Un plan complet de réponse aux incidents pour les incidents de sécurité liés au Shadow AI. Couvre de la détection à la reprise, avec des niveaux de gravité, des modèles de communication et des orientations sur l'évaluation des violations au regard du RGPD.
Les incidents de Shadow AI présentent des caractéristiques uniques que les plans de réponse aux incidents de sécurité informatique standard ne sont pas conçus pour gérer. Contrairement à une violation de données classique, vous ne pouvez souvent pas rappeler les données soumises à un service d'IA, et les implications juridiques des conditions d'entraînement des fournisseurs d'IA créent une exposition inédite au regard du RGPD qui nécessite une évaluation spécialisée.
Cliquez sur chaque phase pour la développer. Personnalisez les espaces réservés mis en évidence et adaptez les seuils de gravité à l'appétit pour le risque de votre organisation.
Les incidents de Shadow AI sont classés selon la gravité de l'exposition des données et les implications réglementaires. Utilisez cette matrice pour déterminer la voie de réponse appropriée.
Exposition confirmée de données Restreintes (PII de plus de 100 personnes, identifiants, données de santé, données de comptes financiers) à un service d'IA externe avec rétention potentielle des données d'entraînement. Notification réglementaire probablement requise.
Escalade immédiate vers le RSSI + le DPO. Incident Commander activé. Le compte à rebours de 72 heures du RGPD est peut-être déjà lancé.
Exposition confirmée de données Confidentielles (plans stratégiques, PI, contrats, PII limitées) à un service d'IA non approuvé. Aucune rétention des données d'entraînement confirmée mais ne peut être exclue.
Responsable de l'équipe de sécurité informé sous 2 heures. Juridique/Confidentialité mobilisés. Confinement engagé le jour ouvré même.
Utilisation d'un outil d'IA non approuvé confirmée avec des données classées Internes. Aucune donnée personnelle confirmée mais une investigation est requise pour vérifier la portée.
Analyste de sécurité assigné sous 4 heures. Responsable du collaborateur concerné informé. Investigation engagée.
Utilisation d'un outil d'IA non approuvé confirmée uniquement avec des données Publiques ou Internes non sensibles. Violation de la politique mais aucun risque d'exposition de données identifié.
Consigné et suivi. Responsable informé. Rappel de la politique émis. Aucune réponse d'urgence requise.
Un plan de réponse aux incidents ne fonctionne que s'il a été opérationnalisé avant qu'un incident ne survienne. Suivez ces étapes pour passer du modèle à un processus opérationnel.
Aona découvre en continu les outils d'IA non approuvés dans votre organisation, détecte les données sensibles soumises à des services d'IA externes et alerte votre équipe de sécurité en temps réel, avant qu'un incident de Shadow AI ne devienne une violation du RGPD.