Cadre de gestion des risques liés à l'IA du NIST

Prevalent s'associe à vous pour élaborer des politiques et des procédures en matière d'IA dans le cadre de votre programme global de gestion des risques des tiers (TPRM), conformément à vos cadres plus larges de sécurité de l'information et de gouvernance, de risque et de conformité.

Nos experts collaborent avec votre équipe pour définir et mettre en œuvre des processus et des solutions en matière d'IA et de TPRM, sélectionner des questionnaires et des cadres d'évaluation des risques et optimiser votre programme pour traiter les risques liés à l'IA tout au long du cycle de vie des tiers - du sourcing et de la diligence raisonnable, à la résiliation et à l'exclusion - en fonction de l'appétit pour le risque de votre organisation.

Dans le cadre de ce processus, nous définissons

• Réglementer les politiques, les normes, les systèmes et les processus pour protéger les données contre les risques liés à l'IA
• les exigences légales et réglementaires, en veillant à ce que les tiers soient évalués en conséquence
• Rôles et responsabilités clairs (par exemple, RACI) pour la responsabilisation de l'équipe
• Notation et seuils de risque en fonction de la tolérance au risque de votre organisation.
• Méthodes d'évaluation et de suivi fondées sur la criticité des tiers et révisées en permanence
• Inventaires d'IA de tiers
• Cartographie quadripartite pour comprendre l'exposition aux risques liés à l'utilisation de l'IA dans votre écosystème étendu.
• Indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI) pour les parties prenantes internes
• Exigences contractuelles et droit d'audit
• Exigences en matière de réponse aux incidents
• Rapports sur les risques et les parties prenantes internes
• Stratégies d'atténuation des risques et de remédiation

Prevalent peut aider votre organisation à élaborer un processus de gestion des risques solide et à comprendre le contexte de l'utilisation de l'IA en établissant le profil et le classement des tiers et en quantifiant les risques inh érents à tous les tiers - en l'occurrence, les risques inhérents à l'IA. Les critères utilisés pour calculer le risque inhérent pour la classification et la catégorisation des tiers comprennent :

• Type de contenu requis pour valider les contrôles
• Criticité pour les performances et les opérations de l'entreprise
• Lieu(x) et considérations juridiques ou réglementaires connexes
• Niveau de dépendance à l'égard des quatrièmes parties (pour éviter le risque de concentration)
• Exposition aux processus opérationnels ou de contact avec les clients
• Interaction avec les données protégées

À partir de cette évaluation du risque inhérent, votre équipe peut automatiquement classer les fournisseurs en fonction de leur exposition au risque d'IA, définir des niveaux appropriés de diligence supplémentaire et déterminer l'étendue des évaluations continues.

La logique de hiérarchisation basée sur des règles permet de classer les fournisseurs en fonction d'une série d'interactions de données et de considérations réglementaires.

La plateforme Prevalent TPRM propose une vaste bibliothèque de modèles préétablis pour l'évaluation des risques liés aux tiers. Les pratiques d'IA des fournisseurs tiers doivent être évaluées au moment de l'intégration, du renouvellement du contrat ou à toute autre fréquence requise (par exemple, trimestriellement ou annuellement) en fonction des changements importants.

Les évaluations sont gérées de manière centralisée et s'appuient sur des fonctionnalités de flux de travail, de gestion des tâches et d'examen automatisé des preuves, afin de garantir que votre équipe dispose d'une visibilité sur les risques liés aux tiers tout au long du cycle de vie de la relation.

Il est important de noter que le site Prevalent comprend des recommandations intégrées de remédiation basées sur les résultats de l'évaluation des risques afin de s'assurer que les tiers traitent les risques de manière opportune et satisfaisante, tout en fournissant les preuves appropriées aux auditeurs.

Pour compléter les évaluations de l'intelligence artificielle des fournisseurs, Prevalent suit et analyse en permanence les menaces externes qui pèsent sur les tiers. La plateforme Prevalent surveille l'Internet et le dark web pour détecter les menaces et les vulnérabilités cyber . Toutes les données de surveillance sont mises en corrélation avec les résultats de l'évaluation et centralisées dans un registre des risques unifié pour chaque fournisseur, ce qui simplifie l'examen des risques, l'établissement de rapports et les initiatives de remédiation et de réponse.

Les sources de surveillance comprennent :

• Plus de 1 500 forums criminels, des milliers de pages oignon, plus de 80 forums d'accès spécial sur le dark web, plus de 65 flux de menaces et plus de 50 sites de collage d'informations d'identification ayant fait l'objet de fuites, ainsi que plusieurs communautés de sécurité, dépôts de code et bases de données de vulnérabilités couvrant 550 000 entreprises.
• Bases de données contenant plus de 10 ans d'historique des violations de données pour des milliers d'entreprises dans le monde entier

Enfin, Prevalent mesure en permanence les KPI et KRI des tiers par rapport à vos exigences pour aider votre équipe à découvrir les tendances en matière de risques, à déterminer le statut des risques des tiers et à identifier les exceptions aux comportements courants qui pourraient justifier une enquête plus approfondie.

Dans le cadre de votre stratégie globale de gestion des incidents, Prevalent vous aide à vous assurer que votre programme de réponse aux incidents de tiers peut rapidement identifier, répondre, rendre compte et atténuer l'impact des incidents de sécurité liés à l'IA des fournisseurs tiers.

Les capacités clés comprennent :

• Évaluations de la gestion des événements et des incidents mises à jour en permanence et personnalisables
• Suivi en temps réel de la progression du remplissage du questionnaire
• Des propriétaires de risques définis avec des rappels de poursuite automatisés pour maintenir les enquêtes dans les délais prévus
• Rapports proactifs sur les fournisseurs
• Vues consolidées des évaluations de risque, des comptes, des scores et des réponses marquées pour chaque fournisseur.
• Des règles de flux de travail pour déclencher des playbooks automatisés afin d'agir sur les risques en fonction de leur impact potentiel sur l'activité.
• Modèles de rapports intégrés pour les parties prenantes internes et externes.
• Recommandations de remédiation intégrées pour réduire les risques
• Cartographie des données et des relations pour identifier les relations entre votre organisation et les tierces, quatrièmes et Nièmes parties afin de visualiser les chemins de l'information et de révéler les données à risque.

Forte de ces informations, votre équipe peut mieux gérer et trier les entités tierces, comprendre la portée et l'impact de l'incident, les données concernées, si les opérations du tiers ont été affectées et quand les mesures correctives sont terminées.