DeepSeek ha rapidamente attirato l'attenzione del mondo, superando di recente ChatGPT come l'app gratuita più scaricata sull'App Store di Apple.
Sebbene il suo costo ridotto, le funzionalità avanzate e l'approccio open source attirino gli utenti, le organizzazioni devono capire le implicazioni relative alla sicurezza che derivano dall'uso di DeepSeek da parte dei dipendenti.
Preoccupazioni critiche per la sicurezza
Per una buona ragione, le organizzazioni e i governi di tutto il mondo si stanno affrettando a vietare DeepSeek a causa delle crescenti preoccupazioni relative alla sicurezza. Il Congresso lo ha vietato. Anche la Marina degli Stati Uniti ha fatto lo stesso. Ma anche l'Italia ha bloccato DeepSeek, un tempo avevano vietato anche ChatGPT.
Analizziamo i motivi che destano preoccupazione.
Elaborazione dei dati in Cina
- DeepSeek elabora i prompt degli utenti sui server situati in Cina secondo la loro politica sulla privacy
- Tuttavia, gli sviluppatori possono ospitare istanze locali di DeepSeek su server distaccati dalla nave madre cinese
- Tutti i dati sono soggetti alle leggi e ai regolamenti cinesi sulla privacy dei dati
- Le organizzazioni devono considerare le implicazioni che influiscono sulla conformità con i requisiti normativi degli Stati Uniti
Rischi di Shadow AI
- I dipendenti possono scaricare e utilizzare DeepSeek senza l'approvazione dell'organizzazione
- I tradizionali divieti aziendali sugli strumenti di intelligenza artificiale si sono dimostrati difficili da far rispettare
- Le informazioni sensibili dell'azienda potrebbero essere condivise inavvertitamente durante conversazioni informali
A differenza di TikTok o Huawei, la natura open-source presenta diverse sfide relative alla sicurezza. Inoltre, grazie al suo basso costo di addestramento e gestione, i criminali informatici possono utilizzare DeepSeek per lanciare campagne massicce in modo più efficiente.
Strategie di mitigazione del rischio
DeepSeek non sarà l'ultima app AI ombra di cui dovrai preoccuparti. Quindi, quali misure puoi adottare per assicurarti di riuscire a scoprire e impedire alle app AI ombra di appropriarti dei tuoi segreti aziendali?
Azioni immediate
1. Sviluppare politiche chiare per l'AI
- Creare linee guida chiare sugli strumenti di AI approvati
- Stabilire protocolli per la gestione delle informazioni sensibili
- Definire le conseguenze per l'uso non autorizzato di strumenti di intelligenza artificiale
2. Offrire alternative sicure
- Prendere in considerazione la creazione di istanze isolate utilizzando il codice open source di DeepSeek
- Valutare soluzioni AI di livello aziendale con controlli di sicurezza adeguati
- Implementare versioni isolate che non si connettono a server esterni
3. Formazione dei dipendenti
- Aumentare la consapevolezza sui rischi per la sicurezza dei dati
- Fornire alternative chiare agli strumenti di AI non autorizzati
- Spiegare cosa implica la condivisione di informazioni sensibili con i modelli AI
Utilizzo di Varonis per scoprire e bloccare DeepSeek
- Varonis può aiutarti a scoprire e classificare i dati sensibili e a implementare il privilegio minimo per ridurre al minimo la potenziale esposizione a DeepSeek e ad altri strumenti AI rischiosi.
- Varonis for Network può aiutare rilevando l'uso di DeepSeek con il monitoraggio di DNS e proxy web.
- La funzionalità SSPM di Varonis rileva e rimuove automaticamente le app e i plugin ombra di DeepSeek che gli utenti hanno integrato nelle tue app SaaS autorizzate senza l'approvazione dell'IT
- Ti mostreremo quali utenti hanno installato le app DeepSeek, quando, quali autorizzazioni sono state concesse e quali azioni sono state eseguite
- Varonis può scoprire e classificare file, codice sorgente, email, ecc. collegati a DeepSeek per individuare sviluppatori disonesti o dipendenti che intendono scaricare e testare il codice
Uno sguardo sul futuro
Sebbene le capacità di DeepSeek siano impressionanti, le organizzazioni devono soppesare attentamente i vantaggi rispetto ai rischi per la sicurezza. La natura open source del codice di DeepSeek offre sia opportunità che sfide:
Opportunità:
- Le organizzazioni possono ispezionare i pesi del modello e il codice di addestramento
- Possibilità di costruire implementazioni sicure e isolate
- Trasparenza nel funzionamento del modello
Sfide:
- Maggiore vulnerabilità agli attacchi mirati
- Potenziale uso dannoso
- Preoccupazioni di conformità con le normative sulla privacy dei dati
Conclusione
Sebbene DeepSeek rappresenti un significativo progresso tecnologico, le organizzazioni devono approcciare il suo utilizzo con cautela.
La combinazione di requisiti di sovranità dei dati cinesi, vulnerabilità dell'open source e potenziale per l'utilizzo di AI ombra crea una sfida di sicurezza complessa che richiede un'attenta considerazione e una gestione proattiva.
Questo avviso di sicurezza sarà aggiornato man mano che saranno disponibili nuove informazioni sulle implicazioni di sicurezza di DeepSeek e sulle migliori pratiche per l'uso aziendale.
