Bagaimana AI Menjadi Saluran Kebocoran Data #1

Pemimpin perusahaan telah menginvestasikan milyaran dalam alat AI untuk mempercepat produktivitas dan inovasi. Namun, data terbaru mengungkapkan risiko serius yang tidak terlihat oleh banyak organisasi. Platform AI yang sama yang membantu karyawan bekerja lebih cepat telah menjadi saluran terbesar untuk data sensitif, meninggalkan lingkungan perusahaan. Temuan terbaru menunjukkan bahwa 77% karyawan menempelkan data ke dalam alat AI generatif, dan 40% file yang diunggah ke platform ini mengandung informasi yang dapat diidentifikasi secara pribadi atau data kartu pembayaran. Ini terjadi sekarang, dalam skala besar, di seluruh organisasi yang percaya mereka memiliki kontrol keamanan yang tepat. Apa yang ditunjukkan adalah kesenjangan fundamental antara bagaimana perusahaan berpikir AI digunakan dan apa yang sebenarnya terjadi ketika karyawan berinteraksi dengan alat ini sehari-hari. Memahami perubahan ini adalah langkah pertama menuju membangun strategi keamanan yang sesuai dengan kenyataan baru.

Bagaimana AI Menjadi Vektor Kebocoran Data Baru

Dua tahun yang lalu, AI generatif hampir tidak ada dalam alur kerja perusahaan. Sekarang, 45% dari semua karyawan perusahaan secara aktif menggunakan platform AI, dengan 11% dari semua aktivitas perusahaan terjadi pada alat ini. ChatGPT saja telah mencapai 43% penetrasi karyawan, tingkat yang lainnya platform komunikasi butuhkan dekade untuk mencapai.

Kecepatan adopsi ini menciptakan vakum keamanan. Sistem pencegahan kehilangan data tradisional dibangun untuk transfer file, lampiran email, dan lalu lintas jaringan. Mereka tidak pernah dirancang untuk memantau apa yang karyawan ketik ke dalam kotak prompt atau tempel ke dalam antarmuka obrolan. Titik buta ini telah menjadi rute utama untuk informasi sensitif.

AI generatif sekarang mengakibatkan 32% dari semua pergerakan data dari akun perusahaan ke akun pribadi. Ini menjadikannya saluran terbesar untuk kebocoran data, melampaui berbagi file, email, dan setiap saluran lain yang tim keamanan telah mencoba amankan. Masalahnya bukan hanya volume tetapi juga sifat kebocoran. Ketika seseorang mengunggah dokumen ke server file, ada catatan. Ketika mereka menempelkan data pelanggan ke dalam prompt AI, transfer itu sering terjadi di luar sistem logging atau pemantauan.

Masalah Akun Pribadi

Masalahnya bukanlah penggunaan alat AI tetapi bagaimana karyawan mengakses alat ini. Model keamanan perusahaan mengasumsikan karyawan menggunakan akun perusahaan dengan autentikasi single sign-on, logging, dan pengawasan. Data menunjukkan bahwa asumsi ini salah, dan sekitar 67% penggunaan AI terjadi melalui akun pribadi yang tidak dikelola. Ini adalah alamat Gmail, akun Microsoft (MSFT ) pribadi, atau pendaftaran langsung yang melewati sistem identitas perusahaan sepenuhnya. Ketika seseorang masuk ke ChatGPT dengan email pribadi, perusahaan tidak memiliki visibilitas ke dalam pertanyaan apa yang mereka tanyakan, data apa yang mereka bagikan, atau informasi sensitif apa yang mungkin muncul dalam respons.

Even ketika karyawan menggunakan akun perusahaan, kredensial tersebut seringkali tidak memiliki federasi. Delapan puluh tiga persen dari ERP login dan 71% dari CRM login terjadi tanpa single sign-on. Ini berarti bahwa login perusahaan menawarkan sedikit keamanan atau visibilitas lebih dari akun pribadi. Nama pengguna mungkin memiliki domain perusahaan, tetapi autentikasi bypass memungkinkan aliran data yang tidak terlihat.

Salin dan Tempel: Kebocoran Data yang Tidak Terlihat

Strategi pencegahan kehilangan data tradisional dibangun dengan fokus pada sistem file. Mereka memantau unggahan, unduhan, dan lampiran. Namun, data menunjukkan bahwa sumber sebenarnya dari kebocoran data bukanlah file. Ini adalah salin dan tempel. Tujuh puluh tujuh persen karyawan menempelkan data ke dalam alat AI generatif. Delapan puluh dua persen dari aktivitas ini berasal dari akun pribadi yang tidak dikelola. Rata-rata, setiap karyawan melakukan 15 kali tempel per hari menggunakan akun pribadi, dan setidaknya empat di antaranya mengandung data yang dapat diidentifikasi secara pribadi atau informasi kartu pembayaran.

Ini berarti bahwa informasi sensitif tidak lagi hanya bergerak melalui unggahan file. Ini juga disuntikkan langsung ke dalam prompt, jendela obrolan, dan bidang teks. Transfer tanpa file ini hampir tidak terlihat oleh solusi DLP tradisional. Mereka terjadi dengan frekuensi tinggi, di seluruh platform, dan di luar pengawasan perusahaan.

Hasilnya adalah aliran terus-menerus data sensitif yang meninggalkan organisasi dengan cara yang sulit dideteksi. Salin dan tempel telah menjadi saluran kebocoran baru, dan alat AI adalah tujuan nomor satu.

File Sensitif di Destinasi Tidak Resmi

Unggahan file tetap menjadi bagian sentral dari alur kerja perusahaan. Namun, tujuan telah berubah. Karyawan tidak lagi membatasi unggahan ke penyimpanan yang disahkan atau email. Mereka memindahkan file ke dalam alat AI generatif, aplikasi konsumen, dan platform SaaS bayangan.

Data menunjukkan bahwa 40% file yang diunggah ke dalam alat AI generatif mengandung data pribadi atau keuangan. Empat puluh satu persen file yang diunggah ke platform penyimpanan file mengandung hal yang sama. Hampir 4 dari 10 unggahan ini terjadi melalui akun pribadi.

Ini berarti bahwa data sensitif mengalir ke dalam lingkungan di mana perusahaan tidak memiliki visibilitas atau kontrol. Setelah file diunggah ke Google Drive pribadi, obrolan WhatsApp, atau prompt AI, itu secara efektif berada di luar premis perusahaan. Ini tidak dapat dilacak, dibatasi, atau dihapus.

Tujuan sangat beragam. Alat perusahaan seperti Egnyte dan Zendesk muncul bersama dengan platform konsumen seperti Canva, LinkedIn, dan WhatsApp. Penggabungan ekosistem perusahaan dan konsumen ini membingungkan batas-batas di mana data perusahaan berada. Ini juga mengekspos keterbatasan DLP tradisional, yang dirancang untuk saluran yang disahkan dan kontrol terpusat.

Apa yang Dimaksud untuk Keamanan Perusahaan

Perimeter keamanan tradisional telah runtuh. Dulu, memungkinkan untuk mengontrol data dengan mengelola jaringan, mengamankan titik akhir, dan memantau aplikasi yang disahkan. Model ini mengasumsikan bahwa pekerjaan terjadi di dalam sistem perusahaan dan hanya kadang-kadang menggunakan platform eksternal melalui saluran yang dikontrol.

Kenyaatan adalah bahwa pekerjaan sekarang terjadi di browser, di seluruh aplikasi, melalui akun perusahaan dan pribadi, dengan metode yang menciptakan tidak ada jejak audit. Seorang karyawan yang meneliti masalah pelanggan mungkin mencari sistem internal, menempelkan temuan ke dalam ChatGPT untuk ringkasan, menyalin ringkasan ke Slack untuk berbagi dengan rekan, dan meneruskan melalui email pribadi untuk ditinjau nanti. Setiap langkah melibatkan data sensitif yang bergerak melalui saluran yang tidak terlihat oleh alat tradisional.

Browser telah menjadi tempat kerja utama, tetapi kontrol keamanan belum mengikuti. Karyawan menghabiskan hari-hari mereka berpindah antara aplikasi, dan data menunjukkan bahwa mereka membuat sedikit perbedaan antara alat perusahaan dan pribadi. Mereka menggunakan apa saja yang bekerja, apa saja yang nyaman, apa saja yang tidak memerlukan persetujuan IT. Ini menciptakan lingkungan di mana informasi sensitif terus mengalir keluar melalui saluran yang tidak terlihat.

Mempertimbangkan Kembali Keamanan Perusahaan untuk Era AI

Solusi bukanlah memblokir alat AI atau melarang akun pribadi secara langsung. Pendekatan ini gagal karena mereka melawan bagaimana karyawan sebenarnya bekerja. Alat ini ada karena mereka membuat orang lebih produktif. Akun pribadi berkembang karena penyediaan perusahaan lambat dan terbatas. Keamanan yang mengabaikan kenyataan ini akan hanya diabaikan.

Pengamanan yang efektif memerlukan visibilitas pada tingkat browser, di mana pekerjaan sebenarnya terjadi. Ini berarti memantau tidak hanya unggahan file tetapi juga operasi tempel, pengiriman form, interaksi prompt, dan setiap cara lain data bergerak antara sistem. Ini berarti menerapkan kebijakan yang membedakan antara akun perusahaan dan pribadi, terlepas dari aplikasi apa yang digunakan.

Organisasi perlu memperluas pencegahan kehilangan data di luar file untuk mencakup transfer tanpa file. Sebuah prompt yang dikirim ke ChatGPT harus menerima pemeriksaan yang sama seperti lampiran email. Sebuah operasi tempel ke Slack harus memicu pemeriksaan yang sama seperti unggahan ke Google Drive. Metode transfer tidak boleh menentukan apakah keamanan diterapkan.

Kontrol identitas harus benar-benar ditegakkan. Tidak cukup untuk menawarkan single sign-on jika karyawan masih dapat mengakses aplikasi bisnis melalui akun pribadi. Autentikasi federasi perlu menjadi wajib untuk setiap aplikasi yang menangani data sensitif, bukan opsional. Login perusahaan non-federasi harus dianggap sebagai risiko keamanan yang mereka hadirkan.

Bagian Bawah

AI telah menjadi kategori tercepat tumbuh dalam perangkat lunak perusahaan. Ini juga telah menjadi saluran nomor satu untuk kebocoran data. Tujuh puluh tujuh persen karyawan menempelkan data ke dalam alat AI. Empat puluh persen unggahan mengandung informasi sensitif. Sebagian besar aktivitas ini terjadi melalui akun yang tidak dikelola. Perimeter keamanan lama tidak ada lagi. Sebagian besar pekerjaan terjadi di browser, dan bahkan tindakan sederhana seperti menempelkan teks dapat menyebabkan pelanggaran. Perusahaan yang tidak memperbarui strategi keamanan mereka untuk kenyataan baru ini sudah kehilangan kontrol atas data paling berharga mereka.