Apa yang perlu ditanyakan kepada vendor tentang kesiapan AI dan kuantum?
CyberRank Research
Tambahkan dua blok singkat ke kuesioner vendor Anda. Untuk AI, tanyakan di mana vendor memakai AI, level risiko AI Act mana yang menurutnya berlaku, model siapa yang dipakai, dan bukti apa yang dimilikinya. Untuk kuantum, mintalah inventaris kriptografinya serta tanggal peralihan pertukaran kunci dan sertifikat ke pasca-kuantum. CyberRank (Beta) memeriksa penggunaan AI dan paparan kripto-kuantum vendor dari luar.
Intisari
- Pertanyaan AI menemukan level risiko dan kewajiban hukum baru yang datang lewat produk vendor, sering tanpa kontrak baru.
- Pertanyaan kuantum menemukan vendor yang pertukaran kuncinya dapat membuat data berumur panjang terpapar harvest-now-decrypt-later.
- Kirim kedua blok sesuai tingkat: layanan kritis, AI dalam keputusan tentang orang, atau data yang harus rahasia melewati 2030.
- CyberRank memeriksa bukti dari luar untuk keduanya (Beta), sehingga Anda dapat menguji jawaban vendor.
Jawabannya, bagian demi bagian
| Bagian pertanyaan | Jawaban singkat | Baca lebih lanjut | Cara CyberRank membantu |
|---|---|---|---|
| Mengapa bertanya tentang AI | Jawaban singkatSetiap fitur AI dapat menambah level risiko, aliran data, dan kewajiban hukum | Baca lebih lanjutEU AI Act dan vendor Anda | Cara CyberRank membantuMendeteksi penggunaan AI dari bukti publik dan memberi kandidat level (Beta) |
| Mengapa bertanya tentang kuantum | Jawaban singkatPertukaran kunci yang hanya klasik membuat data berumur panjang dapat didekripsi kelak | Baca lebih lanjutkeamanan kuantum dan kriptografi pasca-kuantum | Cara CyberRank membantuMenandai pertukaran kunci yang hanya klasik dan sertifikat yang rentan kuantum (Beta) |
| Siapa yang menerima pertanyaan | Jawaban singkatTentukan tingkat vendor menurut dampak dan data terlebih dahulu, lalu sesuaikan kuesionernya | Baca lebih lanjutpanduan manajemen risiko pihak ketiga | Cara CyberRank membantuMenggabungkan tingkat dampak Anda dengan kemungkinan kebocoran dalam heat map |
Empat pertanyaan AI apa yang perlu diajukan?
Mintalah bukti risiko tinggi yang lengkap hanya jika penggunaan Anda merupakan kandidat risiko tinggi. Alasan setiap jawaban penting dijelaskan secara rinci dalam artikel kami tentang AI Act sebagai risiko pihak ketiga.
- Di mana Anda memakai AI dalam layanan yang Anda berikan kepada kami, termasuk fitur yang ditambahkan setelah kontrak?
- Level risiko AI Act mana yang menurut Anda berlaku, dan apakah Anda penyedia atau deployer?
- Apakah AI Anda bergantung pada model serbaguna dari penyedia lain, dan model yang mana?
- Bukti apa yang dapat Anda bagikan: petunjuk penggunaan, informasi kesesuaian, logging, langkah pengawasan manusia, dan sertifikasi ISO/IEC 42001 atas nama Anda sendiri?
Empat pertanyaan kuantum apa yang perlu diajukan?
Ukur jawabannya terhadap garis NIST: algoritma yang rentan kuantum dihentikan setelah 2030 dan dilarang setelah 2035. Tanggal dan urutan pekerjaannya dijelaskan secara rinci dalam panduan kami tentang tenggat pasca-kuantum untuk vendor.
- Layanan publik Anda yang mana yang sudah memakai pertukaran kunci hibrida atau pasca-kuantum, seperti ML-KEM?
- Apakah Anda memiliki inventaris kriptografi yang mencakup TLS, SSH, VPN, dan penandatanganan kode?
- Kapan Anda akan memindahkan pertukaran kunci, lalu tanda tangan sertifikat, ke algoritma pasca-kuantum?
- Pemasok Anda yang mana yang membawa data kami, dan kriptografi apa yang mereka pakai?
Vendor mana yang perlu menerima pertanyaan ini?
Tidak semua vendor. Tentukan tingkat vendor terlebih dahulu berdasarkan apa yang berhenti jika mereka gagal dan data apa yang mereka pegang. Lalu kirim blok AI dan kuantum ke vendor Critical dan High, serta ke vendor mana pun yang memakai AI dalam keputusan tentang orang atau memegang data yang harus tetap rahasia melewati 2030. Penentuan tingkat sebelum penilaian dijelaskan secara rinci dalam panduan kami tentang siklus hidup TPRM.
Cara CyberRank memeriksa jawaban
CyberRank membandingkan jawaban dengan apa yang dapat diamatinya. Sinyal penggunaan AI (Beta) mencatat penggunaan AI dari bukti publik dan melaporkan pemeriksaan tata kelola hanya jika buktinya ada. Pemeriksaan kripto-kuantum (Beta) memberi postur untuk layanan TLS dan SSH publik setiap vendor. Jika jawaban dan bukti tidak cocok, tanyakan kepada vendor sebelum Anda menerima jawabannya.
Di mana CyberRank tidak membantu
CyberRank tidak dapat melihat AI atau kriptografi yang tidak meninggalkan jejak publik: model internal, data pelatihan, basis data, cadangan, atau jalur penandatanganan kode. CyberRank tidak mengklasifikasikan AI secara hukum, tidak menyatakan vendor aman terhadap kuantum, dan tidak mengonfirmasi rencana migrasi. Jawaban itu berasal dari vendor, kontrak Anda, dan tim hukum Anda.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda