人工智能时代的网络安全：员工福利管理的最佳实践

引言

网络安全已成为员工福利计划受托人面临的一项关键问题。鉴于涉及数万亿美元的退休资产以及海量的敏感参与者数据，福利计划已成为网络犯罪分子的诱人目标。 与此同时，人工智能（AI）在福利管理中的应用日益广泛，由此衍生出新的网络安全漏洞，受托人必须予以应对。本文介绍了美国劳工部（DOL）网络安全指南的背景，分析了与AI工具相关的网络安全风险，并提出了管理这些风险的切实可行的措施。

美国劳工部网络安全指南及执法重点

2021年4月，美国劳工部（DOL）下属的员工福利保障局（EBSA）发布了首份针对员工福利计划的网络安全指南。2024年9月，EBSA更新了该指南，明确指出所有员工福利计划（包括退休计划以及健康与福利计划）均须遵守其网络安全要求。该指南明确指出，美国劳工部将网络安全视为《雇员退休收入保障法》（ERISA）规定的受托责任。 计划受托人必须作为其审慎义务的一部分，确保妥善缓解网络安全风险，包括审慎选择和监督处理参与者数据及计划资产的服务提供商。换言之，受托人不能仅仅依赖服务提供商来管理这些风险——必须对其进行积极且持续的监督。 

尽管这份初步指南已发布四年有余，但网络安全仍是美国劳工部（DOL）的首要任务。今年早些时候，雇员福利保障局（EBSA）发布了其2026年执法重点，网络安全位居榜首。此外，EBSA已将网络安全相关问题纳入其标准计划审计规程，调查人员现要求提供有关网络安全政策、服务提供商协议及事件响应程序的文件。

人工智能对网络安全的影响 人工智能工具在福利管理中的应用日益广泛，从回答参与者问题的聊天机器人，到处理理赔并生成投资建议的算法，不一而足。虽然这些工具能够提高效率，但也带来了新的网络安全风险，受托人必须对此进行评估。（有关在401(k)计划中使用人工智能所涉及的更广泛受托责任考虑因素的更多信息，请参阅我们之前的文章： 生成式人工智能（AI）与401(k)计划受托人责任的关联。）

首先，人工智能系统通常需要访问海量的敏感数据才能有效运行。这种数据集中现象使其成为网络攻击的诱人目标。一旦人工智能系统遭到入侵，不仅当前用户的信息可能泄露，用于训练模型的历史数据也可能暴露。

其次，人工智能工具可能容易受到“对抗性攻击”的影响——即专门设计用于操纵人工智能输出结果的网络攻击。恶意行为者可能利用人工智能系统批准欺诈性交易、提供错误的福利信息，或绕过安全控制措施。某些人工智能系统的复杂性使得此类攻击难以被察觉。

第三，人工智能与其他系统集成可能会带来额外的安全漏洞。人工智能工具通常会连接多个数据库、通信平台和第三方服务。每个集成点都可能成为潜在的安全漏洞。 

网络安全最佳实践

根据美国劳工部（DOL）的指导意见及最新最佳实践，受托人应考虑采取以下措施：

1. 供应商尽职调查。在选择服务提供商时，应将其网络安全实践纳入审慎的筛选流程中进行评估。要求对方提供书面网络安全政策并加以审查，询问其安全认证和网络安全保险情况，并了解其安全事件历史。鉴于供应商越来越多地使用人工智能，应特别询问是否在使用人工智能以及用于何种目的，这些人工智能工具可以访问哪些数据，以及这些数据是如何存储和保护的。 此外，鉴于受托责任在供应商选定后并未终止，应实施持续监控程序，包括要求服务提供商定期提交网络安全报告和/或提供认证。
2. 合同保障。服务协议应包含完善的网络安全条款。需重点审查的条款包括：数据安全及数据泄露责任是否明确划分；要求服务提供商维持特定的安全控制措施；安全事件的通知义务；年度网络安全报告或认证；允许计划方核实安全合规性的审计权；对分包的限制及对分包商监督的要求；以及针对人工智能特定风险的条款，包括数据使用限制和安全测试要求。
3. 参与者教育。受过教育的参与者是抵御社会工程学攻击和账户劫持攻击的重要防线。应遵循美国劳工部（DOL）的指导方针，向计划参与者传达网络安全最佳实践。鼓励使用强密码、多因素身份验证，并定期监控账户活动。提供明确的指引，说明如何报告可疑欺诈行为或未经授权的账户访问。
4. 员工教育。人为失误仍是导致数据泄露的主要原因之一。受托人应确保所有能够访问计划数据的个人定期接受网络安全培训，频率至少为每年一次。培训内容应涵盖如何识别钓鱼邮件和社会工程学攻击、敏感信息的正确处理方式（包括人工智能的恰当与不当使用），以及报告可疑事件的流程。此外，还应考虑在《计划概要说明》中加入关于网络安全的声明，引导参与者查阅美国劳工部（DOL）的在线安全提示。
5. 文件记录。最后但同样重要的是，要记录所有与网络安全相关的决策。这包括服务提供商评估记录、持续的供应商审查、培训活动、网络安全政策审查与更新、事件响应措施以及保险审查。决策记录应同时包含最终决策的记录以及在做出该决策过程中所审查的信息。 一旦发生劳工部（DOL）审计或参与者投诉，这些记录将证明受托人已审慎行事并遵守了《雇员退休收入保障法》（ERISA）规定的义务。如果没有完善的记录，当您无法证明曾采取过审慎行动时，您所做的其他审慎举措可能将付诸东流。