Πώς το AI Έγινε ο Κύριος Δίαυλος Διαρροής Δεδομένων

Οι ηγέτες των επιχειρήσεων επένδυσαν δισεκατομμύρια σε εργαλεία AI για να επιταχύνουν την παραγωγικότητα και την καινοτομία. Αλλά τα τελευταία δεδομένα αποκαλύπτουν einen σοβαρό κίνδυνο που πολλές οργανώσεις δεν είχαν προβλέψει. Τα ίδια πλαίσια AI που βοηθούν τους υπαλλήλους να εργάζονται γρηγορότερα έχουν γίνει ο μεγαλύτερος δίαυλος για ευαίσθητα δεδομένα, αφήνοντας τις εταιρικές περιβάλλσεις. Τα πρόσφατα ευρήματα αποκαλύπτουν ότι το 77% των υπαλλήλων κολλάνε δεδομένα σε εργαλεία γεννητικού AI και το 40% των αρχείων που ανεβαίνουν σε αυτά τα πλαίσια περιέχουν προσωπικά δεδομένα ή πληροφορίες πιστωτικών καρτών. Αυτό συμβαίνει τώρα, σε κλίμακα, σε οργανώσεις που πιστεύουν ότι έχουν τις κατάλληλες ελέγχους ασφαλείας. Αυτό που δείχνει είναι μια θεμελιώδης αποσύνδεση μεταξύ του τρόπου με τον οποίο οι εταιρείες σκέφτονται ότι το AI χρησιμοποιείται και τι συμβαίνει στην πραγματικότητα όταν οι υπάλληλοι αλληλεπιδρούν με αυτά τα εργαλεία καθημερινά. Η κατανόηση αυτής της μετατόπισης είναι ο πρώτος βήμας για την κατασκευή στρατηγικών ασφαλείας που ταιριάζουν με τη νέα πραγματικότητα.

Πώς το AI Έγινε ο Νέος Δίαυλος Διαρροής Δεδομένων

Πριν από δύο χρόνια, το γεννητικό AI几乎 δεν υπήρχε στις επιχειρηματικές ροές εργασίας. Σήμερα, το 45% όλων των υπαλλήλων των επιχειρήσεων χρησιμοποιούν ενεργά πλαίσια AI, ενώ το 11% όλων των επιχειρηματικών δραστηριοτήτων συμβαίνει σε αυτά τα εργαλεία. Το ChatGPT μόνο έχει φτάσει στο 43% των υπαλλήλων, μια ποσοστό που άλλα μέσα επικοινωνίας πήραν δεκαετίες για να επιτύχουν.

Η ταχύτητα αυτής της υιοθέτησης δημιούργησε ένα κενό ασφαλείας. Τα παραδοσιακά συστήματα πρόληψης απώλειας δεδομένων были κατασκευασμένα για μεταφορές αρχείων, επισυναπτόμενες επιστολές και κυκλοφορία δικτύου. Δεν είχαν σχεδιαστεί ποτέ για να παρακολουθούν τι οι υπάλληλοι πληκτρολογούν σε κουτιά προτροπών ή κολλάνε σε διεπαφές συνομιλίας. Αυτό το τυφλό σημείο έχει γίνει ο κύριος δίαυλος διαφυγής ευαίσθητων πληροφοριών.

Το γεννητικό AI αντιπροσωπεύει τώρα το 32% όλων των κινήσεων δεδομένων από εταιρικούς σε προσωπικούς λογαριασμούς. Αυτό το κάνει τον μεγαλύτερο δίαυλο για διαρροή δεδομένων, ξεπερνώντας τη μεταφορά αρχείων, τα email και κάθε άλλο δίαυλο που οι ομάδες ασφαλείας έχουν προσπαθήσει να ασφαλίσουν για χρόνια. Το πρόβλημα δεν είναι μόνο το μέγεθος αλλά και η φύση της διαρροής. Όταν κάποιος ανεβάζει ένα έγγραφο σε einen διακομιστή αρχείων, υπάρχει ένα αρχείο. Όταν κολλάνε δεδομένα πελάτη σε μια προτροπή AI, αυτή η μεταφορά συμβαίνει συχνά έξω από οποιοδήποτε σύστημα καταγραφής ή παρακολούθησης.

Το Πρόβλημα του Προσωπικού Λογαριασμού

Το ζήτημα δεν είναι η χρήση εργαλείων AI αλλά ο τρόπος με τον οποίο οι υπάλληλοι έχουν πρόσβαση σε αυτά τα εργαλεία. Τα μοντέλα ασφαλείας των επιχειρήσεων υποθέτουν ότι οι υπάλληλοι χρησιμοποιούν εταιρικούς λογαριασμούς με αυθεντικοποίηση μεμονωμένου συνδεσμού, καταγραφή και εποπτεία. Τα δεδομένα δείχνουν ότι αυτή η υπόθεση είναι λάθος και ότι περίπου το 67% της χρήσης AI συμβαίνει μέσω προσωπικών λογαριασμών. Αυτοί είναι διευθύνσεις Gmail, προσωπικοί λογαριασμοί Microsoft (MSFT ) ή άμεσες εγγραφές που παρακάμπτουν εντελώς τους εταιρικούς συστήματα ταυτότητας. Όταν κάποιος συνδέεται στο ChatGPT με το προσωπικό του email, η εταιρεία δεν έχει ορατότητα σε τι ερωτήσεις κάνει, ποια δεδομένα μοιράζεται ή ποια ευαίσθητη πληροφορία μπορεί να εμφανιστεί στις απαντήσεις.

Ακόμη και όταν οι υπάλληλοι χρησιμοποιούν εταιρικούς λογαριασμούς, αυτά τα διαπιστευτήρια συχνά λείπουν ομοσπονδίας. Το 83% των συνδέσεων ERP και το 71% των συνδέσεων CRM συμβαίνουν χωρίς αυθεντικοποίηση μεμονωμένου συνδεσμού. Αυτό σημαίνει ότι η εταιρική σύνδεση προσφέρει σχεδόν keine περισσότερη ασφάλεια ή ορατότητα από έναν προσωπικό λογαριασμό. Το όνομα χρήστη μπορεί να έχει το εταιρικό домínio, αλλά η αυθεντικοποίηση που παρακάμπτεται επιτρέπει τις ίδιες αόρατες ροές δεδομένων.

Αντιγραφή και Επικόλληση: Η Αόρατη Διαρροή Δεδομένων

Οι παραδοσιακές στρατηγικές πρόληψης απώλειας δεδομένων были κατασκευασμένες με εστίαση στα συστήματα αρχείων. Παρακολουθούν τις ανεβάσεις, τις μεταφορές και τις επισυναπτόμενες επιστολές. Αλλά τα δεδομένα δείχνουν ότι η πραγματική πηγή της διαρροής δεδομένων δεν είναι τα αρχεία. Είναι η αντιγραφή και επικόλληση. Το 77% των υπαλλήλων επικολλάνε δεδομένα σε εργαλεία γεννητικού AI. Το 82% αυτής της δραστηριότητας προέρχεται από προσωπικούς λογαριασμούς. Σε μέσο όρο, κάθε υπάλληλος κάνει 15 επικολλήσεις την ημέρα χρησιμοποιώντας τους προσωπικούς του λογαριασμούς και τουλάχιστον τέσσερις από αυτές περιέχουν ευαίσθητα προσωπικά δεδομένα ή πληροφορίες πιστωτικών καρτών.

Αυτό σημαίνει ότι ευαίσθητες πληροφορίες δεν μεταφέρονται πλέον μόνο μέσω ανεβάσεων αρχείων. Μεταφέρονται επίσης直接 σε προτροπές, παραθύρα συνομιλίας και πεδία κειμένου. Αυτές οι μεταφορές χωρίς αρχεία είναι σχεδόν αόρατες στα παραδοσιακά συστήματα πρόληψης απώλειας δεδομένων. Συμβαίνουν με υψηλή συχνότητα, σε πολλαπλά πλαίσια και έξω από την εποπτεία της εταιρείας.

Το αποτέλεσμα είναι μια συνεχής ροή ευαίσθητων δεδομένων που εγκαταλείπουν την οργάνωση με τρόπους που είναι δύσκολο να ανιχνευτούν. Η αντιγραφή και επικόλληση έχει γίνει ο νέος δίαυλος διαρροής και τα εργαλεία AI είναι ο κύριος προορισμός.

Ευαίσθητα Αρχεία σε Μη Εγκεκριμένες Τοποθεσίες

Οι ανεβάσεις αρχείων παραμένουν κεντρικό μέρος των επιχειρηματικών ροών εργασίας. Αλλά οι προορισμοί έχουν αλλάξει. Οι υπάλληλοι δεν περιορίζονται πλέον στις εγκεκριμένες αποθήκες ή τα email. Μεταφέρουν αρχεία σε εργαλεία γεννητικού AI, εφαρμογές καταναλωτών και σκιώδεις πλαίσια SaaS.

Τα δεδομένα δείχνουν ότι το 40% των αρχείων που ανεβαίνουν σε εργαλεία γεννητικού AI περιέχουν προσωπικά ή οικονομικά δεδομένα. Το 41% των αρχείων που ανεβαίνουν σε πλαίσια αποθήκευσης αρχείων περιέχουν τα ίδια. Почти τέσσερις στις δέκα από αυτές τις ανεβάσεις συμβαίνουν μέσω προσωπικών λογαριασμών.

Αυτό σημαίνει ότι ευαίσθητα δεδομένα ρέουν σε περιβάλλοντα όπου οι εταιρείες δεν έχουν ορατότητα και δεν έχουν έλεγχο. Μόλις ένα αρχείο ανεβαίνει σε einen προσωπικό λογαριασμό Google Drive, μια συνομιλία WhatsApp ή μια προτροπή AI, είναι αποτελεσματικά έξω από την εταιρική περιφέρεια. Δεν μπορεί να παρακολουθηθεί, να περιοριστεί ή να διαγραφεί.

Οι προορισμοί είναι διαφορετικοί. Εργαλεία επιχείρησης όπως το Egnyte και το Zendesk εμφανίζονται μαζί με εφαρμογές καταναλωτών όπως το Canva, το LinkedIn και το WhatsApp. Αυτή η ανάμιξη επιχειρηματικών και καταναλωτικών οικοσυστημάτων θολώνει τα όρια του πού βρίσκονται τα εταιρικά δεδομένα. Επίσης, αποκαλύπτει τα όρια των παραδοσιακών συστημάτων πρόληψης απώλειας δεδομένων, τα οποία были σχεδιασμένα για εγκεκριμένους δίαυλους και κεντρικό έλεγχο.

Τι Αυτό Σημαίνει για την Ασφάλεια των Επιχειρήσεων

Η παραδοσιακή περίμετρος ασφαλείας έχει καταρρεύσει. Ήταν δυνατό να ελέγξουμε τα δεδομένα με τη διαχείριση δικτύων, την ασφάλεια των τελικών σημείων και την παρακολούθηση εγκεκριμένων εφαρμογών. Αυτό το μοντέλο υποθέτει ότι η δουλειά συμβαίνει μέσα στα εταιρικά συστήματα και χρησιμοποιεί εξωτερικά πλαίσια μόνο μέσω ελεγχόμενων δίαυλων.

Η πραγματικότητα είναι ότι η δουλειά συμβαίνει τώρα στους browsers, σε δutzιά εφαρμογών, μέσω εταιρικών και προσωπικών λογαριασμών, με μεθόδους που δημιουργούν keine αρχείο. Ένας υπάλληλος που ερευνά ένα ζήτημα πελάτη μπορεί να αναζητήσει εσωτερικά συστήματα, να επικολλήσει τα ευρήματα στο ChatGPT για περίληψη, να αντιγράψει αυτήν την περίληψη στο Slack για να μοιραστεί με συναδέλφους και να την προωθήσει μέσω προσωπικού email για να την αναθεωρήσει αργότερα. Κάθε βήμα εμπλέκει ευαίσθητα δεδομένα που μεταφέρονται μέσω δίαυλων που τα παραδοσιακά εργαλεία δεν μπορούν να δουν.

Ο browser έχει γίνει ο κύριος χώρος εργασίας, αλλά οι έλεγχοι ασφαλείας δεν έχουν ακολουθήσει. Οι υπάλληλοι περνούν τις μέρες τους μετακινούμενοι μεταξύ εφαρμογών και τα δεδομένα δείχνουν ότι κάνουν μικρή διάκριση μεταξύ εταιρικών και προσωπικών εργαλείων. Χρησιμοποιούν ό,τι λειτουργεί, ό,τι είναι βολικό, ό,τι δεν απαιτεί να περιμένουν για έγκριση από την ομάδα IT. Αυτό δημιουργεί ένα περιβάλλον όπου ευαίσθητες πληροφορίες ρέουν συνεχώς προς τα έξω μέσω αόρατων δίαυλων.

Επανασχεδιάζοντας την Ασφάλεια των Επιχειρήσεων για την Εποχή του AI

Η λύση δεν είναι να αποκλείσουμε τα εργαλεία AI ή να απαγορεύσουμε τους προσωπικούς λογαριασμούς. Αυτές οι προσεγγίσεις αποτυγχάνουν γιατί αγωνίζονται ενάντια στο πώς οι υπάλληλοι εργάζονται στην πραγματικότητα. Τα εργαλεία υπάρχουν γιατί κάνουν τους ανθρώπους πιο παραγωγικούς. Οι προσωπικοί λογαριασμοί προσφέρονται γιατί η εταιρική προμήθεια είναι αργή και περιοριστική. Η ασφάλεια που αγνοεί αυτές τις πραγματικότητες θα απλώς παρακαμπτηθεί.

Η αποτελεσματική προστασία απαιτεί ορατότητα στο επίπεδο του browser, όπου συμβαίνει η δουλειά. Αυτό σημαίνει παρακολούθηση όχι μόνο των ανεβάσεων αρχείων αλλά και των επικολλήσεων, των υποβολών φορμών, των συναλλαγών προτροπών και κάθε άλλου τρόπου με τον οποίο τα δεδομένα μεταφέρονται μεταξύ συστημάτων. Αυτό σημαίνει ότι πρέπει να εφαρμόζονται πολιτικές που διακρίνουν μεταξύ εταιρικών και προσωπικών λογαριασμών, ανεξάρτητα από ποια εφαρμογή χρησιμοποιεί κάποιος.

Οι οργανώσεις πρέπει να επεκτείνουν την πρόληψη απώλειας δεδομένων πέρα από τα αρχεία για να περιλαμβάνουν και τις μεταφορές χωρίς αρχεία. Μια προτροπή που υποβάλλεται στο ChatGPT πρέπει να λαμβάνει την ίδια προσοχή με μια επισυναπτόμενη επιστολή. Μια επικόλληση σε μια συνομιλία στο Slack πρέπει να προκαλεί τις ίδιες ελέγχους με μια ανέβασμα σε einen διακομιστή αρχείων Google Drive. Ο τρόπος μεταφοράς δεν πρέπει να καθορίζει αν η ασφάλεια ισχύει.

Οι έλεγχοι ταυτότητας πρέπει να επιβάλλονται πραγματικά. Δεν είναι αρκετό να προσφέρεται η αυθεντικοποίηση μεμονωμένου συνδεσμού εάν οι υπάλληλοι μπορούν ακόμη να έχουν πρόσβαση σε εφαρμογές επιχείρησης μέσω προσωπικών λογαριασμών. Η ομοσπονδική αυθεντικοποίηση πρέπει να είναι υποχρεωτική για κάθε εφαρμογή που χειρίζεται ευαίσθητα δεδομένα, όχι προαιρετική. Οι εταιρικοί λογαριασμοί χωρίς ομοσπονδία πρέπει να αντιμετωπίζονται ως ο κίνδυνος ασφαλείας που είναι.

Το Κύριο Σημείο

Το AI έχει γίνει η ταχύτερα αναπτυσσόμενη κατηγορία στο λογισμικό επιχείρησης. Έχει επίσης γίνει ο κύριος δίαυλος για διαρροή δεδομένων. Το 77% των υπαλλήλων επικολλάνε δεδομένα σε εργαλεία AI. Το 40% των ανεβάσεων περιέχουν ευαίσθητες πληροφορίες. Η πλειοψηφία αυτής της δραστηριότητας συμβαίνει μέσω προσωπικών λογαριασμών. Η παλιά περίμετρος ασφαλείας δεν υπάρχει πλέον. Η περισσότερη δουλειά συμβαίνει στον browser και ακόμη και απλές ενέργειες όπως η επικόλληση κειμένου μπορούν να οδηγήσουν σε διαρροές. Οι εταιρείες που δεν ενημερώνουν τις στρατηγικές ασφαλείας τους για αυτήν την νέα πραγματικότητα έχουν ήδη χάσει τον έλεγχο των πιο πολύτιμων δεδομένων τους.