Softnix Gen AI ให้ความสำคัญกับความปลอดภัยของข้อมูล การควบคุมการเข้าถึง และการใช้งาน AI ภายในองค์กรอย่างมีธรรมาภิบาล โดยออกแบบให้รองรับการใช้งานด้าน AI Chat, AI Assistant, Knowledge Management, Document Processing, RAG, Webchat และการเชื่อมต่อกับระบบภายในองค์กรหรือช่องทางสื่อสารภายนอกอย่างปลอดภัย
เอกสารนี้จัดทำขึ้นเพื่อสื่อสารภาพรวมมาตรการด้านความปลอดภัยของ Softnix Gen AI ให้กับลูกค้าและผู้ใช้งาน โดยหลีกเลี่ยงรายละเอียดเชิงเทคนิคภายใน รายละเอียดการติดตั้งเฉพาะระบบ หรือข้อมูลที่อาจมีผลต่อความปลอดภัยของระบบ
1. ภาพรวมด้านความปลอดภัยของระบบ
Softnix Gen AI เป็นแพลตฟอร์มสำหรับให้บริการปัญญาประดิษฐ์ในองค์กร ครอบคลุมการสนทนากับ AI การสร้างเนื้อหา การจัดการผู้ช่วย AI การประมวลผลเอกสาร การสร้าง knowledge base การค้นคืนข้อมูลประกอบคำตอบ และการใช้งานผ่าน Webchat หรือช่องทาง integration ต่าง ๆ
ระบบถูกออกแบบเป็นหลายชั้นการทำงาน เช่น ชั้นผู้ใช้งาน ชั้นบริการ API ชั้นประมวลผล AI ชั้นจัดการเอกสารและ knowledge และชั้นจัดเก็บข้อมูล เพื่อช่วยจำกัดขอบเขตการเข้าถึง ลดผลกระทบเมื่อเกิดเหตุผิดปกติ และรองรับการควบคุมข้อมูลตามนโยบายขององค์กร
2. การยืนยันตัวตนและการจัดการผู้ใช้งาน
Softnix Gen AI รองรับการยืนยันตัวตนได้หลายรูปแบบตามสภาพแวดล้อมของลูกค้า เช่น บัญชีผู้ใช้ภายในระบบ การเชื่อมต่อกับ LDAP หรือ Active Directory และการเชื่อมต่อกับ Identity Provider ผ่านมาตรฐาน OAuth สำหรับองค์กรที่ต้องการใช้ระบบบัญชีกลาง
หลังจากยืนยันตัวตนสำเร็จ ระบบใช้ token-based session เพื่อควบคุมการเรียกใช้งาน API และบริการต่าง ๆ ภายในแพลตฟอร์ม โดยออกแบบให้มีการตรวจสอบ token ก่อนเข้าถึงข้อมูลหรือฟังก์ชันที่ต้องได้รับอนุญาต
ข้อมูลรหัสผ่านของบัญชีภายในระบบไม่ถูกจัดเก็บในรูปแบบ plaintext และมีการใช้กระบวนการเข้ารหัสแบบทางเดียวที่เหมาะสมสำหรับการปกป้อง credential ของผู้ใช้งาน
3. การควบคุมสิทธิ์การเข้าถึง
Softnix Gen AI ใช้แนวทาง Role-Based Access Control, Project-Based Access Control และ Department-Based Access Control เพื่อกำหนดขอบเขตการใช้งานตามบทบาท หน่วยงาน โปรเจกต์ หรือ application context ของผู้ใช้งาน
ผู้ดูแลระบบสามารถกำหนดได้ว่าผู้ใช้งานแต่ละกลุ่มสามารถเข้าถึงฟีเจอร์ใดได้บ้าง เช่น AI Assistant, Webchat, Knowledge, เอกสาร, dashboard, configuration, usage overview, integration key หรือข้อมูลการสนทนา
ระบบรองรับการจำกัดสิทธิ์ตามเจ้าของข้อมูล โปรเจกต์ แผนก application, conversation และ knowledge scope เพื่อให้ผู้ใช้งานเห็นและจัดการเฉพาะข้อมูลที่เกี่ยวข้องกับตนเองหรือขอบเขตที่ได้รับอนุญาต
4. การแยกขอบเขตข้อมูล
ข้อมูลใน Softnix Gen AI ถูกออกแบบให้แยกตามบริบทของการใช้งาน เช่น ผู้ใช้งาน เจ้าของ application โปรเจกต์ แผนก conversation, knowledge base และชุดเอกสารที่นำมาใช้ประมวลผล
สำหรับการใช้งาน AI และ RAG ระบบสามารถผูกข้อมูล knowledge, เอกสาร, chunk, embedding และ vector index เข้ากับขอบเขตที่กำหนดไว้ เพื่อช่วยลดความเสี่ยงจากการปะปนของข้อมูลระหว่างผู้ใช้งานหรือหน่วยงาน
ในกรณีที่ลูกค้าต้องการการแยกข้อมูลในระดับสูงขึ้น เช่น แยกตาม tenant, network, database หรือ environment สามารถออกแบบร่วมกับสถาปัตยกรรมการติดตั้งของลูกค้าเพิ่มเติมได้
5. การปกป้องข้อมูล
ข้อมูลที่รับส่งระหว่างผู้ใช้งานกับระบบควรถูกปกป้องผ่านการเชื่อมต่อแบบเข้ารหัส HTTPS/TLS เพื่อลดความเสี่ยงจากการดักจับหรือแก้ไขข้อมูลระหว่างทาง
ข้อมูลที่ระบบจัดเก็บอาจประกอบด้วยข้อมูลผู้ใช้ การตั้งค่า application ข้อมูลการสนทนา ไฟล์เอกสาร ข้อมูล knowledge, metadata, usage data, audit log และข้อมูลสำหรับการค้นคืนคำตอบด้วย AI โดยสามารถกำหนดนโยบายการจัดเก็บและการเข้ารหัสให้สอดคล้องกับสภาพแวดล้อมที่ติดตั้งจริง
สำหรับข้อมูลที่มีความอ่อนไหว เช่น เอกสารภายในองค์กร ข้อมูลส่วนบุคคล หรือข้อมูลที่นำไปใช้กับ AI model ลูกค้าควรกำหนด classification, retention, access policy และ data processing policy ให้ชัดเจนตามข้อกำหนดขององค์กร
6. ความปลอดภัยของ AI และ Knowledge Processing
Softnix Gen AI รองรับการประมวลผลเอกสารและ knowledge ผ่านขั้นตอนที่ควบคุมได้ เช่น การนำเข้าเอกสาร การแบ่งเนื้อหาเป็นส่วนย่อย การสร้าง embedding การจัดเก็บ vector index และการค้นคืนข้อมูลเพื่อประกอบคำตอบของ AI
ระบบสามารถกำหนดให้ AI Assistant หรือ Webchat ใช้ข้อมูลเฉพาะจาก knowledge scope ที่ได้รับอนุญาต เพื่อช่วยลดความเสี่ยงจากการดึงข้อมูลผิดขอบเขตหรือเปิดเผยข้อมูลที่ผู้ใช้งานไม่มีสิทธิ์เข้าถึง
ในกรณีที่มีการเชื่อมต่อกับ AI provider ภายนอก องค์กรควรพิจารณาประเภทของข้อมูลที่ส่งออก ข้อกำหนดด้าน data residency และข้อตกลงการประมวลผลข้อมูลของผู้ให้บริการนั้น ๆ ส่วนการติดตั้งแบบ Private AI หรือ Local LLM สามารถช่วยลดการส่งข้อมูลออกนอกสภาพแวดล้อมของลูกค้าได้
7. ความปลอดภัยของ Webchat และช่องทาง Integration
Softnix Gen AI รองรับการใช้งานผ่าน Webchat และช่องทาง integration ต่าง ๆ โดยออกแบบให้มีการควบคุม token, application context, conversation context และขอบเขตข้อมูลที่เกี่ยวข้องกับผู้ใช้งานหรือแผนก
การเชื่อมต่อกับช่องทางภายนอกหรือระบบขององค์กรสามารถกำหนดสิทธิ์และขอบเขตการใช้งานตาม application, department, key หรือ conversation เพื่อให้แต่ละช่องทางเข้าถึงเฉพาะข้อมูลและบริการที่จำเป็นต่อการทำงาน
ระบบควรกำหนดนโยบายการออก ใช้งาน ทบทวน และยกเลิก API key หรือ integration credential ตามหลัก least privilege และกระบวนการบริหารจัดการ secret ขององค์กร
8. ความปลอดภัยของไฟล์และเอกสาร
Softnix Gen AI รองรับการอัปโหลดและประมวลผลไฟล์เอกสารเพื่อใช้สร้าง knowledge หรือใช้ประกอบการตอบคำถามของ AI โดยระบบออกแบบให้สามารถแยกพื้นที่จัดเก็บและ metadata ของไฟล์ตามบริบทการใช้งาน
การใช้งานใน production ควรกำหนดมาตรการเพิ่มเติมตามระดับความเสี่ยงของลูกค้า เช่น การจำกัดขนาดไฟล์ ประเภทไฟล์ที่อนุญาต การสแกนมัลแวร์ การควบคุมสิทธิ์ของพื้นที่จัดเก็บ และการลบไฟล์ที่ไม่จำเป็นตามรอบเวลา
9. Audit Log และการตรวจสอบย้อนหลัง
Softnix Gen AI มีการบันทึกเหตุการณ์สำคัญของระบบและการใช้งาน เช่น การเข้าสู่ระบบ การเรียก API การเปลี่ยนแปลงข้อมูลสำคัญ การจัดการสิทธิ์ การใช้งาน application หรือ conversation และเหตุการณ์ผิดพลาดที่จำเป็นต่อการตรวจสอบ
ข้อมูล audit log และ application log ช่วยให้ผู้ดูแลระบบสามารถตรวจสอบย้อนหลัง วิเคราะห์เหตุการณ์ แก้ไขปัญหา และสนับสนุนกระบวนการกำกับดูแลด้านความปลอดภัยขององค์กรได้
ใน production ควรกำหนดนโยบาย log retention, log redaction, centralized logging, alerting และการป้องกันการแก้ไข audit trail ตามข้อกำหนดของลูกค้าและมาตรฐานที่เกี่ยวข้อง
10. ความปลอดภัยด้านโครงสร้างพื้นฐาน
Softnix Gen AI รองรับการติดตั้งในสภาพแวดล้อมที่ควบคุมได้ เช่น cloud, private cloud, on-premise, containerized deployment หรือ network ที่จำกัดการเชื่อมต่อภายนอก
ระบบสามารถวางหลัง reverse proxy, ingress controller หรือ API gateway เพื่อจัดการ TLS, request policy, CORS, rate limiting, network boundary และการจำกัดการเข้าถึง service ภายใน
ฐานข้อมูล object storage, vector store, message service หรือ component ภายในที่เกี่ยวข้องควรถูกจำกัดให้อยู่ใน private network และเปิดให้เฉพาะ service ที่ได้รับอนุญาตเท่านั้น
11. Secret และ Configuration Management
ค่าลับของระบบ เช่น token signing secret, database credential, integration key, provider API key และ application secret ควรถูกจัดเก็บผ่าน environment configuration, secret manager หรือกลไกจัดการ secret ของ platform ที่ติดตั้งจริง
ระบบไม่ควรเปิดเผย secret ผ่าน log, error response, screenshot หรือเอกสารสำหรับสาธารณะ และควรมีกระบวนการ rotate credential ตามรอบเวลาหรือเมื่อมีความเสี่ยงด้านความปลอดภัย
12. Backup และ Recovery
Softnix Gen AI สามารถกำหนดนโยบาย backup และ recovery ให้ครอบคลุมข้อมูลสำคัญ เช่น metadata, conversation, configuration, uploaded files, knowledge content, vector index, logs และ deployment configuration
สำหรับ production ควรกำหนด RPO/RTO ให้สอดคล้องกับ SLA ของลูกค้า มีการสำรองข้อมูลอัตโนมัติ เข้ารหัส backup จำกัดสิทธิ์การเข้าถึง backup และทดสอบการกู้คืนข้อมูลเป็นระยะ
13. ทางเลือกในการติดตั้งใช้งาน
Softnix Gen AI รองรับการติดตั้งได้หลายรูปแบบตามข้อกำหนดด้านความปลอดภัยและการดำเนินงานของลูกค้า เช่น
- การติดตั้งบน cloud หรือ managed infrastructure
- การติดตั้งบน private cloud ขององค์กร
- การติดตั้งภายในองค์กร
- การใช้งานร่วมกับ Private AI หรือ Local LLM
- การใช้งานในสภาพแวดล้อมที่ควบคุมการเชื่อมต่อภายนอก
- การใช้งานในสภาพแวดล้อมที่ต้องการ network isolation สูง
14. การพัฒนาและยกระดับความปลอดภัยอย่างต่อเนื่อง
ทีมพัฒนาให้ความสำคัญกับการปรับปรุงมาตรการด้านความปลอดภัยอย่างต่อเนื่อง ทั้งในด้านการควบคุมสิทธิ์ การจัดการ secret การปกป้องข้อมูล การตรวจสอบการใช้งาน การควบคุม integration กับ AI provider การ hardening สภาพแวดล้อม และการนำกระบวนการ security testing เข้ามาในวงจรการพัฒนาระบบ
15. การแจ้งปัญหาด้านความปลอดภัย
หากลูกค้าพบข้อกังวลหรือประเด็นด้านความปลอดภัย สามารถแจ้งทีมผู้ดูแลระบบหรือทีมพัฒนาเพื่อดำเนินการตรวจสอบและแก้ไขตามกระบวนการที่เหมาะสมได้ทันที