الخلاصة

  • جعل RBNZ وFMA مخاطر الأمن السيبراني المرتبطة بالذكاء الاصطناعي المتقدم محوراً أوضح للرقابة على المؤسسات المالية، مع التركيز على مجالس الإدارة والموردين المشتركين والتعافي.
  • تستند التوقعات إلى التزامات قائمة؛ ولم يعلنا عن نظام مستقل للذكاء الاصطناعي أو مخالفة ارتكبتها مؤسسة محددة.

في 17 سبتمبر، نشر Reserve Bank of New Zealand ثلاثة سيناريوهات محتملة لمستقبل الخدمات المصرفية في 2035، مؤكداً أن الدراسة لا تشير إلى تغيير في السياسات أو ترتيبات الرقابة. وبعد أربعة أسابيع، أوضح Reserve Bank of New Zealand – Te Pūtea Matua (RBNZ) وFinancial Markets Authority – Te Mana Tātai Hokohoko (FMA) ما يتوقعانه من المؤسسات المالية حالياً إزاء مخاطر الأمن السيبراني المرتبطة بالذكاء الاصطناعي المتقدم.

يتعلق التطور بتفصيل طريقة الإشراف، لا بإنشاء قانون جديد. فالبيان يقول إن التوقعات تستند إلى الالتزامات القائمة في مجالات الرقابة الاحترازية وقواعد السلوك والأمن السيبراني والمرونة التشغيلية. ولم يعلن عن تشريع مستقل للذكاء الاصطناعي أو نظام امتثال منفصل أو إجراء إنفاذ ضد مؤسسة مسماة. والسؤال هو ما إذا كانت الضوابط الحالية قادرة على مواكبة التهديدات الأسرع والاعتماد المتزايد على أطراف خارجية.

عرض Angus McGregor، مساعد محافظ RBNZ للاستقرار المالي، وLouise Unger، المديرة التنفيذية للاستجابة والإنفاذ في FMA، التوقعات على قادة القطاع المالي في اجتماع مائدة مستديرة شارك في استضافته RBNZ وFMA وDepartment of the Prime Minister and Cabinet وNational Cyber Security Centre. تنطلق RBNZ من ولايتها المتعلقة بالاستقرار المالي، بينما تركز FMA على السلوك في الأسواق. ويتيح الاجتماع تنسيق النقاش، لكنه لا يدمج الولايتين الرقابيتين.

حدد الخطاب ثلاثة مجالات مترابطة: ارتفاع المخاطر السيبرانية مع تقدم الذكاء الاصطناعي، وتحديات الحوكمة والرقابة، ومخاطر الأطراف الثالثة وتركيز الموردين. ويشرح تقرير التهديدات الصادر عن National Cyber Security Centre في سبتمبر كيف قد تسرّع النماذج المتقدمة اكتشاف الثغرات واستطلاع الأنظمة، وتسهّل بعض الهجمات الآلية والتصيد والتزييف العميق. يقدم التقرير خلفية عن بيئة التهديد في نيوزيلندا، لكنه لا يثبت وقوع هجوم مدعوم بالذكاء الاصطناعي على مؤسسة مالية هناك.

أول اختبار للمؤسسة هو مدى معرفة مجلس إدارتها بمواقع استخدام الذكاء الاصطناعي وتأثيره في ملف المخاطر. ويدعو الخطاب إلى نهج يتناسب مع نشاط كل مؤسسة وشهيتها للمخاطر وأهدافها للمرونة. ينبغي لمجالس الإدارة والإدارة العليا فهم الاستخدامات والاعتماديات المهمة، وتحديد المسؤوليات، والاحتفاظ بالخبرة اللازمة لمساءلة الإدارة، ومتابعة التغيرات في نقاط الضعف والحوادث والتعرض للأطراف الثالثة. ويمكن لضمان مستقل أن يتحقق من أن الضوابط تعمل كما هو مقصود.

تظل الأساسيات ضرورية: إدارة قوية للهوية والوصول، وإدارة دورة حياة الأصول، وتطبيق التصحيحات في الوقت المناسب. ويقول الخطاب إن الذكاء الاصطناعي قد يقلص الفترة بين اكتشاف الثغرة واستغلالها، ولا سيما في الأنظمة القديمة أو التي انتهى دعمها. وقد يتطلب ذلك تسريع المعالجة على أساس المخاطر، لكن التغيير المتعجل يمكن أن يعطل أنظمة الإنتاج. لذلك ينبغي إدارة المخاطر في الاتجاهين، ومراجعة ما إذا كانت عمليات الرصد والفرز اليدوية تستطيع مواكبة سرعة التهديدات. كما تحتاج أدوات الذكاء الاصطناعي والأتمتة المستخدمة للدفاع إلى رقابة ومسؤوليات وضوابط واضحة.

تشمل رقابة الموردين أيضاً طريقة استخدامهم هم للذكاء الاصطناعي. فعلى المؤسسات فهم ما يضيفه ذلك إلى تعرضها للتهديدات، ومرونة الموردين المهمين، وأثر اعتماد مؤسسات كثيرة على عدد محدود من خدمات الذكاء الاصطناعي أو السحابة. وينبغي أن تتيح العقود الإبلاغ السريع عن التغييرات الجوهرية والثغرات والحوادث. ويمكن تقاسم بعض المهام مع المورد، لكن المؤسسة الخاضعة للرقابة تظل مسؤولة عن مخاطرها التشغيلية.

وتشمل التوقعات الاستعداد للتعافي بعد الحوادث. على المؤسسات افتراض وقوع حوادث واختبار سيناريوهات خطيرة لكنها معقولة، مثل هجوم سريع أو ثغرة من نوع يوم الصفر أو إخفاق نموذج أو توقف مورد أساسي. وينبغي للتمارين أن تختبر الإجراءات اليدوية البديلة والنسخ الاحتياطية والتحويل إلى الأنظمة الاحتياطية واستعادة الخدمات المهمة. ويمكن إشراك الموردين الحيويين حين يكون ذلك مناسباً.

هذه الرقابة لها أساس سابق. فتوجيه RBNZ بشأن المرونة السيبرانية لعام 2021 حمّل مجالس الإدارة المسؤولية النهائية وتناول إدارة الأطراف الثالثة. وفي 7 أكتوبر، عرضت FMA استمرار سلسلة من الاستطلاعات القطاعية لقياس نضج المرونة التشغيلية. ويضيف خطاب 15 أكتوبر سيناريوهات الذكاء الاصطناعي المتقدم إلى مسار الرقابة القائم. أما الأثر العملي فسيظهر في التواصل الرقابي والدراسات القطاعية اللاحقة، لا في انعقاد الاجتماع وحده.

لا تسمي الوثائق المنشورة أي مؤسسة مالية أو مورّد ذكاء اصطناعي، ولا تقدم قياساً لتركيز الموردين أو تثبت إخفاقاً في الضوابط. لكنها توضح ما ينبغي لمجلس الإدارة إثباته: أين يستخدم الذكاء الاصطناعي، وما الاعتماديات المرتبطة به، ومن المسؤول عنها، وما الضوابط التي اختُبرت، وكيف يمكن استعادة الخدمات.

المصادر