurs n'accèdent qu'au tenant de votre entreprise pour une application d'IA ou bloquent des actions granulaires, en gardant vos informations propriétaires en sécurité. Pour ajouter une couche supplémentaire de protection, vous pouvez configurer la Politique de Contrôle des données pour empêcher le transfert de données sensibles vers des applications d'IA.
Connaître et comprendre les risques associés aux applications d'IA utilisées au sein de votre organisation peut prévenir les risques de fuite de données, les violations de conformité et les vulnérabilités potentielles en matière de sécurité. Comprendre quelles applications d'IA sont utilisées, qui les utilise, et comment elles interagissent avec les données sensibles vous permet d'appliquer des politiques, de réduire les menaces, et d'assurer une adoption responsable de l'IA. La visibilité aide également à évaluer les risques potentiels des applications d'IA, à maintenir la gouvernance, et à aligner l'utilisation de l'IA avec le cadre de sécurité de votre organisation.
Le Tableau de bord des Applications GenAI et le Catalogue des Applications vous offrent la visibilité et la compréhension des applications d'IA utilisées dans votre environnement.
Le Tableau de bord des Applications GenAI offre une visibilité centrale et complète de l'utilisation des applications GenAI en ligne, y compris l'IA de l'ombre. Le tableau de bord détaille quelles applications d'IA sont utilisées dans toute votre organisation, par qui, et suit toutes les interactions utilisateur et le partage des données sensibles. Grâce à la visibilité offerte par le tableau de bord des applications GenAI, vous pouvez prévenir de manière proactive les violations de données en identifiant les risques. Pour plus d'informations, voir Utilisation du tableau de bord des applications GenAI.
Le Catalogue des Applications contient un large éventail de données de sécurité, de conformité et d'informations générales pour des centaines d'applications et de services d'IA. Cela comprend la fourniture de tous les aperçus pour mener la TPRM (gestion des risques des tiers) afin d'évaluer le risque d'utiliser cette application. Vous pouvez utiliser le catalogue pour en savoir plus sur une application et décider comment l'utiliser dans votre organisation. Pour plus d'informations, voir Utilisation du Catalogue des Applications.
Les activités d'audit vous offrent une visibilité hors bande de toutes les activités effectuées par tout utilisateur dans une application SaaS connectée, même si l'utilisateur n'est pas connecté au Cato Cloud. Microsoft Copilot et ChatGPT peuvent être intégrés à Cato pour vous offrir une visibilité sur les discussions et les données qui sont partagées avec ces applications. Pour plus d'informations, voir Qu'est-ce que le Contrôle d'Application via API avec Activités de l'Application.
L'entreprise ABC examine le Tableau de bord des applications GenAI et identifie un outil d'analyse de code inconnu basé sur l'IA. Ils recherchent l'application dans le Catalogue des applications et constatent que l'application a un score de risque de 6. Pour éviter le risque de divulgation de données sensibles, ils créent un rôle de Contrôle d'Application pour bloquer l'accès à l'application.
Sans contrôles d'accès appropriés, les utilisateurs peuvent par inadvertance entrer des informations confidentielles dans les modèles d'IA, entraînant des fuites de données ou des violations réglementaires. De plus, les applications d'IA non validées pourraient introduire des vulnérabilités de sécurité, exposer du code propriétaire ou générer du contenu trompeur ou nuisible. En appliquant des politiques d'accès strictes, vous pouvez garantir que seuls des utilisateurs autorisés interagissent avec des outils d'IA autorisés, minimisant ainsi les risques tout en permettant l'adoption de l'IA.
Cato maintient 8 catégories système pour les applications d'IA en plus de la catégorie générale Outils de génération d'IA. Celles-ci peuvent être utilisées dans le Pare-feu Internet pour contrôler l'accès à une catégorie d'applications d'IA, par exemple, les applications d'assistance au code, ou pour les applications d'IA les plus populaires, y compris ChatGPT, AgentGPT, Google Bard, Elicit AI, MagicPen AI, Poe AI, OpenAI, et plus.
Vous pouvez également définir des règles pour des applications d'IA spécifiques ou des catégories d'applications. Par exemple, après avoir créé une règle qui bloque le trafic vers la catégorie Outils IA Générative, vous pouvez créer une règle avec une priorité plus élevée qui permet le trafic vers ChatGPT pour un groupe spécifique d'utilisateurs qui ont besoin d'accès. Pour plus d'informations, voir Qu'est-ce que le Pare-feu Internet Cato?.
L'exemple suivant de règles de pare-feu Internet permet au Groupe d'Utilisateurs Équipe de Recherche d'accéder à ChatGPT, tout en bloquant tout autre accès à la catégorie Outils IA Générative :
La Politique de Contrôle d'Application vous permet de contrôler finement l'accès aux applications en fonction de critères spécifiques, tels que le score de risque ou le niveau de conformité d'une application. Pour plus d'informations sur la configuration des règles de Contrôle des Applications, voir Gestion de la politique de contrôle des applications.
Pour éviter l'exposition d'informations propriétaires dans la version gratuite d'une application, vous pouvez créer des règles dans la politique de contrôle des applications qui bloquent les utilisateurs d'accéder aux comptes privés et permettent un accès uniquement à votre tenant d'entreprise. Par exemple, vous pouvez définir des règles pour l'application OpenAI qui n'autorisent que l'activité de connexion à votre tenant de l'organisation, et bloquent toutes les autres connexions (par exemple, se connecter avec une adresse email privée).
Ci-dessous un exemple de base de règles où la première règle permet la connexion à OpenAI pour les noms d'utilisateur qui incluent le domaine de l'entreprise, puis les règles suivantes bloquent toute connexion à OpenAI via l'authentification directe et tierce.
Pour une granularité accrue, pour certaines applications vous pouvez équilibrer la sécurité avec la productivité en permettant aux utilisateurs d'accéder à une application nécessaire tout en bloquant les activités risquées à l'intérieur. Pour ce faire, vous pouvez créer des règles dans la Politique de Contrôle d'Application, qui incluent des activités granulaires. Par exemple, vous pouvez autoriser l'accès à Wordtune, mais empêcher les utilisateurs de téléverser des fichiers.
Les applications GenAI traitent souvent les saisies des utilisateurs d'une manière pouvant entraîner une fuite de données, comme le partage involontaire par les utilisateurs de code propriétaire, d'informations personnellement identifiables (PII), ou de données commerciales confidentielles. Le service DLP de Cato analyse le contenu et applique les politiques dans une application d'IA pour vous aider à empêcher les utilisateurs de compromettre des données sensibles lors de l'utilisation de l'application. En créant des règles DLP pour les applications GenAI, vous pouvez appliquer des politiques qui détectent et bloquent l'entrée de données sensibles dans les modèles d'IA.
Le service DLP de Cato utilise des dizaines de modèles capables de détecter des données sensibles dans le flux de trafic en utilisant des techniques avancées. Cela inclut des catégories telles que des catégories telles que Finance, Juridique, RH, Immigration et Médical. De plus, DLP inclut également des Types de données à utiliser avec les applications GenAI. Par exemple, le Profil de données PII inclut des Types de données tels que les informations de carte de crédit et les licences de conduite. Cela vous permet de créer une politique granulaire qui ne s'applique qu'aux données sensibles pertinentes et empêche leur utilisation dans une application d'IA.
Si les profils de données prédéfinis peuvent fournir vos propres fichiers/données pour entraîner un modèle ML personnalisé. Les moteurs d'IA avancés apprennent de cette entrée, déduisent le contexte, et détectent ultérieurement des données sensibles dans le même domaine.
Pour plus d'informations, voir Travailler avec des Types de données personnalisées pour DLP.
Remarque
Note : Cette fonctionnalité est disponible par défaut pour les comptes créés après le 25 mars 2025. Pour les comptes créés avant cette date, vous pouvez créer manuellement les Types de données. Pour plus d'informations, voir Règles DLP recommandées pour surveiller les applications d'IA.
La Politique de Contrôle d'Application et DLP comprend des règles pré-définies recommandées par Cato. Celles-ci incluent des règles pour protéger vos applications d'IA. Par défaut, DLP surveille et crée des événements pour les Types de données suivants étant téléversés vers les outils GenAI :
-
PII
-
Données financières
-
Clés d'accès & tokens
-
Données juridiques
L'entreprise ABC signe un accord pour s'abonner à une nouvelle application SaaS. On leur envoie le contrat à signer et un utilisateur le téléverse sur la version gratuite d'une application GenAI à haut risque pour examiner et résumer le contrat. La règle DLP prédéfinie crée un Événement pour alerter l'équipe de sécurité de cette violation de politique.
0 commentaire
Cet article n'accepte pas de commentaires.