آخر تحديث
Thank you for reading this post, don't forget to subscribe!باختصار: قبل اعتماد أي أداة ذكاء اصطناعي، اطرح هذه الأسئلة الأمنية الثلاثين. احمِ بياناتك وعملاءك وأعمالك من مخاطر موردي الذكاء الاصطناعي.
تعرضت حزمة axios في NPM — التي يستخدمها أكثر من 50 مليون مطوّر أسبوعياً — لاختراق في هجوم على سلسلة التوريد. وإذا كان يمكن استهداف حزمة بهذا الانتشار، فيمكن استهداف أدوات الذكاء الاصطناعي المدمجة في عملك. يرشدك هذا الدليل إلى فحص أمان موردي الذكاء الاصطناعي للتأكد من أن الأدوات التي تعتمدها موثوقة وممتثلة.
تغطي قائمة التحقق هذه ستة مجالات ينبغي فحصها قبل اعتماد أي مورّد أو أداة ذكاء اصطناعي جديدة. استخدمها مع فريق المشتريات أو مسؤول تقنية المعلومات لديك، أو نفّذها بنفسك. احسب نقطة واحدة لكل بند يمكنك تأكيده. ودليل احتساب النقاط في الأسفل.
القسم 1: سلسلة التوريد البرمجية
- هل ينشر المورّد قائمة مواد البرمجيات (SBOM) أو قائمة الاعتماديات؟
- هل تُدقَّق اعتمادياتهم بانتظام؟ وهل توجد عملية منشورة؟
- هل يثبّتون الاعتماديات على إصدارات محددة (الإصدارات الدقيقة) أم على نطاقات؟ النطاقات = مخاطر أعلى.
- هل توجد عملية منشورة لكيفية استجابتهم لاختراق في المصدر الأعلى — كتعرض اعتمادية رئيسية للاختراق؟
- هل لديهم سياسة للإفصاح عن الثغرات واتفاقية مستوى خدمة (SLA) للاستجابة لـCVE؟
القسم 2: التعامل مع البيانات
- أين تُعالَج بياناتك — داخل المنشأة، أم في منطقة سحابية، أم لدى معالجين فرعيين من أطراف ثالثة؟
- هل تُستخدم بياناتك لتدريب نماذجهم؟ احصل على الجواب كتابةً.
- ما سياسة الاحتفاظ بالبيانات لديهم؟ وكم من الوقت يخزّنون استعلاماتك ومدخلاتك؟
- هل يقدمون اتفاقية معالجة بيانات (DPA)؟ وهل هي متوافقة مع GDPR وقانون PDPL؟
- هل البيانات مشفّرة أثناء النقل (TLS 1.2+) وأثناء التخزين (AES-256)؟
القسم 3: الوصول والهوية
- هل تدعم الأداة تسجيل الدخول الموحّد (SSO) مع مزوّد الهوية لديك؟
- هل المصادقة متعددة العوامل (MFA) مفروضة على حسابات المسؤولين؟
- هل توجد ضوابط وصول قائمة على الأدوار (RBAC) حتى لا يملك الجميع وصولاً كاملاً؟
- هل تستطيع تدقيق من وصل إلى ماذا ومتى — سجلات تدقيق كاملة؟
- هل توجد سياسة لتدوير مفاتيح API؟ وما مدى سهولة سحب الوصول؟
القسم 4: مخاطر النموذج والمخرجات
- هل يوثّق المورّد ما يستطيع نموذجه وما لا يستطيع فعله — بما في ذلك أنماط الإخفاق المعروفة؟
- هل توجد طبقة لتصفية المحتوى أو الإشراف على المخرجات؟
- هل يمكن ضبط النموذج بدقة على بياناتك — وإذا أمكن، فهل تُعزل تلك البيانات عن العملاء الآخرين؟
- هل يتوفر خيار إشراك الإنسان في الحلقة للقرارات عالية المخاطر؟
- هل ينشرون بطاقات النماذج أو وثائق النماذج؟
القسم 5: استقرار المورّد والمساءلة
- منذ متى يعملون؟ وهل لديهم عملاء من المؤسسات الكبرى يمكنك الرجوع إليهم؟
- ما اتفاقية مستوى الخدمة للتوافر لديهم، وما سجل التوافر التاريخي؟
- هل يحملون تأميناً على المسؤولية السيبرانية؟
- هل توجد عملية واضحة للاستجابة للحوادث؟ وكيف يبلغون العملاء بحدوث اختراق؟
- ماذا يحدث لبياناتك إذا أغلقت الشركة أو جرى الاستحواذ عليها؟
القسم 6: العقد والامتثال
- هل يتضمن العقد بند حق التدقيق؟
- هل سقوف المسؤولية محددة بوضوح؟
- هل يوجد بند تعويض يغطي انتهاك الملكية الفكرية في مخرجات الذكاء الاصطناعي؟
- هل لدى المورّد شهادة SOC 2 Type II أو ISO 27001 أو ما يعادلها؟
- هل توجد في العقد عملية واضحة لإنهاء التعامل وحذف البيانات؟
دليل احتساب النقاط
| النقاط | مستوى المخاطر | التوصية |
|---|---|---|
| 25–30 | مخاطر منخفضة | المضي قدماً مع مراقبة معتادة |
| 15–24 | مخاطر متوسطة | معالجة الفجوات المحددة قبل تشغيل مسارات العمل الحساسة |
| أقل من 15 | مخاطر عالية | عدم الاستخدام في أي شيء يمس بيانات العملاء أو العمليات الحرجة حتى تُعالَج الفجوات |
اختراق axios تذكير بأن الثقة بأداة لا تكفي — بل ينبغي أن تتحقق. وبحسب وكالة الأمن السيبراني وأمن البنية التحتية (CISA)، لا تستهدف هجمات سلسلة التوريد مورّد الذكاء الاصطناعي لديك مباشرة، بل الاعتماديات التي يثق بها. وأضعف حلقة في منظومة الذكاء الاصطناعي لديك غالباً حزمة في عمق ثلاث طبقات لم يدققها أحد. وتؤكد أبحاث ماكينزي (McKinsey) عن الذكاء الاصطناعي ومخاطر الأمن السيبراني هذا القلق المستمر في بيئة المؤسسات.
وبالنسبة إلى الشركات في الإمارات، توجد طبقة إضافية: فهم كيفية تفاعل أدوات الذكاء الاصطناعي التي تختارها مع لوائح حماية البيانات في الإمارات (PDPL) — وبالنسبة إلى القطاعات الخاضعة للتنظيم، متطلبات مصرف الإمارات العربية المتحدة المركزي (CBUAE) أو هيئة الصحة بدبي (DHA). ويمكن لـشريك استشاري في الذكاء الاصطناعي يملك معرفة بالأنظمة في الإمارات أن يساعدك على إجراء العناية الواجبة الأمنية لموردي الذكاء الاصطناعي بشكل منهجي، بدلاً من أن تكون عشوائية مع كل أداة جديدة. اعرف المزيد عن كيفية هيكلة حوكمة الذكاء الاصطناعي لديك.
عادة أخرى تحمي بياناتك: اقرأ الشروط والأحكام لدى مورّد الذكاء الاصطناعي قبل التوقيع، ثم طبّقها. واستخدام الذكاء الاصطناعي بمسؤولية، ضمن القواعد التي يضعها المورّد لتخزين بياناتك واستخدامها، من أبسط الطرق لحماية بيانات الشركة.
احفظ قائمة التحقق هذه. وشاركها مع فريق المشتريات. ونفّذها على كل أداة ذكاء اصطناعي جديدة قبل أن تلمس بيانات الإنتاج.
هل تحتاج إلى مساعدة في تقييم منظومة موردي الذكاء الاصطناعي الحالية لديك؟ تساعد Innov@Scale الشركات في الإمارات على اختيار أدوات الذكاء الاصطناعي واستخدامها بمسؤولية، بما يحفظ أمان بيانات الشركة ←
اطلع على خدمات Innov@Scale ذات الصلة
- استشارات الذكاء الاصطناعي في الإمارات — تقييم واستشارة وتحوّل، مع منصات شريكة ومتخصصين
- تقييم جاهزية الذكاء الاصطناعي — قائمة مرتبة بالنقاط لحالات الاستخدام وخارطة طريق
- جميع الخدمات — عشر خدمات للذكاء الاصطناعي في ثلاث خطوات
ما الذي يجب التحقق منه قبل التعاقد مع أي مزود للذكاء الاصطناعي؟
ابدأ بسياسات التعامل مع البيانات، ومصدر النماذج، وضوابط الوصول، والالتزام بقانون PDPL الإماراتي.
كيف تقيّم مخاطر مزودي الذكاء الاصطناعي في سياق الخليج؟
تحقق من الامتثال لـ PDPL وخيارات استضافة البيانات داخل المنطقة وخبرة المزود في القطاعات المنظّمة.
ما الذي يجب التحقق منه قبل التعاقد مع أي مورد ذكاء اصطناعي؟
ابدأ بمعالجة البيانات وأصل النماذج وضوابط الوصول. تأكد من أن المورد شفاف بشأن مصادر بيانات التدريب وقادر على تقديم اتفاقية معالجة بيانات.
كيف تُقيّم مخاطر مزوّد الذكاء الاصطناعي في سياق دول الخليج؟
ابحث عن الامتثال لقانون حماية البيانات الشخصية الإماراتي، وخيارات إقامة البيانات داخل المنطقة، وتجربة المورد مع القطاعات الخاضعة للرقابة كالرعاية الصحية والمالية والحكومة.