Die Beleid-Mislukking
In Mei 2024 het Forrester Consulting 'n studie uitgegee van 1200 IT-leiers deur 15 Europese lande. Die Bevinding:
- 89% van Maatskappye het AI-Gebruiks-Beleid vir Werknemers aangeneem
- 73% van Werknemers gebruik ChatGPT en Claude, ondanks Beleid
- 62% het Paai-Sleutels in AI-Prompfte gegee
- Nul% van Maatskappye het Tegniese Kontroles geïmplementeer (DNS-blok, Proxy-inspeksie, DLP)
Die Probleem: Beleid is 'n Sosiale Konstruksie. Werknemers kan dit buite voeg. Tegniese Kontroles is Masjineries — dit kan nie buite gaan nie.
Hoe Dit Breek
Scenario 1: Die Ontwikkelaar en Claude
Ingenieur sê: "Ek sal Claude nie vir Produksie-Geheime gebruik nie." Daarna:
- Kode binnekry op GitHub
- Invoer in Claude web-platform (https://claude.ai)
- "Waarom werk hierdie functiehead nie?" — Claude gee oplossing
- Inhoud: Produksie-Databasiskonneksiestring (in Die Promplf-geversteking)
- Anthropic-bedieners laai hierdie Sessiedergevens
- Lees: Git-Doen-Geheimes, DB-Seggels, Paai-Sleutels
Scenario 2: Die Finansiële Analis
Analis sê: "Ek sal geen Kliantnomme in ChatGPT voer nie." Daarna:
- Excel-sel: "Abelson, Michael | 12 Maart 1985 | €50 000 Lening"
- Vraag in ChatGPT: "Klassifiseer hierdie Portefeulje per Risiko-Kategorieë"
- Prompt-Teks = Spreadsheet-ry
- OpenAI-bedieners neem Die Prompt op
- GDPR-skaading: Persoonlike Gegebenste vir EU-Burgers in Kaliforniese Bedieners
Waarom Beleid Misluk
- Swak Enforcement: Geen Monitorering van Web-Verkeer
- Lae Toerekendheid: Iets Vervals Behalwe wanneer Paai-Sleutels Deklassifikaasie Gegeel word
- Lae Konsekwensies: Werknemers vertaal Die Risiko as "Dat Sit Salissue se Probleem"
Die Norm: Beleid + Opleiding = 60% Gehorsaming. Beleid + Opleiding + Tegniese Kontroles = 99%.
Die Tegniese-Kontrole Raamwerk
Laag 1: Netwerk-Kontroles
- DNS-blok van "claude.ai", "chatgpt.com"
- Proxy-Inspeksie met DLP-motor
- IP-blok van Openai en Anthropic
Laag 2: Werkplek-Kontroles
- MDM (Mobiele Toestelle Bestuur): Outomatiese App-blok
- Browser-Uitbreiding: Waarskuwing voor Forme-vervoering
- Keyboard-hook: Swaar-kriptering van Prompfte
Laag 3: Toepassing-Kontroles
- IDE-Uitbreiding: Waarskuwing in VS-Kode voor "Claude.ask()"
- API-Monitor: Blok van Antropiese SDK-oproepe
Laag 4: Menslike-Lus-Kontroles
- Onwillige AI-Afmeldings: "Ek het Claude hier gebruik"
- Opleiding: "Dit is Hoe Dit Breek"
- Vergelding: Nul-Toleransie vir Repetergers
Sleutelleering: Mense Kan Beleid Omdoen. Masjineries Kan Dit Nie.
Takeaway: Beleid + Opleiding + Tegniese Kontroles = Werkende AI-Sekuriteit. Beleid Alleenlik = Verlieslik.