ارائه قالب جدید RFP برای کنترل استفاده از هوش مصنوعی و حاکمیت AI در سازمان‌ها

با تبدیل شدن هوش مصنوعی (AI) به موتور اصلی بهره‌وری در سازمان‌ها، مدیران امنیت اطلاعات به‌تازگی توانسته‌اند مجوز و بودجه لازم برای ایمن‌سازی این فناوری را دریافت کنند. با این حال، در اتاق‌های هیئت‌مدیره یک بحران خاموش در حال شکل‌گیری است: بسیاری از سازمان‌ها می‌دانند به «حاکمیت هوش مصنوعی» (AI Governance) نیاز دارند، اما دقیقاً نمی‌دانند چه الزامات و معیارهایی را باید در این حوزه جست‌وجو کنند.

در همین راستا، قالب و راهنمای جدیدی برای RFP (درخواست پیشنهاد) با هدف ارزیابی راهکارهای کنترل استفاده از هوش مصنوعی (AI Usage Control – AUC) و حاکمیت AI منتشر شده است. این راهنما تنها یک چک‌لیست ساده نیست، بلکه یک چارچوب فنی ساختاریافته است که به معماران امنیتی و مدیران امنیت اطلاعات (CISO) کمک می‌کند اهداف مبهم «امنیت هوش مصنوعی» را به معیارهای مشخص، قابل اندازه‌گیری و قابل اجرا تبدیل کنند.

چالش مدیران امنیت اطلاعات: بودجه دارید، اما الزامات مشخصی ندارید

با رشد سریع کاربردهای هوش مصنوعی در محیط‌های کاری، بسیاری از سازمان‌ها اکنون بودجه قابل توجهی برای ایمن‌سازی این فناوری اختصاص داده‌اند. اما نبود یک چارچوب مشخص برای ارزیابی ابزارهای امنیتی باعث شده تیم‌های فناوری اطلاعات در انتخاب راهکار مناسب دچار سردرگمی شوند.

بازار ابزارهای کنترل استفاده از AI به سرعت در حال گسترش است و بدون یک روش ارزیابی ساختاریافته، سازمان‌ها ممکن است به‌اشتباه در ابزارهایی سرمایه‌گذاری کنند که در اصل برای محیط‌های کاری مبتنی بر هوش مصنوعی و گردش‌کارهای خودکار (Agentic Workflows) طراحی نشده‌اند.

در چنین شرایطی، خطر استفاده از ابزارهای قدیمی یا نامتناسب افزایش می‌یابد؛ ابزارهایی که توانایی مقابله با پدیده‌هایی مانند افزونه‌های مرورگر ناشناس یا ابزارهای Shadow AI را ندارند.

تغییر نگاه به امنیت AI: مسئله «اپلیکیشن» نیست، مسئله «تعامل» است

رویکرد سنتی در امنیت فناوری اطلاعات معمولاً بر فهرست‌برداری از تمام اپلیکیشن‌هایی که کارکنان استفاده می‌کنند تمرکز دارد. اما این راهنما تأکید می‌کند که چنین رویکردی در حوزه هوش مصنوعی عملاً شکست‌خورده است.

دلیل این موضوع روشن است: هر هفته صدها ابزار جدید مبتنی بر GPT و مدل‌های زبانی وارد بازار می‌شوند. بنابراین اگر تمرکز امنیتی فقط روی شناسایی ابزارها باشد، تیم‌های امنیتی همیشه یک قدم عقب‌تر خواهند بود.

در مقابل، این راهنما پیشنهاد می‌کند تمرکز امنیتی باید روی «لحظه تعامل با AI» قرار گیرد؛ یعنی زمانی که کاربر:

• یک پرامپت (Prompt) وارد می‌کند
• یک فایل آپلود می‌کند
• یا داده‌ای را برای پردازش ارسال می‌کند

با نظارت بر این سطح از تعامل، سازمان می‌تواند صرف‌نظر از ابزار مورد استفاده، کنترل امنیتی خود را حفظ کند.

این رویکرد به تیم‌های امنیتی اجازه می‌دهد بدون ایجاد مانع برای نوآوری، از نشت داده‌ها و سوءاستفاده از اطلاعات حساس جلوگیری کنند؛ حتی اگر کارکنان از ابزارهای AI ناشناخته یا غیررسمی استفاده کنند.

چرا ابزارهای امنیتی فعلی پاسخگوی چالش AI نیستند

بسیاری از شرکت‌های ارائه‌دهنده راهکارهای امنیتی ادعا می‌کنند قابلیت «امنیت هوش مصنوعی» را به‌عنوان یک ویژگی در محصولات خود اضافه کرده‌اند. اما طبق این راهنما، در بسیاری از موارد این ادعاها بیشتر جنبه تبلیغاتی دارد.

بیشتر ابزارهای قدیمی امنیتی بر نظارت در سطح شبکه متکی هستند. در حالی که بسیاری از تعاملات هوش مصنوعی در محیط‌هایی انجام می‌شود که این ابزارها قادر به مشاهده آن نیستند؛ مانند:

• پنل‌های داخلی مرورگر
• افزونه‌های رمزگذاری‌شده
• افزونه‌های IDE برای برنامه‌نویسان

در همین راستا، راهنمای RFP از فروشندگان می‌خواهد به پرسش‌های مهمی پاسخ دهند، از جمله:

• آیا می‌توانید استفاده از AI در حالت Incognito را شناسایی کنید؟
• آیا از مرورگرهای AI-native مانند Atlas، Dia یا Comet پشتیبانی می‌کنید؟
• آیا می‌توانید در یک جلسه کاری هویت سازمانی و شخصی کاربر را از هم تشخیص دهید؟

این پرسش‌ها به سازمان‌ها کمک می‌کند تا میان قابلیت واقعی و تبلیغات بازاریابی تفاوت قائل شوند.

هشت ستون اصلی یک پروژه بالغ حاکمیت AI

در این قالب RFP، یک سیستم ارزیابی فنی در هشت حوزه کلیدی تعریف شده است تا اطمینان حاصل شود راهکار انتخاب‌شده در آینده نیز کارآمد باقی بماند.

1. شناسایی و پوشش AI
   امکان مشاهده استفاده از AI در مرورگرها، سرویس‌های SaaS، افزونه‌ها و محیط‌های توسعه.
2. درک زمینه‌ای (Contextual Awareness)
   تشخیص اینکه چه کسی درخواست را ارسال کرده و هدف آن چیست.
3. حاکمیت سیاست‌ها
   امکان اعمال سیاست‌های امنیتی دقیق، مانند مسدودسازی اطلاعات شخصی (PII) در عین اجازه دادن به پردازش‌های کم‌خطر.
4. اجرای سیاست‌ها در زمان واقعی
   جلوگیری از نشت اطلاعات حتی پیش از ارسال درخواست توسط کاربر.
5. قابلیت ممیزی و گزارش‌دهی
   ارائه گزارش‌های قابل استناد برای تیم‌های مدیریتی و نهادهای نظارتی.
6. تناسب معماری سیستم
   امکان استقرار سریع بدون ایجاد اختلال در زیرساخت شبکه.
7. استقرار و مدیریت ساده
   کاهش بار مدیریتی برای تیم‌های فناوری اطلاعات.
8. آمادگی برای آینده
   توانایی پشتیبانی از محیط‌های مبتنی بر عامل‌های خودکار (AI Agents) و گردش‌کارهای پیشرفته.

حاکمیت AI فراتر از یک سند سیاست‌گذاری

هدف اصلی این قالب RFP صرفاً جمع‌آوری اطلاعات از فروشندگان نیست، بلکه ایجاد یک سیستم ارزیابی مبتنی بر امتیاز است.

در این چارچوب، فروشندگان نمی‌توانند تنها با پاسخ‌های ساده «بله یا خیر» از ارزیابی عبور کنند. آن‌ها باید توضیح دهند چگونه قابلیت‌های ادعایی خود را پیاده‌سازی کرده‌اند و نمونه‌های واقعی ارائه دهند.

این رویکرد به سازمان‌ها کمک می‌کند تصمیم‌گیری در فرآیند خرید را از یک ارزیابی ذهنی به یک مقایسه فنی و مبتنی بر داده تبدیل کنند؛ مقایسه‌ای که خطراتی مانند:

• Prompt Injection
• نشت داده‌ها
• استفاده از دستگاه‌های شخصی (BYOD) بدون مدیریت