Oktober är cybersäkerhetsmånaden, en bra påminnelse om att cybersäkerhet inte bara handlar om teknik, brandväggar och säkerhetslösningar. Det handlar minst lika mycket om beredskap. För vad händer när något faktiskt går fel? Vet du vem som gör vad, vilka beslut som behöver fattas först och om planen fungerar lika bra i praktiken som den gör på papper?
Det blir särskilt intressant när AI kommer in i bilden. Tänk dig att verksamheten använder ett AI-baserat kundservicesystem som hanterar kunddialoger och känslig information som personuppgifter, betalningsinformation och servicehistorik. En dag börjar systemet ge felaktiga svar. Användare kan inte längre verifieras korrekt, kundärenden klassificeras fel och det kommer rapporter om möjlig obehörig åtkomst. Dessutom får vissa användare känslig information som egentligen tillhör någon annan.
Det är utgångspunkten för övningen Mini Table-Top AI Gone Rogue. Under övningen ställs organisationen inför ett scenario som successivt utvecklas och blir mer komplext. Är problemen ett tekniskt fel? Beror de på hur AI-modellen har tränats? Har någon fått obehörig åtkomst till systemet? Eller har någon medvetet lyckats manipulera det?
När obehöriga transaktioner upptäcks och kunder får tillgång till andra kunders personuppgifter blir frågan ännu större. Juridik och regelefterlevnad behöver involveras och organisationen måste ta ställning till en eventuell personuppgiftsincident och GDPR. I nästa steg pekar en extern säkerhetsgranskning dessutom på en möjlig sårbarhet för prompt injection, dvs. avsiktligt manipulera ett AI-verktyg.
Plötsligt handlar incidenten inte bara om varför AI:n svarar fel. Organisationen behöver också fundera på hur fortsatt exponering av information ska stoppas, hur orsaken ska utredas och hur du skiljer mellan tekniska fel, användarfel och en potentiell cyberattack.
Det är precis därför vi under cybersäkerhetsmånaden vill slå ett extra slag för att faktiskt öva. En Table-Top-övning ger olika delar av organisationen möjlighet att samlas kring ett scenario och diskutera hur du faktiskt skulle agera om det hände på riktigt.
I Mini Table-Top-övningen presenteras situationer steg för steg. Deltagarna diskuterar möjliga åtgärder, dokumenterar sina svar och kan därefter identifiera styrkor, luckor och aktiviteter som behöver tas vidare. Tanken är också att tydliggöra ansvar och följa upp med konkreta handlingsplaner.
Det behöver alltså inte börja med en stor och avancerad säkerhetsövning. Det kan börja med ett scenario, några relevanta frågor och rätt personer runt bordet. För det är trots allt betydligt bättre att upptäcka frågetecknen under en övning än mitt under en verklig incident.
Under cybersäkerhetsmånaden vill vi därför utmana dig och ditt företag att testa själva. Ladda ner vår partner NTTs Mini Table-Top AI Gone Rogue och gör övningen tillsammans med teamet. Den ger dig ett konkret scenario och diskussionsfrågor kring bland annat incidenthantering, känslig information, AI-säkerhet och prompt injections.
Cyberhot är inget du löser med teori. Det är dags att öva.
Och om övningen väcker fler frågor, synliggör luckor i din beredskap eller om du vill ha hjälp att ta säkerhetsarbetet vidare: Ta det med Henrik.
