PCI SSC: działania agentów AI na danych kart płatniczych ma zatwierdzać człowiek

PCI SSC opublikowała dokument Security Considerations for AI Systems. Według niego organizacja ma wskazać, które działania agentów AI w środowisku płatniczym zatwierdza człowiek, a każdy system AI ma dostawać tylko uprawnienia potrzebne do zadania. Zalecenia są doradcze, a obowiązujące wymagania PCI mają pierwszeństwo.

Dokument obejmuje nadzór, wdrożenie, kontrolę dostępu, testy i stosowanie standardów PCI. Jeden system AI nie powinien łączyć dostępu do danych wrażliwych, komunikacji zewnętrznej i nieograniczonego wejścia z niezaufanych źródeł. Gdy proces wymaga wszystkich trzech, zadania należy rozdzielić między agentów z różnymi uprawnieniami.

Kogo dotyczy

Dotyczy organizacji, które używają AI w środowiskach płatniczych i przekazują systemom AI dane objęte standardami PCI.

Co zrobić

Przed wyborem systemu określ jego cel, uprawnienia i dostęp do danych. Wyznacz osobę, która odpowiada za wyniki AI. Ograniczenia egzekwuj niezależnymi mechanizmami, takimi jak zasady zarządzania tożsamością i izolacja sieci. Zabezpieczenia testuj przed testami funkcjonalnymi, także próbami ich obejścia, a zachowanie systemu monitoruj przez cały okres działania.