ChatGPT Work bulut güvenliği

ChatGPT Work, bulut görevlerini OpenAI tarafından yönetilen altyapıdaki yalıtılmış bir ortamda çalıştırır. Bu kılavuzda bu görevlerin nelere erişebildiği, yöneticilerin hangi denetimleri uygulayabildiği ve saklama ile denetimin farklı bilgi kategorilerine nasıl uygulandığı açıklanmaktadır.

Yetenekler ve denetimler; çalışma alanı planına, dağıtım aşamasına, yapılandırmaya ve bağlı entegrasyona bağlıdır. Daha kapsamlı yürütme modeli için ChatGPT Work'e Genel Bakış bölümüne bakın.

Bir bakışta güvenlik

• Buluttaki görevler kullanıcının cihazında değil, OpenAI tarafından yönetilen altyapıda çalışır.
• Bulut görevi, bu cihazdaki yerel dosyaları, masaüstü uygulamalarını, tarayıcı oturumlarını veya özel ağ erişimini devralmaz.
• Bağlı uygulamalar, bireysel, paylaşılan veya ajana ait bir hesap olabilen yetkilendirilmiş hesabın izinlerini kullanır.
• Çalışma alanına ve özelliğe özgü denetimler; Work erişimini, yerel yürütmeyi, bulutta gezinmeyi, bağlı uygulamaları ve kod ya da kabuk ağını yönetir.
• Business, Enterprise ve Edu çalışma alanı verileri aktarım ve depolama sırasında şifrelenir ve varsayılan olarak OpenAI modellerini eğitmek için kullanılmaz.
• Saklama ve denetim görünürlüğü; veri kategorisine, depolama konumuna, olaya ve geçerli ürün yapılandırmasına bağlıdır.

Bulut görevlerinin çalıştığı yer

Kişiler bulut görevlerini desteklenen ChatGPT web, mobil veya masaüstü deneyimlerinden başlatabilir. Web ve mobil cihazlardaki Work bulutta çalışır. Masaüstü uygulaması, ilgili izinler kullanılabilir ve etkin olduğunda bulut veya yerel görevleri çalıştırabilir.

Kullanıcının cihazı, OpenAI tarafından işletilen sistemlerin dışında ve kuruluşun BT tarafından yönetilen kendi güven sınırı içinde bulunur. Masaüstü uygulamasından bir bulut görevi başlatmak, göreve kullanıcının bilgisayarına doğrudan erişim sağlamaz. Yürütme, görevi başlatmak için kullanılan yüzeyden bağımsız olarak OpenAI tarafından yönetilen ortamda kalır.

Work Cloud, Codex görev yürütme sistemini kullanır. Work ve Codex temel yürütme ve yalıtım mekanizmalarını paylaşır ancak kullanılabilir araçları, izinleri ve yönetim denetimleri aynı değildir. Müşteri; çalışma alanı erişimini, onaylanmış bağlantıları ve bir göreve bilinçli olarak sağlanan bilgileri denetler; OpenAI ise barındırılan yürütme ortamını yönetir.

Work Cloud, OpenAI tarafından yönetilen paylaşımlı altyapıda çalışır. Mevcut desteklenen yürütme yolunda görevler, yürütme durumu çalışma alanındaki kimliği doğrulanmış hesap kullanıcısıyla ilişkilendirilmiş şekilde VM destekli korumalı alanlarda çalışır. Work, uygun durumu koruyarak görevler arasında bir ortamı yeniden kullanabilir veya değiştirebilir. Bu, her görevin yeni bir kapsayıcı aldığı veya her müşterinin kendisine ayrılmış bir fiziksel ana makineye sahip olduğu anlamına gelmez. Müşteriler Work Cloud kapsayıcılarını sağlamaz, barındırmaz veya yönetmez.

Bir bulut görevinin erişebilecekleri

Bir bulut görevi, yetkilendirilmiş bir yol üzerinden sunulan bilgileri kullanabilir:

• Bir kişinin konuşmaya girdiği bilgiler.
• Bilinçli olarak yüklenen, Library'den eklenen veya bir proje aracılığıyla sunulan dosyalar.
• Etkinleştirilmiş bir uygulama ve yetkilendirilmiş hesap bağlantısı aracılığıyla alınan içerik.
• Geçerli erişim denetimlerine tabi olarak etkinleştirilmiş bir bulut tarayıcısı veya izin verilen başka bir web özelliği üzerinden erişilen web sitesi içeriği.

Bir bulut görevi; yerel dosyalara, yüklenmiş uygulamalara veya kullanıcının tarayıcı oturumuna erişimi doğrudan devralmaz. Bir cihazın kurumsal VPN'ye, dahili web sitesine veya özel ağa erişebilmesi, bulut görevine bu erişimi sağlamaz.

Yetkilendirilmiş bir bağlantı, dahili bir sistemdeki bilgileri kendi erişim yolu üzerinden kullanılabilir hâle getirebilir. Bu bağlantı, bulut görevine çalışanın cihazına veya ağına sınırsız erişim sağlamaz.

Uygulamalar, eklentiler ve bağlı hesaplar

Bir uygulama, Work'e başka bir sistemdeki bilgilere veya eylemlere erişim sağlayabilir. Bir eklenti, temelindeki araçlardan biri olarak bir uygulamayı kullanabilir. Bir eklentiyi kullanılabilir hâle getirmek; temelindeki uygulamayı otomatik olarak etkinleştirmez, bir hesabı yetkilendirmez veya entegrasyonun gerçekleştirebildiği her eylemi onaylamaz.

Bir uygulama veya bağlayıcı kullanan görev yalnızca şu koşullarda ilerleyebilir:

• Çalışma alanı, uygulamayı ve onu gerektiren tüm eklentileri etkinleştirir.
• Kişi, gerekli çalışma alanı veya rol erişimine sahiptir.
• Bağlantı; bireysel, paylaşılan veya ajana ait bir hesap için yetkilendirilmiştir.
• Bağlı hesap, onaylanmış kapsamlar ve kullanılabilir uygulama eylemi ayarları, istenen bilgiye veya işleme izin verir.

Action control özelliğini destekleyen uygulamalarda yöneticiler salt okunur eylemlere, tüm eylemlere veya özel bir kümeye izin verebilir. App permissions, ChatGPT'nin bir uygulamayla çalışmak için ne zaman onay isteyeceğini denetler. Uygulamaya ve çalışma alanına bağlı olarak seçenekler arasında Always ask, Any changes, Important actions ve Never ask bulunabilir. Any changes seçildiğinde, desteklenen okuma işlemleri istem olmadan ilerleyebilirken değişiklikler onay gerektirir.

Onay politikası izin verdiğinde yazma işlemi dâhil olmak üzere yetkilendirilmiş bir eylem istem olmadan çalışabilir. Bu, uygulamanın izin verilen eylemlerini, çalışma alanı erişimini veya bağlı hesabın izinlerini genişletmez. ChatGPT bazı yüksek riskli eylemleri yine de engelleyebilir.

Eklentinin ve temelindeki her uygulamanın çalışma alanında kullanılabilir olduğunu doğrulayın. Rol erişimini, bağlı hesap yetkilendirmesini ve eylem izinlerini birbirinden ayrı kararlar olarak inceleyin. Bkz. Plugin denetimleri.

Kişisel ve paylaşılan bağlantılar

Kişisel bağlantı, bağlı çalışanın kaynak sistemdeki izinlerini kullanır. Paylaşılan veya ajana ait bir bağlantı ise bunun yerine bağlı hesabının izinlerini kullanır. Bu hesap, istekte bulunan kişinin kişisel bir hesapla erişemeyeceği bilgilere erişebilir veya gerçekleştiremeyeceği eylemleri gerçekleştirebilir.

Paylaşılan bir bağlantıyı etkinleştirmeden önce hesabın izinlerini ve kapsamlarını sınırlayın, bağlantıyı kimlerin kullanabileceğini seçin ve gerçekleştirebileceği eylemleri inceleyin. Bkz. Workspace Agent bağlantıları ve izinleri.

Bağlı bir uygulamadan alınan içerik, Library dosyası olarak otomatik biçimde kaydedilmez. İçerik daha sonra bir konuşmaya, projeye, Library'ye veya eşitlenen dizine kaydedilirse bu kopya, kaydedildiği konumun kurallarına uyar.

Bulut tarayıcısı ve ağ erişimi

Bulut tarayıcısı, web araması, bağlı uygulamalar ve kod ya da kabuk ağı ayrı özelliklerdir ve her biri yapılandırılabilir. Birini kısıtlamak diğerlerini otomatik olarak devre dışı bırakmaz.

Bulut tarayıcısı

Bulut tarayıcısı, bir Work görevinin web siteleriyle etkileşim kurmak için kullanabileceği barındırılan bir araçtır. ChatGPT'yi bir web tarayıcısında veya masaüstü uygulamasında açmak, bulutta gezinmeyi etkinleştirmez; bir bulut görevi bu özellik olmadan çalışabilir.

Barındırılan tarayıcı, kullanıcının yerel tarayıcı profilini, açık sekmelerini, mevcut oturum açma bilgilerini, kaydedilmiş parolalarını, parola yöneticisini veya tarama geçmişini devralmaz.

Desteklenen web sitesi etkileşimleri herkese açık formları içerebilir ve yetkilendirilmiş bir uygulamadaki bilgileri bir web sitesi göreviyle birleştirebilir. Kullanılabildiği durumlarda web sitesi izinleri Always ask, Auto approve ve Always allow seçeneklerini içerir. Auto approve otomatik risk denetimleri uygular; Always allow etkileşimli web sitesi erişimi incelemesini kaldırır. Hiçbiri yeni uygulama izinleri sağlamaz veya bir web sitesindeki her eylemi onaylamaz. Önemli sonuçlar doğuran eylemler yine de ayrı onay gerektirebilir.

Bir Work görevinin Enterprise çalışma alanında bulut tarayıcısını kullanabilmesi için yöneticilerin hem Work erişimini hem de bulut tarayıcısı erişimini etkinleştirmesi gerekir. Bkz. ChatGPT'de bulut tarayıcısını kullanma.

Kod ve kabuk ağı

Kod veya kabuk yürütmesi için genel internet erişimi kendi ağ politikasına uyar. Genel internet erişimi kapalıyken ChatGPT Work için gerekli ağ hedeflerine yönetilen bir hedef izin listesi üzerinden yine de erişilebilir.

İzin listesi, kabuk komutlarını değil ağ hedeflerini yönetir. Kod veya kabuk yürütmesinde genel internet erişimini devre dışı bırakmak tek başına bulut tarayıcısını, web aramasını veya bağlı uygulamaları devre dışı bırakmaz. Ağ ayarı değişiklikleri; mevcut kod çalıştırması veya kabuk komutu tamamlandıktan ve yürütme ortamı yenilendikten sonra uygulanır.

Bkz. Kod ve kabuk korumalı alanı.

Verilerin işlenmesi ve saklanması

Business, Enterprise ve Edu çalışma alanı verileri aktarım ve depolama sırasında şifrelenir. OpenAI, bir kuruluşun ticari girdilerini veya çıktılarını varsayılan olarak modellerini eğitmek ya da iyileştirmek için kullanmaz. Bkz. Enterprise gizliliği.

Bir bulut göreviyle ilişkili bilgiler tek bir evrensel saklama planına uymaz:

Bir konuşmayı silmek, bir Library dosyasını veya kaydedilmiş anıyı kaldırmak, bir uygulamanın bağlantısını kesmek ve barındırılan tarayıcı verilerini temizlemek ayrı eylemlerdir. Tek bir eylemin her kopyayı kaldırdığını varsaymak yerine ilgili depolama konumunu inceleyin. Bkz. Sohbet ve dosya saklama politikaları.

Uygun konuşma ve yürütme bağlamını saklamak, Work'ün kesintiye uğramış görevleri sürdürmesine, önceki adımlara başvurmasına ve daha tutarlı sonuçlar üretmesine yardımcı olabilir. Daha kısa saklama süresi veya silme işlemi bu sürekliliği azaltabilir; bu nedenle ayarları güvenlik gereksinimleriyle iş akışının yararını dengeleyecek şekilde seçin.

Uygun Enterprise ve Edu çalışma alanları, müşteri tarafından yönetilen şifrelemenin gerekli olduğu durumlarda desteklenen barındırılmış yürütme anlık görüntüleri dâhil olmak üzere desteklenen depolanmış içerikler için Enterprise Key Management'ı kullanabilir. Kapsam, veri kategorisine ve dağıtıma göre değişir. Bir anahtarı döndürmek mevcut verileri silmez veya tek başına daha önce şifrelenmiş içeriğe erişimi engellemez. Anahtar erişimini iptal etmek veya devre dışı bırakmak, desteklenen iş akışlarını aksatabilecek ayrı bir eylemdir. Bunların hiçbiri bir saklama veya silme politikasının yerini almaz.

Veri yerleşimi ve çıkarım yerleşimi yalnızca kuruluşun sözleşmesine, bölgesine ve yapılandırmasına tabi olan uygun içerik ve desteklenen iş yükleri için geçerlidir. Bağlı uygulamalar, harici sağlayıcılar ve bazı işleme süreçleri veya eşitlenen dizinler ayrı konum kurallarına uyabilir. Ürün, entegrasyon ve bölge desteğini doğrulayın. Bkz. Veri yerleşimi ve çıkarım yerleşimi.

OpenAI API Zero Data Retention, API'ye özgü bir denetimdir ve ChatGPT Work için saklama koşullarını tanımlamaz.

Yönetici erişim denetimleri

Bir bulut görevinin her bölümü için geçerli denetimleri inceleyin:

• Work Cloud ve Work Local: Bağımsız denetimlerin bulunduğu yerlerde bulut ve yerel Work'ü Workspace settings > Permissions & roles altında ayrı denetimler olarak yönetin. Diğer çalışma alanlarında yerel Work, Codex Local ile aynı denetimi paylaşabilir.
• Uygulamalar ve eklentiler: Hangi entegrasyonların kullanılabileceğini ve hangi kişi veya rollerin bunları kullanabileceğini seçin.
• Bağlı hesap eylemleri: Hesap izinlerini, uygulama kapsamlarını ve kullanılabilir eylem ya da onay denetimlerini inceleyin.
• Tarayıcı ve ağ: Bulut tarayıcısı erişimiyle kod veya kabuk genel ağ erişimini birbirinden bağımsız olarak değerlendirin.

Ayrı Work Cloud ve Work Local denetimlerinin bulunduğu yerlerde, yerel yürütme olmadan bulut Work'e izin vermek için amaçlanan rolde Work Cloud seçeneğini etkinleştirip Work Local seçeneğini devre dışı bırakın. Yerel Work ile Codex'in aynı denetimi paylaştığı yerlerde, yerel yürütmeyi devre dışı bırakmadan önce bunun ikisine de etkisini inceleyin. Bu denetimler, yetkili bir kişinin bir dosyayı bilinçli olarak bulut görevine yüklemesini engellemez.

Default, On ve Off durumlarına sahip desteklenen rol izinlerinde Default, çalışma alanı ayarını devralır; On erişim sağlar ve geçerli herhangi bir sıradan roldeki açık Off erişimi reddeder. Bazı Work ve eklenti ayarları farklı, iki durumlu denetimler kullanır. Özellikle birden fazla rol geçerli olduğunda her kişinin etkin erişimini doğrulayın. Bkz. Rol tabanlı erişim denetimi.

Kullanılabildiği yerlerde Work Cloud izni desteklenen web, mobil ve masaüstü deneyimlerinin tümünde geçerlidir. Bu izin, bu yüzeylerden hangilerinin bulut görevlerini çalıştırabileceğini bağımsız olarak seçmez. Bir dağıtımın belirli bir yüzeyi hariç tutması gerekiyorsa cihaz yönetimini veya diğer erişim denetimlerini değerlendirin.

Denetim ve uyumluluk görünürlüğü

Uygun Enterprise ve Edu çalışma alanlarında Compliance Logs Platform, desteklenen Work istemlerini ve yanıtlarını içerebilir. Bağlı uygulama çağrılarının ayrı günlükleri vardır ve kullanılabilir kaynak sistem denetim kayıtları entegrasyona göre değişir. Desteklenen uyumluluk uç noktaları, uygun Library dosyalarına erişim sağlayabilir.

Kapsam, olaya ve olayın gerçekleştiği sisteme bağlıdır. Her kabuk komutunun, tarayıcı etkileşiminin, uygulama çağrısının, dosya işleminin veya onayın müşterinin görebildiği bir uyumluluk dışa aktarımında yer aldığını varsaymayın.

Uç nokta izleme, yönetilen cihazlardaki ChatGPT istemcisini veya ağ trafiğini gözlemleyebilir ancak barındırılan yürütme ortamının içindeki eylemleri inceleyemez. Bunun yerine desteklenen Work, uyumluluk ve bağlı sistem kayıtlarını kullanın.

Mevcut uyumluluk olayı kapsamını; çalışma alanı raporlaması, bağlı sistem denetim günlükleri ve dışa aktarılan kayıtları alan sistemlerin saklama politikalarıyla birlikte inceleyin. Bkz. OpenAI Compliance Platform.

Kısıtlı ve yararlı bir iş akışıyla başlayın

Bir güvenlik ekibi güncel bir tedarikçi danışma belgesini yükleyebilir, bunu yetkilendirilmiş bir varlık envanteriyle karşılaştırabilir ve harekete geçmeden önce taslak maruziyet değerlendirmesini inceleyebilir. Bulutta gezinme veya uygulama bağlantısı etkin değilse ekip, danışma belgesini ve onaylanmış bir envanter alıntısını doğrudan sağlayabilir.

Küçük bir grupla başlayın ve yalnızca görev için gerekli erişimi etkinleştirin. Dağıtımı genişletmeden önce bağlı hesap izinlerini, veri saklamayı, insan incelemesi noktalarını ve kullanılabilir günlükleri doğrulayın. Dağıtım planlaması için Yönetici dağıtım kılavuzu bölümüne bakın.