Resiliensi AI: Keamanan Tidak Sama dengan Ketahanan Operasional

Telset.id – Gangguan akses terhadap layanan AI enterprise menjadi masalah operasional yang lebih besar daripada sekadar risiko keamanan siber. Kasus Anthropic yang memulihkan akses model AI Fable dan Mythos menunjukkan bagaimana satu keputusan eksternal di luar kendali organisasi dapat menghilangkan kapabilitas bisnis yang kritis secara tiba-tiba.

Perdebatan seputar pemulihan akses tersebut mayoritas berfokus pada kepatuhan dan mekanisme kontrol ekspor. Namun, hanya sedikit yang mempertanyakan mengapa banyak organisasi baru menyadari bahwa satu keputusan eksternal mampu menghentikan operasional mereka dalam semalam. AI access disruptions adalah gejala dari masalah resiliensi operasional yang lebih besar, sekaligus memperlihatkan celah tata kelola (governance gap) seputar ketergantungan yang selama ini terabaikan.

Ketika organisasi mengintegrasikan AI lebih dalam ke operasional bisnis, fokus perlu bergeser dari sekadar mengeksplorasi apakah AI cukup aman saat ini, menjadi apakah organisasi dapat terus beroperasi jika layanan AI tersebut tidak tersedia. Pertanyaan ini menjadi krusial karena keamanan dan resiliensi ternyata tidak sama.

Keamanan Berbeda dengan Resiliensi

Keamanan (security) mencegah dan melindungi sistem dari kompromi. Hal ini menjaga agar penyerang tidak mendapatkan akses, mengurangi jumlah kerentanan, dan mempertahankan diri dari entitas jahat. Sementara itu, resiliensi adalah kemampuan untuk melanjutkan operasional bisnis ketika sistem, layanan, atau data menjadi tidak tersedia, apa pun penyebabnya.

Kita cenderung mengasosiasikan resiliensi dengan situasi seperti serangan siber atau kegagalan infrastruktur TI. Namun, AI telah mengubah lanskap ancaman bagi organisasi, cara mereka bekerja dengan AI, dan cara mereka melindungi diri darinya. Organisasi kini harus semakin merencanakan gangguan akses ke alat dan fungsi kritis yang disebabkan oleh keputusan geopolitik, regulasi, atau perubahan yang dibuat oleh penyedia teknologi itu sendiri.

Sebuah layanan tidak harus diretas untuk menjadi tidak tersedia. Keputusan kebijakan di belahan dunia lain dapat memiliki efek operasional yang sama persis. Kita melihat hal itu persis dengan kasus Anthropic. Dengan demikian, resiliensi harus dibangun ke dalam cara enterprise beroperasi dan mencakup infrastruktur AI baru, sehingga kelangsungan bisnis terjamin bahkan melalui interferensi kebijakan.

AI Menciptakan Jenis Ketergantungan Vendor Baru

Ketergantungan perangkat lunak tradisional biasanya melibatkan satu atau sedikit vendor. Berbeda halnya dengan AI enterprise yang sering bergantung pada ekosistem yang saling terhubung yang tidak dimiliki atau dikendalikan organisasi. Setiap lapisan tambahan dalam ekosistem AI mewakili ketergantungan, dan karenanya merupakan titik potensial kegagalan.

Kondisi ini menciptakan empat faktor risiko yang perlu diperhatikan oleh kepemimpinan perusahaan:

• Data sovereignty: Data enterprise dapat diproses di bawah yurisdiksi hukum yang tidak dikendalikan organisasi, dengan visibilitas terbatas mengenai siapa yang dapat mengaksesnya atau apakah data tersebut menjadi bahan pelatihan model di masa depan.
• Model sovereignty: Organisasi sering memiliki sedikit atau tidak ada kendali atas ketersediaan model, kemampuan dan perubahan fitur, atau keputusan akses. Hal ini membuat mereka terekspos jika penyedia tiba-tiba memutuskan untuk membatasi akses atau menarik kapabilitas.
• Infrastruktur dependency: Sebagian besar ekosistem AI enterprise saat ini bergantung pada segelintir penyedia cloud yang beroperasi di bawah yurisdiksi nasional tertentu.
• AI supply chain risks: Sistem yang saling terhubung antara model fondasi, platform cloud, dan vendor perangkat lunak berarti gangguan di satu lapisan dapat dengan cepat mengalir ke seluruh tumpukan teknologi yang lebih luas.

Faktor-faktor ini semakin bergantung pada geopolitik daripada teknologi. Kondisi ini mengingatkan kita pada bagaimana lepas ketergantungan vendor menjadi strategi penting, sebagaimana dilakukan ISP lokal LJN yang membangun sistem billing sendiri.

Tata Kelola AI adalah Masalah Level Boardroom

Kenyataannya, kontrak vendor saja tidak dapat menjamin akses tanpa gangguan ke alat dan platform yang telah diinvestasikan oleh enterprise. Namun, kerangka tata kelola belum benar-benar berkembang untuk memperhitungkan masalah ini. Hanya kerangka kerja yang baru muncul seperti NIS2 dan DORA yang mengakui bahwa resiliensi harus melampaui sekadar menangkis ancaman keamanan siber.

Praktik terbaik bagi organisasi saat mendekati kontrak vendor dan kerangka tata kelola mereka sendiri adalah memahami di mana letak ketergantungan di antara pemasok dan mengembangkan rencana kontingensi yang memungkinkan mereka beroperasi dengan lancar melalui era gangguan. Baik ketergantungan itu berada dalam platform AI, solusi ITSM, CRM, atau teknologi kritis bisnis lainnya, organisasi harus menilai bagaimana mereka akan terus beroperasi jika akses berubah dalam semalam.

AI harus menjalani pengawasan yang sama seperti vendor pihak ketiga kritis lainnya. Fenomena ini juga terlihat di pasar yang lebih luas, di mana Xiaomi menjadi vendor nomor satu di Indonesia, menunjukkan bagaimana dinamika vendor dapat berubah cepat dan memengaruhi ekosistem.

Selain itu, dewan direksi harus berhati-hati dalam menerima klaim kapabilitas AI begitu saja. Organisasi harus menuntut bukti bahwa klaim vendor memberikan hasil yang terukur. Meskipun AI dapat dengan cepat mengidentifikasi sejumlah besar potensi kerentanan, penemuan saja tidak meningkatkan resiliensi. Keahlian manusia di sini tetap penting untuk memvalidasi temuan, memprioritaskan perbaikan berdasarkan urutan dampak bisnis langsung, dan memastikan sumber daya difokuskan pada tempat risiko sebenarnya berada.

Mulai Kerangka Resiliensi Sebelum Gangguan Berikutnya

Pelajaran terbesar dari gangguan AI baru-baru ini adalah betapa banyak organisasi yang meremehkan ketergantungan mereka pada teknologi yang tidak mereka kendalikan secara pasti. Dengan adanya percakapan baru dari legislator AS seputar potensi “kill switch” AI, hal ini harus menjadi perhatian utama.

Pemimpin bisnis harus menyadari bahwa dengan semua peluang yang dibuka AI, risiko ketergantungan vendor mengikuti dari dekat. Jika menjadi kepala teknologi di enterprise besar saat ini, langkah yang diambil adalah memastikan tim di seluruh departemen teknologi dan keamanan memahami dari mana kapabilitas AI kritis berasal, ketergantungan yang ada di seluruh rantai pasokan, dan bagaimana operasi dapat tetap tangguh jika akses berubah dalam semalam.

Pada akhirnya, masa depan penggunaan AI enterprise yang sukses akan ditentukan oleh organisasi yang memasukkan strategi tata kelola dan resiliensi ke dalam rencana bisnis. Dengan demikian, melalui gangguan komersial, politik, dan operasional, bisnis dapat terus berjalan seaman seperti biasanya.