إجابة مباشرة
سجّل لكل مكوّن خارجي المزود والمنتج والإصدار والغرض والبيانات المرسلة والمخرجات المستلمة والصلاحيات والاعتمادات والمالك المسؤول. وتُبقي المؤسسة مسؤوليتها ظاهرة عن اختيار الخدمة وإعدادها ونقل البيانات واستخدام المخرجات في قرار أو نشر ومراقبة المشكلات. وسجّل مسؤولية المزود بصورة منفصلة ضمن العقد والوثائق التقنية ونطاق الخدمة والقانون المطبق. عبارة «المزود فعل ذلك» ليست مصفوفة مساءلة.
بلغة بسيطة
تخيل استخدام مطبخ مستأجر. قد يكون مالك الفرن مسؤولاً عن عطل الجهاز، لكنك تظل مسؤولاً عن المكونات التي تختارها وطريقة إعداد الطعام وما تقدمه للعميل. لا تنقل الأداة الخارجية كل قرار إلى خارج مؤسستك.
لماذا يهم؟
قد يغير مزود واحد في السلسلة تدفقات البيانات أو سلوك النموذج أو الأمن أو معنى المخرجات. ومن دون جرد وخطة خروج، قد تعجز المؤسسة عن تحديد المكوّن المسؤول أو مواصلة الخدمة بأمان.
لا تخلط
- يوفر المزود المنتج؛ وتطبقه المؤسسة الناشرة أو المستخدمة لغرض معين.
- لا يكون المشغل التقني وصاحب القرار والطرف المسؤول قانونياً دائماً الجهة نفسها.
- مجموعة البيانات والنموذج الأساسي والضبط الدقيق وواجهة API والإضافة وخدمة البنية التحتية عناصر توريد منفصلة.
- لا يزيل توزيع المسؤوليات في العقد تلقائياً كل التزام تجاه الأشخاص المتأثرين.
- إتاحة الخدمة لا تثبت أمانها أو ملاءمتها لاستخدام معين.
ماذا تفعل؟
- احصر كل نموذج ومجموعة بيانات وواجهة API وإضافة وأداة واعتماد بنية تحتية على مستوى الإصدار.
- سجّل لكل مكوّن مالك العمل والمالك التقني ومالك البيانات وصاحب القرار ومالك الحادث.
- قبل الشراء أو الدمج، راجع أدلة الأمن والخصوصية وأصل البيانات والحدود والدعم.
- قلّل البيانات وصلاحيات الأدوات؛ ولا تمنح المزود وصولاً غير ضروري.
- اشترط الإبلاغ وإعادة الاختبار عند تغير إصدار أو انقطاع أو حادث بيانات أو تغير جوهري في الشروط.
- احفظ المسارات التي تربط الموجهات والمخرجات وإصدارات النموذج واستدعاءات الأدوات وأحداث المزود.
- أعد واختبر خطط نقل البيانات والخدمة البديلة والتراجع والخروج الآمن عند تغير المزود أو فقده.
كيف تدقّق؟
- هل كل مكونات الأطراف الثالثة واعتماداتها الفرعية معروفة؟
- هل سُمي مالك بشري مسؤول داخل المؤسسة لكل خطر وقرار؟
- هل اختُبر تصريح المزود بدليل مستقل أو ملائم بطريقة أخرى؟
- هل استخدام البيانات والاحتفاظ بها والمعالجون الفرعيون والحدود مسجلة بوضوح؟
- هل يمكن اكتشاف تغيرات الإصدار أو الإعداد الصامتة؟
- هل شروط الوصول إلى السجلات والإبلاغ والتعاون والتراجع قابلة للعمل أثناء حادث؟
- هل اختُبرت خطة الخروج على بيانات واعتمادات حقيقية؟
الحد
تختلف الصفة القانونية والالتزامات بين الأطراف بحسب البلد والقطاع والعقد ونوع البيانات والسيطرة العملية. وقد لا تكشف وثائق المزود العامة كل اعتماد فرعي أو خطر في الخدمة المحددة التي تتلقاها.
تذكّر في جملة
يجوز لك استخدام مكوّن خارجي؛ ولا يجوز لك جعل المساءلة تختفي.
مصادر هذا السجل
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*معيار
- S38NIST AI 600-1, *Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile*إرشادات مؤسسية طوعية ذات طابع معياري
- S41المركز الوطني للأمن السيبراني والجهات الشريكة، «إرشادات تطوير أنظمة ذكاء اصطناعي آمنة»إرشادات أمنية رسمية متعددة الجهات
- S43NIST SP 800-161 Rev. 1 Update 1, *Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations*إرشادات مؤسسية طوعية ذات طابع معياري
- S44NIST، «دليل تطبيق إطار إدارة مخاطر الذكاء الاصطناعي» وAI RMF Coreإرشادات تطبيق طوعية
- S47NIST, *Privacy Framework 1.0: A Tool for Improving Privacy through Enterprise Risk Management*إطار طوعي لمخاطر الخصوصية