AI SECURITY & GOVERNANCE · КАЗАХСТАН
Попросите ИТ показать последние двадцать запросов, которые ушли в ChatGPT на прошлой неделе. В девяти компаниях из десяти ответа не будет.
Диагностика видимости AI за 5 рабочих дней — из журналов, которые у вас уже есть.
Первый звонок — бесплатный· Диагностика за 5 рабочих дней· Ничего не устанавливаем в вашу сеть· Не читаем содержимое запросов
Проблема
Результат
Семь документов, а не презентация. Всё перечисленное вы получаете файлами, и ничего из этого не требует покупать что-либо дальше.
Что происходит в компании с внешними AI за последние 30 дней — в числах, с выводами и приоритетами. Первая страница — сводка для руководителя: что происходит, насколько это существенно, что делать в первую очередь. Читается за две минуты и открывается отдельно от остального.
Построчно: сервис, вендор, домен, число обращений, уникальных пользователей, объём исходящего трафика, юрисдикция обработки, обучается ли вендор на данных пользователей, статус в вашей политике и приоритет — сочетание того, насколько активно сервис используется и что написано в его условиях.
Где концентрируется трафик и какие три отдела дают основной объём.
Что подключено к вашему Microsoft 365, какие разрешения выданы, кем и когда. Это не трафик — это постоянный доступ, и его обычно не видит никто.
То, что компания делает своими руками, без внедрения и без закупки. С разделением: что закрывается настройками Microsoft 365 и вашего NGFW, а что настройками не закрывается в принципе.
2–3 страницы под правку вашим юристом. Формулировки, которых пока нет во внутренних документах почти ни у кого.
С вами и теми, кого вы позовёте. Не презентация продукта — разбор ваших чисел.
Чего в отчёте нет: мы не называем числом, сколько раз в запросах встречались персональные данные. Из журналов прокси и DNS это не считается — там нет содержимого запросов. Мы показываем, какие категории данных технически могли уйти, исходя из типа сервиса, характера работы подразделения и объёма исходящего трафика, и честно помечаем это как оценку.
Фрагмент реестра AI-сервисов. Компания и все числа вымышлены.
| Сервис | Подразделение | Обращений | Уникальных | Исходящий, МБ | Юрисдикция | Обучение на данных | Статус в политике |
|---|---|---|---|---|---|---|---|
| ChatGPT (личные аккаунты) | Продажи | 1 240 | 34 | 87 | США | по умолчанию да | вне политики |
| Transcription-сервис | HR | 96 | 6 | 412 | ЕС | по умолчанию да | не рассматривался |
| AI в IDE | Разработка | 3 180 | 11 | 54 | США | зависит от тарифа | разрешён |
В реестре обычно 15–40 строк. Значения в колонках «Юрисдикция» и «Обучение на данных» берутся из условий использования каждого сервиса и проверяются вручную; в файле у каждой строки стоит дата проверки.
Числа
Все девять — из ваших данных. Ни одной отраслевой статистики и ни одной оценки «по рынку».
Пункт 9 — единственная метрика в отчёте, которая обычно окупает саму диагностику: в компаниях, которые уже что-то купили, оплаченные лицензии и фактическое использование расходятся.
От вас
Плюс 30 минут на установочном созвоне и час на разборе результатов. NDA — по вашему шаблону.
Процесс
Подписываем NDA по вашему шаблону, договариваемся, какие журналы выгружаете и в каком виде. Отправляем инструкцию по выгрузке и текст анонимной формы для сотрудников.
Разбираем логи, сопоставляем домены со справочником AI-сервисов, разбираем экспорт сторонних приложений из Microsoft 365. Параллельно идёт опрос сотрудников.
Считаем девять метрик, собираем реестры, пишем выводы и черновик раздела политики.
Передаём файлы и разбираем результат с вами. Дальше вы решаете, нужен ли контроль — и нужны ли для этого мы.
Срок считается от момента получения выгрузки, не от подписания. Обычно между установочным созвоном и выгрузкой проходит ещё несколько дней на вашей стороне.
Звонок
Разбираем вашу ситуацию: что у вас уже логируется, где вероятнее всего теневое использование AI и нужна ли вам диагностика вообще.
Собрать это внутри — две-три недели работы аналитика ИБ, плюс ручная проверка условий использования по трёмстам сервисам и поддержка справочника в актуальном состоянии.
Договор — на оказание информационно-аналитических услуг. Это не аудит информационной безопасности и не заключение о соответствии законодательству.
Образец
Полный отчёт по вымышленной компании на 400 сотрудников. Структура, метрики и формулировки — те же, что вы получите. Все числа в образце помечены как вымышленные.
Отчёт · PDF
10–20 страниц
сводка для руководителя
на первой странице
Это демонстрация того, что делает шлюз Aqura с содержимым запроса. В диагностику содержимое запросов не входит — там мы работаем только с метаданными.
Демо
Вставьте фрагмент рабочего текста и посмотрите, что Aqura обезличила бы перед отправкой во внешнюю модель. Это упрощённая клиентская демонстрация, а не сам детектор.
Текст не покидает ваш браузер. Ни одного сетевого запроса.
Что дальше
Между вашими системами и внешними моделями. Обезличивает персональные данные внутри вашего контура — наружу уходит только обезличенный текст.
Неизменяемый аудит-трейл: кто, когда, какие категории данных, в какую модель, какое решение приняла политика.
4–6 недель, одна-две системы. Detection rate и false positive rate измеряются на ваших данных, критерий выхода фиксируется письменно до старта. Стоимость диагностики засчитывается.
Вопросы
Нет. Мы не устанавливаем ПО, не подключаемся к вашим системам и не запрашиваем учётные записи. Вы делаете выгрузку журналов сами, в удобном вам виде, и передаёте её удобным вам способом. Логины в логах можно захэшировать до передачи — на результат это почти не влияет.
Нет. В журналах прокси и DNS содержимого запросов нет — там метаданные: домен, время, объём, кто обращался. Мы работаем только с ними. Это не оговорка, а граница услуги: инструмент, читающий содержимое, — это другой продукт и другое согласование внутри вашей компании.
Нет. Аудит ИБ — регулируемая деятельность со своими требованиями к исполнителю. Мы оказываем информационно-аналитическую услугу: анализируем ваши собственные журналы по вашему поручению и передаём результат. Договор оформлен именно так, и в нём нет заключения о соответствии.
Встроенные средства покрывают трафик внутри самой экосистемы. Они не видят, что сотрудник открыл ChatGPT в браузере под личным аккаунтом, что разработчик подключил модель в IDE и что сторонний AI-сервис получил постоянный доступ к почте через OAuth. Диагностика показывает разницу между тем, что покрыто, и тем, что происходит — включая список этих самых OAuth-приложений.
Логи посмотреть действительно можно. Дальше начинается остальное: сопоставить три сотни доменов с реальными сервисами и вендорами, прочитать по каждому условия использования и понять, обучается ли он на данных пользователей, разобрать OAuth-разрешения в Entra ID, собрать всё в форму, которую можно показать правлению, и написать раздел политики. Мы предлагаем взять это один раз готовым — а поддерживать дальше вы решите сами, на своих числах.
Выгрузка хранится у нас только на время работы и удаляется после передачи результата, срок фиксируется в договоре. Обезличенные выводы мы используем в материалах только с вашего разрешения и без названия компании. По умолчанию такого права у нас нет — оно обсуждается отдельно.
Нет, и никто не может. Соответствие — это юридическая оценка ваших процессов, а не свойство программного продукта. Aqura даёт техническую часть: контроль над тем, какие данные уходят наружу, и доказательства того, что именно происходило. Юридическую квалификацию конкретных сценариев делает ваша юридическая служба.
Это вопрос про шлюз, а не про диагностику. Таблица сопоставления токенов и исходных значений хранится в отдельном шифрованном хранилище внутри вашего контура. Доступ — по RBAC, с ротацией ключей и настраиваемым TTL: после истечения срока восстановление исходных значений становится невозможным. У нас доступа к этому хранилищу нет.
Команда
Aqura — продукт компании Nexa Core. Мы работаем в Казахстане и строим инфраструктурный слой AI-безопасности для локального рынка: юрисдикция, языки и требования к отчётности здесь другие, чем те, под которые сделаны глобальные платформы.
Инженеры с опытом построения продакшн-систем обработки данных и интеграций с корпоративной инфраструктурой.
Практика внедрения DLP и SIEM в компаниях финансового и телеком-сектора Казахстана.
Pre-MVP: работает прототип детектора, идут первые замеры. Мы говорим об этом прямо и не выдаём план за факт.
Заявка
Свяжемся в течение одного рабочего дня и предложим время. Звонок бесплатный, 15 минут, без презентации продукта.