Μόνο το 29% των ομάδων ασφάλειας μπορεί να αναφέρει τακτικά τα ευαίσθητα δεδομένα που στέλνουν οι εργαζόμενοι σε εργαλεία ΤΝ

Το άρθρο αυτό βασίζεται στα ευρήματα της έκθεσης έρευνας του 2026 της Cloud Security Alliance (CSA), Πρόληψη απώλειας δεδομένων στην εποχή της ΤΝ, την οποία ανέθεσε η Jazz.

Τον Ιούνιο και τον Ιούλιο, η CSA ρώτησε 433 επαγγελματίες πληροφορικής και ασφάλειας αν η ομάδα τους μπορούσε να συντάξει μια αναφορά που να δείχνει πόσες φορές στάλθηκαν ευαίσθητα δεδομένα σε εργαλεία παραγωγικής ΤΝ τις προηγούμενες 30 ημέρες. Το 29% απάντησε ότι μπορούσε να τη συντάσσει τακτικά.

Το ποσοστό αυτό θα είχε μικρότερη σημασία αν οι ερωτηθέντες θεωρούσαν την παραγωγική ΤΝ δευτερεύον κανάλι. Την κατέταξαν ως τον σημαντικότερο κίνδυνο διαρροής δεδομένων, με το 48% να τη συμπεριλαμβάνει στους τρεις κορυφαίους κινδύνους.

Είμαι επικεφαλής του τομέα μηχανικής σε μια εταιρεία που αναπτύσσει λύσεις πρόληψης απώλειας δεδομένων, και το μεγαλύτερο μέρος της δουλειάς μου αφορά το πού, μέσα σε ένα σύστημα, υπάρχουν στοιχεία για τη μετακίνηση δεδομένων και πώς δημιουργείται ο σχετικός κίνδυνος. Από αυτή την οπτική, το χάσμα ανάμεσα σε όσα πιστεύουν οι ομάδες ότι μπορούν να βλέπουν και σε όσα μπορούν να αποδείξουν προκύπτει άμεσα από τον τρόπο με τον οποίο σχεδιάστηκαν οι έλεγχοι για την παραγωγική ΤΝ.

Η εμπιστοσύνη στην ορατότητα της παραγωγικής ΤΝ υπερβαίνει κατά πολύ όσα μπορούν να αποδείξουν οι ομάδες

Λίγο περισσότεροι από τους μισούς ερωτηθέντες βαθμολόγησαν την ορατότητά τους ως προς την παραγωγική ΤΝ με 4 ή 5 στα 5. Ωστόσο, μόνο το 29% μπορούσε να τεκμηριώσει τακτικά αυτή τη βαθμολογία με μια αναφορά που απλώς μετρά πόσες φορές στάλθηκαν ευαίσθητα δεδομένα σε κάποιο εργαλείο ΤΝ.

Πηγή: Cloud Security Alliance, Πρόληψη απώλειας δεδομένων στην εποχή της ΤΝ (2026), n=433. Αναπαραγωγή βάσει των διαγραμμάτων της έκθεσης στις σ. 22 και 23.

Η εφαρμογή των μέτρων ακολουθεί το ίδιο μοτίβο. Μόνο το 22% των ερωτηθέντων αποκλείει αυστηρά τα ευαίσθητα δεδομένα στο κανάλι της παραγωγικής ΤΝ. Τα αφαιρούμενα μέσα, τα οποία οι ερωτηθέντες κατέταξαν ως τον χαμηλότερο κίνδυνο διαρροής, έχουν το υψηλότερο ποσοστό αυστηρού αποκλεισμού, στο 31%. Ο αυστηρός αποκλεισμός εφαρμόζεται κυρίως στα κανάλια με τα παλαιότερα εργαλεία.

Πηγή: Cloud Security Alliance, Πρόληψη απώλειας δεδομένων στην εποχή της ΤΝ (2026), n=433. Αναπαραγωγή βάσει των διαγραμμάτων της έκθεσης στις σ. 23 και 26· οι ράβδοι προσαρμόστηκαν στο 100% όπου, λόγω στρογγυλοποίησης, μια γραμμή έφτανε το 99% ή το 101%.

Παράλληλα με την έρευνα, η Jazz δημοσίευσε και τηλεμετρικά δεδομένα από τα περιβάλλοντα των πελατών της. Ο μέσος οργανισμός στα δεδομένα αυτά χρησιμοποιούσε 169,5 διαφορετικά εργαλεία ΤΝ, από τα οποία είχαν εγκριθεί 9,8, με αποτέλεσμα το 94,2% να βρίσκεται εκτός του εγκεκριμένου καταλόγου.

Γιατί υπάρχει το χάσμα: Ένας κατάλογος εργαλείων δεν καταγράφει συμβάντα

Η συνήθης αντιμετώπιση του κινδύνου από την παραγωγική ΤΝ είναι να εγκρίνονται λίγες υπηρεσίες ΤΝ μέσω εταιρικών συμφωνιών και να αποθαρρύνεται ή να αποκλείεται η χρήση των υπόλοιπων. Το ποσοστό του 94,2% δείχνει πόσο πίσω μένει στην πράξη αυτός ο κατάλογος. Ένας μηχανικός που έχει προθεσμία χρησιμοποιεί όποιο εργαλείο λύνει το σημερινό πρόβλημα, επειδή η προμήθεια του εγκεκριμένου εργαλείου απαιτεί εβδομάδες.

Ακόμη κι ένας πλήρης κατάλογος δεν θα αρκούσε για να παραχθεί η αναφορά για την οποία ρώτησε η CSA. Η ομάδα διαχείρισης περιστατικών ή ένας ελεγκτής θα ζητήσει στοιχεία για ένα συγκεκριμένο συμβάν κατά το οποίο διέρρευσαν δεδομένα, ενώ ένας κατάλογος εργαλείων δεν περιέχει καταγραφή συμβάντων.

Για να δείξετε τι συνέβη σε εκείνο το περιστατικό, χρειάζεστε τέσσερα στοιχεία: ποια ευαίσθητα δεδομένα εμπλέκονταν, ποιο εργαλείο τα έλαβε, μέσω ποιου λογαριασμού στάλθηκαν και γιατί τα έστειλε το συγκεκριμένο άτομο.

Η διακυβέρνηση σε επίπεδο εργαλείου αποτυγχάνει πρώτα στο επίπεδο του λογαριασμού. Ο ίδιος ιστότοπος εξυπηρετεί τόσο τον εταιρικό λογαριασμό της εταιρείας σας, με τις ρυθμίσεις διατήρησης δεδομένων και τους συμβατικούς όρους του, όσο και τον δωρεάν προσωπικό λογαριασμό ενός εργαζομένου, που δεν διαθέτει ούτε το ένα ούτε το άλλο. Η χρήση ενός εγκεκριμένου εργαλείου μέσω προσωπικού λογαριασμού παρέχει σχεδόν τόσα αποδεικτικά στοιχεία όσα και η χρήση ενός μη εγκεκριμένου εργαλείου.

Το κίνητρο είναι δυσκολότερο να προσδιοριστεί, αλλά από αυτό κρίνεται αν έγινε κάτι επιλήψιμο. Μια οικονομική αναλύτρια που επικολλά ένα μοντέλο εσόδων σε ένα chatbot για να διορθώσει έναν λανθασμένο τύπο κάνει τη δουλειά της. Η ίδια επικόλληση από κάποιον που υπέβαλε την παραίτησή του την Παρασκευή απαιτεί μια εντελώς διαφορετική συζήτηση. Αυτό που τους διαφοροποιεί είναι το πλαίσιο γύρω από το άτομο, το οποίο δεν εμφανίζεται ποτέ στο περιεχόμενο που αποστέλλεται.

Οι έλεγχοι που χρησιμοποιούνται εξετάζουν ο καθένας ένα μόνο σημείο

Η έρευνα δεν εντόπισε κάποια κυρίαρχη προσέγγιση για τον έλεγχο των ευαίσθητων δεδομένων που αποστέλλονται σε εργαλεία ΤΝ. Ο αποκλεισμός τομέων ΤΝ σε επίπεδο δικτύου, ο έλεγχος περιεχομένου μέσω προγράμματος περιήγησης και η αποκλειστική χρήση πολιτικής αποδεκτής χρήσης συγκέντρωσαν το καθένα ποσοστό από 21% έως 23%, ενώ οι εταιρικές πλατφόρμες ΤΝ με ενσωματωμένη πρόληψη απώλειας δεδομένων συγκέντρωσαν 10%.

Καθένας από αυτούς τους ελέγχους σχεδιάστηκε με βάση ένα μόνο σημείο επιθεώρησης. Ο αποκλεισμός ενός τομέα επιτρέπει ή διακόπτει μια σύνδεση και καταγράφει σε ποιον ιστότοπο κατευθύνθηκε. Μια επέκταση προγράμματος περιήγησης βλέπει τι πληκτρολογείται σε αυτό το πρόγραμμα και δεν εντοπίζει ό,τι αποστέλλεται από μια εφαρμογή υπολογιστή, έναν βοηθό προγραμματισμού μέσα σε ένα πρόγραμμα επεξεργασίας κώδικα ή ένα εργαλείο γραμμής εντολών. Η ενσωματωμένη πρόληψη απώλειας δεδομένων μιας εταιρικής πλατφόρμας ΤΝ βλέπει τι εισέρχεται σε αυτή την πλατφόρμα. Όλοι αυτοί οι έλεγχοι επιλέγουν ένα σημείο για να εξετάσουν και ελπίζουν ότι τα δεδομένα θα περάσουν από εκεί.

Το γεγονός ότι υπάρχει μόνο ένα σημείο επιθεώρησης εξηγεί επίσης τα ποσοστά εφαρμογής των μέτρων. Αν ένας έλεγχος δεν μπορεί να ξεχωρίσει έναν εταιρικό λογαριασμό από έναν προσωπικό ή μια συνηθισμένη επικόλληση από μια επικίνδυνη, πρέπει είτε να αποκλείει και τα δύο είτε κανένα από τα δύο. Έτσι, ο αυστηρός αποκλεισμός σταματά και τη νόμιμη εργασία, μαζί με την επικίνδυνη. Όταν ρωτήθηκαν ποιος ήταν ο βασικός λόγος που δεν είχαν προχωρήσει σε πιο επιθετικό ενεργό αποκλεισμό, το 46% των ερωτηθέντων ανέφερε τον φόβο διατάραξης των επιχειρησιακών ροών εργασίας και το 39% την ανεπαρκή εμπιστοσύνη στην ακρίβεια της πρόληψης απώλειας δεδομένων.

Επιφυλάξεις που αξίζει να έχετε υπόψη

Τα στοιχεία της έρευνας βασίζονται στις απαντήσεις των συμμετεχόντων, ενώ η έρευνα δεν συνέκρινε τις αξιολογήσεις ορατότητας με την πραγματική κάλυψη. Οι συμμετέχοντες προέρχονται δυσανάλογα από την Αμερική (80%) και από οργανισμούς με λιγότερους από 5.000 εργαζομένους (67%), επομένως τα αποτελέσματα ενδέχεται να μην ισχύουν εξίσου για μεγάλες, παγκόσμιες επιχειρήσεις. Τα δεδομένα τηλεμετρίας προέρχονται από οργανισμούς που επέλεξαν να εφαρμόσουν αυτό το είδος ορατότητας, κάτι που ενδέχεται να ευνοεί οργανισμούς οι οποίοι ήδη ανησυχούν για την ανεξέλεγκτη εξάπλωση της χρήσης εργαλείων τεχνητής νοημοσύνης.

Τα εγκεκριμένα εργαλεία και οι πράκτορες θα κάνουν τη λίστα ακόμη λιγότερο αξιόπιστη

Καθώς τα εγκεκριμένα προϊόντα SaaS προσθέτουν βοηθούς τεχνητής νοημοσύνης, το ερώτημα για το ποιο εργαλείο έλαβε τα δεδομένα έχει συχνά δύο απαντήσεις: την εφαρμογή που άνοιξε ο εργαζόμενος και τον πάροχο του μοντέλου τεχνητής νοημοσύνης που βρίσκεται από πίσω. Οι πράκτορες τεχνητής νοημοσύνης περιπλέκουν ακόμη περισσότερο την κατάσταση. Όταν ένας πράκτορας ανακτά ένα αρχείο και το στέλνει κάπου για λογαριασμό ενός εργαζομένου, το ποιος και το γιατί εξαρτώνται πλέον εν μέρει από το λογισμικό. Όπως επισημαίνει πρόσφατο άρθρο του Unite.AI σχετικά με την έγχυση προτροπών σε πράκτορες σε περιβάλλον παραγωγής, το περιεχόμενο που διαβάζει μπορεί να κατευθύνει έναν πράκτορα, επομένως η δική του περιγραφή όσων έκανε δεν μπορεί να υποκαταστήσει τα στοιχεία που τεκμηριώνουν τον σκοπό της ενέργειας.

Μια δοκιμή που μπορείτε να κάνετε αυτόν τον μήνα

Εξετάστε τις τελευταίες 30 ημέρες και επιλέξτε το πιο ευαίσθητο δεδομένο που πιστεύετε ότι έφτασε σε κάποιο εργαλείο τεχνητής νοημοσύνης. Έπειτα, ελέγξτε αν η ομάδα σας μπορεί να συγκεντρώσει τα παρακάτω χωρίς να τα καταγράψει με το χέρι:

• Ποιο ήταν το δεδομένο και από πού προήλθε
• Ποιο εργαλείο το έλαβε, συμπεριλαμβανομένων εργαλείων που δεν περιλαμβάνονται στην εγκεκριμένη λίστα σας
• Αν χρησιμοποιήθηκε εταιρικός ή προσωπικός λογαριασμός
• Με τι ασχολούνταν το άτομο όταν το έστειλε

Αν λάβετε γρήγορα απαντήσεις για τα δύο πρώτα, αλλά για τα δύο τελευταία χρειάζεται να ρωτήσετε τον εργαζόμενο, τότε η διακυβέρνησή σας καλύπτει τη λίστα εργαλείων σας, αλλά ελάχιστα από τα δεδομένα σας.