Почти девет от десет ръководители в здравеопазването твърдят, че екипите по сигурност или съответствие винаги или обикновено преглеждат генерирания от изкуствен интелект (ИИ) код, който обработва данни на пациенти, преди да бъде пуснат в експлоатация. Въпреки това седем от десет са открили създаден с ИИ инструмент, обработващ такива данни без знанието на ИТ отдела или екипа по сигурността, сочи проучване на Paubox.
Става въпрос за скриптове, автоматизации и интеграции, които служителите сглобяват с помощта на ИИ асистенти за програмиране. Уловката е следната: прегледът на кода обхваща само това, което някой предостави за проверка, а проверката за споразумение с бизнес партньор (договорът, който законът HIPAA изисква, преди външен доставчик да обработва данни на пациенти) се извършва само ако някой докладва за връзката. Освен ако някой не уведоми ИТ отдела, че инструментът съществува, той не преминава през нито една от двете процедури. Проучването не задава въпроса дали прегледаният код е причинил проблеми, така че не може да се твърди, че самият преглед се е провалил. Това, което то показва обаче, е, че едни и същи организации отчитат и двете явления.
Реална информация за пациенти достига до ИИ асистентите за програмиране поне понякога, докато служителите разработват, тестват или отстраняват грешки, според 93% от анкетираните, а седем от десет казват, че това се случва често или обикновено. Всеки път данните отиват при доставчика на асистента, преди инструментът изобщо да съществува в окончателен вид.
Междувременно само половината от респондентите имат въведена писмена политика относно ИИ асистентите за програмиране. Повечето твърдят, че въпреки това се чувстват подготвени да ги управляват, а 93% казват, че са обучили поне част от персонала за безопасното им използване. Съветът на Paubox е да се въведе едно правило – тестовата работа да използва синтетични данни – и то да се наложи технически в самите инструменти, тъй като обучението само по себе си не е успяло да предпази реалните данни на пациентите от попадане в асистентите.
Повече от половината ръководители споделят, че генерираният от ИИ код е допринесъл за вградени в кода идентификационни данни (hardcoded credentials), което означава пароли или API ключове, записани директно в самия изходен код. Около половината казват, че това е довело до излагане на риск на данни на пациенти или до несигурно съхранение на данни.
„Сенчестите ИТ“ (Shadow IT) представляват софтуер, който служителите възприемат и използват сами, без одобрение от ИТ отдела. Една четвърт от анкетираните посочват това като проблем. Седем от десет са открили създаден с ИИ инструмент, който обработва данни на пациенти извън полезрението на ИТ специалистите. Изтичането на данни на пациенти и несигурният код тревожат поотделно повече от половината от тях.
„Точният и задълбочен анализ на риска според HIPAA не само се изисква по закон, но е и необходим за защита на здравната информация и за предотвратяване или смекчаване на рансъмуер атаки. Ако субект, регулиран от HIPAA, не знае какви заплахи и уязвимости съществуват за неговата електронна защитена здравна информация (ePHI), той често научава това по трудния начин, когато системите му бъдат хакнати“, заяви Паула М. Станард, директор на Службата за граждански права към Министерството на здравеопазването и човешките ресурси на САЩ (HHS).