Merhaba
Bir önceki yazıda ISO/IEC 27090’ın ne olduğunu ve yapay zeka sistemlerine özgü dokuz saldırı tipini özetlemiştim. Standart, güvenlik kontrollerini ISO/IEC 27002’den seçip risk değerlendirmesine göre uygulamamızı istiyor. Pratikte akla gelen soru hemen şu: hangi kontrol hangi saldırıya karşı işe yarıyor? Bu yazıda bunu bir tabloya döküyorum.
Önemli Not: Aşağıdaki tablo ISO/IEC 27090’ın resmi bir eşlemesi değildir. Standardın saldırı tiplerini ISO/IEC 27002:2022 kontrolleriyle kendi değerlendirmeme göre eşleştirdim. Bir çalışma taslağı olarak düşünün: kendi risk analizinizin yerine geçmez, kontrol seçiminde sizin sistemleriniz ve riskleriniz belirleyici olmalı. Kontrol numaralarını ve adlarını kendi ISO/IEC 27002:2022 kopyanızla da karşılaştırmanızı öneririm.
Tabloyu nasıl okumalı?
Her satırda bir saldırı, o saldırının hangi güvenlik hedefine zarar verdiği, ilgili ISO/IEC 27002:2022 kontrol numaraları ve pratikte ne yapılabileceği yer alıyor. Kontrol adlarının tamamı yazının sonundaki ek tabloda. Kontrol numaralarının yanı sıra tablolarda geçen kısaltmalar: ICT (Information and Communication Technology), PII (personal identifiable information, yani kişisel veri), XSS (cross-site scripting), DLP (Data Leakage Prevention), RAG (Retrieval-Augmented Generation), MLOps (Machine Learning Operations).
| Saldırı | Etkilenen hedef | İlgili ISO/IEC 27002:2022 kontrolleri | Pratikte ne yapılır? |
|---|---|---|---|
| Veri zehirleme (data poisoning) | Bütünlük | 5.9, 5.19, 5.21, 5.22, 8.3, 8.15, 8.16, 8.31 | Eğitim verisi kaynaklarını envantere alın ve doğrulamadan boru hattına sokmayın. Veri setine yazma yetkisini kısıtlayın. Sürekli öğrenen sistemlerde canlı girdileri izleyin. Eğitim ve üretim ortamlarını ayırın. |
| Doğrudan model zehirleme (direct model poisoning) | Bütünlük | 5.21, 8.4, 8.9, 8.24, 8.25, 8.28, 8.29, 8.32 | Eğitim kodu ve model dosyaları için kaynak kodu erişimi ve değişiklik yönetimi uygulayın. Tedarikçiden gelen modeli kullanmadan önce test edin. Model dosyalarının bütünlüğünü doğrulayın (ör. hash, dijital imza). |
| Kaçınma (evasion) | Bütünlük | 8.16, 8.26, 8.27, 8.29 | Dağıtımdan önce saldırgan örneklerle (adversarial) test yapın. Girdi doğrulaması ekleyin. Beklenmedik düşük güven skorlarını izleyin. Standardın uyarısını unutmayın: filtreler kusursuz değildir. |
| Prompt injection | Bütünlük | 5.15, 8.2, 8.3, 8.16, 8.26, 8.27, 8.28 | Talimat bağlamı ile veri bağlamını ayırın. Yapay zeka ajanlarına en az yetki verin ve yetkiyi eylem başına, süreli tanımlayın. Dış kaynaktan gelen metni güvenilmez sayın. Yüksek riskli eylemlerde insan onayı isteyin. |
| Çıktının enjeksiyon saldırısı taşıması (output contains injection attacks) | Çıktıyı kullanan sonraki sistem | 8.26, 8.27, 8.28, 8.29 | Model çıktısını güvenilmeyen girdi gibi ele alın. Çıktıyı kullanan uygulamada encoding ve doğrulama uygulayın (ör. XSS, yani cross-site scripting önlemleri). |
| Üyelik çıkarımı (membership inference) | Gizlilik | 5.12, 5.34, 8.3, 8.10, 8.11, 8.16 | Veri minimizasyonu ve sınıflandırma uygulayın. Kişisel veriyle eğitimde maskeleme ve gizlilik koruyucu eğitim tekniklerini değerlendirin. Model kullanımını loglayın. Gerekirse kendi modelinize karşı üyelik çıkarımı testi yapın. |
| Model tersine çevirme (model inversion) | Gizlilik | 5.12, 5.34, 8.3, 8.11, 8.12, 8.16 | Dışarıya verilen çıktı ayrıntısını azaltın (ayrıntılı güven skorlarını açmayın). Sorgu desenlerini izleyin. Eğitim verisinde maskeleme kullanın. |
| Model sızdırma (model exfiltration) | Gizlilik (modelin fikri mülkiyeti) | 5.15, 8.5, 8.6, 8.15, 8.16, 8.20 | Çıkarım (inference) uç noktalarında kimlik doğrulama zorunlu olsun. İstemci başına sorgu limiti koyun. Sorgu hacmini ve desenlerini izleyin. Standardın önerisini hatırlayın: önce yazılım yığınını sertleştirin. |
| Hassas model çıktısı (sensitive model output) | Gizlilik | 5.12, 5.34, 8.3, 8.11, 8.12, 8.15 | RAG (Retrieval-Augmented Generation) veri kaynaklarında yetkilendirmeyi koruyun. Çıktı filtreleme ve DLP (Data Leakage Prevention) uygulayın. Kullanıcı prompt’larının loglarını da koruma altına alın. |
Tablo 2: Tüm saldırılar için ortak kontroller
Bazı kontroller belirli bir saldırıya değil, tüm yapay zeka sistemlerine hizmet eder. Bunlar olmadan Tablo 1’deki kontroller de zayıf kalır.
| Kontrol | Yapay zeka sistemleri için karşılığı |
|---|---|
| 5.7 Threat intelligence | Yapay zekaya özgü yeni saldırı tekniklerini ve açıkları takip edin. |
| 5.9 Inventory of information and other associated assets | Yapay zeka sistemlerinin, modellerin ve veri setlerinin envanterini tutun. Standardın yönetişim önerisinin ilk adımı bu. |
| 5.23 Information security for use of cloud services | Bulut üzerindeki yapay zeka hizmetlerinde sorumluluk paylaşımını netleştirin. Sağlayıcının sertifikası sizin uygulama katmanınızı kapsamaz. |
| 5.24, 5.26, 5.27 Olay yönetimi | Yapay zekaya özgü olaylar (zehirlenmiş veri, model sızıntısı) için müdahale senaryoları hazırlayın ve olay sonrası derslere model davranışını da ekleyin. |
| 8.8 Management of technical vulnerabilities | ML kütüphaneleri, notebook platformları ve MLOps (Machine Learning Operations) araçları da yama ve zafiyet yönetiminin kapsamında olsun. |
| 8.15, 8.16 Logging, Monitoring activities | Model kullanımını loglayın, sorgu desenlerini ve model davranışındaki sapmayı izleyin. Sızdırma ve çıkarım saldırıları normal kullanım gibi göründüğü için bunun yerine geçen bir şey yok. |
Tablo 3: Annex B, geleneksel saldırıların yapay zeka sürümleri
Standardın Annex B bölümündeki üç saldırı, geleneksel saldırıların yapay zekaya uyarlanmış halleri. Bunlar için mevcut ISO/IEC 27002 uygulamalarınız büyük ölçüde zaten bir karşılık sunuyor. Önemli olan, bu kontrollerin model dosyalarını, eğitim verisini ve modele gönderilen girdileri de kapsadığından emin olmak.
| Annex B saldırısı | İlgili ISO/IEC 27002:2022 kontrolleri | Pratikte ne yapılır? |
|---|---|---|
| Doğrudan model hırsızlığı | 5.15, 8.3, 8.5, 8.12, 8.24 | Model dosyalarına erişimi kısıtlayın, depolamada ve aktarımda şifreleyin, sızıntı önleme uygulayın. |
| Eğitim verisi sızıntıları | 5.12, 5.34, 8.3, 8.11, 8.12, 8.24 | Eğitim verisini sınıflandırın, erişimi kısıtlayın, mümkünse maskeleyin ve şifreleyin. |
| Girdi verisi sızıntıları | 5.34, 8.3, 8.12, 8.15, 8.24 | Kullanıcıların modele gönderdiği veriyi koruyun, saklama sürelerini sınırlayın ve erişimi loglayın. |
Bu tabloyu boşluk analizinde nasıl kullanabilirsiniz?
- Üretimdeki ve geliştirmedeki yapay zeka sistemlerinin envanterini çıkarın (5.9). Modeller, eğitim verisi kaynakları, çıkarım arayüzleri ve kişisel veri akışları görünür olsun.
- Her sistem için dokuz saldırıyı risk değerlendirmesinden geçirin. Her saldırı her sistem için geçerli olmayabilir, örneğin üyelik çıkarımı kişisel veriyle eğitilmemiş bir modelde daha düşük risktir.
- Tablo 1 ve Tablo 2’deki kontrolleri mevcut kontrol kütüphanenizle karşılaştırın ve boşlukları işaretleyin.
- Boşlukları kalan riske göre sıralayın. Standardın dürüstçe belirttiği gibi bazı önlemler pahalıdır ve olgun bir güvenlik pratiği gerektirir. Hepsini herkes için uygulamak zorunda değilsiniz.
Dikkat edilmesi gerekenler
- ISO/IEC 27002 kontrolü olması yeterli değil. 8.16 izleme diyor ama hangi sinyali izleyeceğinizi söylemiyor. Güven skoru dağılımı, sorgu desenleri, model sapması gibi yapay zekaya özgü sinyalleri sizin tanımlamanız gerekir.
- Tespit hala zor. Standart, zehirli veri ve model tespitinin açık bir araştırma alanı olduğunu kabul ediyor. Kontrolün var olması, saldırının tespit edildiği anlamına gelmez.
- Savunmalar birbirini etkileyebilir ve zamanla zayıflar. Kontrolleri tek tek değil, birlikte test edin; model değiştiğinde yeniden doğrulayın.
- Önce yazılım yığını. Model hırsızlığı gibi konularda standart, yazılım yığınını sertleştirmenin çoğu zaman pahalı özel savunmalardan daha etkili olduğunu söylüyor.
| Kontrol | Resmi adı (ISO/IEC 27002:2022) |
|---|---|
| 5.7 | Threat intelligence |
| 5.9 | Inventory of information and other associated assets |
| 5.12 | Classification of information |
| 5.15 | Access control |
| 5.19 | Information security in supplier relationships |
| 5.21 | Managing information security in the ICT supply chain |
| 5.22 | Monitoring, review and change management of supplier services |
| 5.23 | Information security for use of cloud services |
| 5.24 | Information security incident management planning and preparation |
| 5.26 | Response to information security incidents |
| 5.27 | Learning from information security incidents |
| 5.34 | Privacy and protection of personal identifiable information (PII) |
| 8.2 | Privileged access rights |
| 8.3 | Information access restriction |
| 8.4 | Access to source code |
| 8.5 | Secure authentication |
| 8.6 | Capacity management |
| 8.8 | Management of technical vulnerabilities |
| 8.9 | Configuration management |
| 8.10 | Information deletion |
| 8.11 | Data masking |
| 8.12 | Data leakage prevention |
| 8.15 | Logging |
| 8.16 | Monitoring activities |
| 8.20 | Networks security |
| 8.24 | Use of cryptography |
| 8.25 | Secure development life cycle |
| 8.26 | Application security requirements |
| 8.27 | Secure system architecture and engineering principles |
| 8.28 | Secure coding |
| 8.29 | Security testing in development and acceptance |
| 8.31 | Separation of development, test and production environments |
| 8.32 | Change management |
asw
asw
asw