Kebanyakan AI Perusahaan Tidak Aman. Berikut yang Dapat Dilakukan Bisnis

Perusahaan berlomba-lomba untuk mengadopsi kecerdasan buatan (AI) generatif untuk tetap kompetitif di pasar mereka. Namun, tim keamanan menghadapi tantangan besar karena mereka bergantung pada kerangka kerja yang sudah ketinggalan zaman. Alat-alat yang telah berhasil melindungi organisasi selama beberapa dekade sekarang meninggalkan kerentanan kritis terbuka ketika karyawan berinteraksi dengan platform AI berbasis browser.

Menghadapi Ancaman Shadow AI yang Meningkat di Perusahaan

Shadow AI muncul ketika karyawan melewati saluran IT resmi dan menggunakan alat AI konsumen tanpa izin untuk tugas kerja. Platform ini menawarkan kecepatan dan kenyamanan yang proses persetujuan internal tidak dapat sesuai, membuatnya tidak dapat ditolak oleh pekerja yang fokus pada produktivitas.

Penelitian terbaru menunjukkan bahwa 73,8% keterlibatan karyawan dengan ChatGPT terjadi pada akun non-perusahaan, yang berarti informasi sensitif mengalir langsung ke model publik. Demikian pula, penggunaan Gemini dan Bard pada akun pribadi mencapai 94,4% dan 95,9%, masing-masing.

Mengalihdayakan tugas ke platform eksternal yang tidak diverifikasi membawa konsekuensi besar. Analisis menunjukkan bahwa 55% kegagalan AI berasal dari solusi pihak ketiga ini, menciptakan risiko yang meliputi kerusakan reputasi dan kerugian keuangan. Kehilangan kepercayaan konsumen, penalti kepatuhan, dan litigasi sering mengikuti. Untuk perusahaan yang menggunakan alat AI pihak ketiga tanpa melakukan analisis risiko sebelum penerapan, ini sangat mengkhawatirkan.

Tanpa pedoman yang dapat ditegakkan, karyawan berbagi informasi perusahaan yang sensitif, menciptakan kewajiban privasi yang besar, sementara banyak platform pihak ketiga kekurangan langkah-langkah keamanan yang ketat untuk melindungi catatan bisnis yang sensitif. Kebijakan dan praktik penyimpanan di seluruh solusi ini dapat secara tidak sengaja mengungkapkan informasi pelanggan dan catatan keuangan ke potensi pelanggaran.

Mengapa Pencegahan Kehilangan Data Tradisional Gagal

Alat pencegahan kehilangan data (DLP) warisan dirancang untuk mencegah file diunduh atau dikirim melalui lampiran email. Solusi ini sangat baik untuk tujuan aslinya, tetapi menghadapi keterbatasan mendasar di era AI berbasis browser. Misalnya, mereka tidak dapat dengan mudah memantau atau memblokir teks yang diketik atau disalin oleh karyawan langsung ke jendela prompt AI, menciptakan titik buta dalam cakupan keamanan yang tumbuh lebih problematis dengan setiap kuartal.

Jaraknya menjadi jelas ketika memeriksa apa yang dapat dan tidak dapat dilindungi oleh alat ini:

• DLP menangkap: Unduhan file, lampiran email, transfer USB, dan unggahan dokumen
• DLP melewatkan: Tindakan salin-tempel ke jendela browser, prompt yang diketik secara manual, screenshot yang diubah menjadi teks, dan entri teks langsung ke aplikasi web

Ketika adopsi AI dipercepat di seluruh organisasi, celah cakupan ini melebar dan menghasilkan jalur untuk pengeluaran informasi yang infrastruktur keamanan tradisional tidak pernah dirancang untuk menangani. Tim keamanan menemukan diri mereka dalam posisi reaktif, menemukan pelanggaran hanya setelah konten sensitif telah meninggalkan kendali organisasi.

Apa Pendekatan Terbaik untuk AI Perusahaan yang Aman?

Bertahan pada solusi DLP warisan sambil mengabaikan kenyataan adopsi AI tidak merupakan strategi bisnis jangka panjang yang layak. Perusahaan perlu meningkatkan ke deteksi ancaman AI yang didorong yang beradaptasi dengan serangan baru dan menerapkan batasan ketat pada penggunaan AI yang melindungi informasi sensitif. Menerapkan praktik tata kelola terpusat untuk mencegah paparan tidak disengaja melengkapi fondasi keamanan ini.

Beralih ke Konteks AI Multilayer

Alat deteksi ancaman tradisional bergantung pada aturan reaktif yang mencari tanda tangan historis serangan yang diketahui. Pendekatan ini baik menghasilkan false positif yang berlebihan dengan menandai perilaku karyawan normal sebagai mencurigakan atau sama sekali melewatkan serangan baru yang tidak sesuai dengan pola sebelumnya dalam database.

Misalnya, Rumah Sakit Artesia General mengakui keterbatasan ini dalam melindungi operasi perawatan pasien dan ekosistem digital, yang menyebabkan organisasi menerapkan teknologi Darktrace. Beroperasi tanpa daftar ancaman yang telah ditentukan sebelumnya, platform ini mempelajari setiap perangkat, pengguna, dan interaksi dalam jaringan rumah sakit untuk mengembangkan pemahaman tentang apa yang terlihat seperti perilaku normal dari awal.

Komponen Cyber AI Analyst menyelidiki peringatan menggunakan metode yang mirip dengan analis manusia sambil menyatukan anomali halus yang dapat menunjukkan ancaman nyata terhadap catatan pasien dan operasi rumah sakit. Sistem ini secara otomatis memeriksa ancaman jaringan Artesia untuk menentukan peringatan mana yang mewakili insiden keamanan nyata.

Pendekatan AI multilayer ini secara signifikan mengurangi false positif yang membebani tim keamanan. Ketika beralih dari 100 peringatan tidak berbahaya per hari menjadi hanya dua atau tiga insiden kritis yang benar-benar memerlukan perhatian manusia, fokus mereka menyempit. Analis menerima informasi yang tepat yang mereka butuhkan tanpa menghabiskan jam untuk penyelidikan manual.

Menerapkan Kebijakan Penggunaan AI Internal yang Ketat

Membuat batasan yang jelas dan menerapkan penghalang teknis yang mengontrol informasi apa yang dapat memasuki model AI publik mengatasi kerentanan yang solusi DLP warisan tidak dapat tutupi sendiri.

Samsung memberikan contoh peringatan tentang apa yang terjadi ketika karyawan mengakses alat AI tanpa pengawasan teknis yang memadai. Dalam waktu 20 hari setelah mengizinkan akses ChatGPT pada April 2023, perusahaan mengalami tiga kebocoran terpisah yang mengompromikan informasi sangat rahasia di seluruh departemen.

Insinyur menempelkan kode sumber basis data semikonduktor milik perusahaan ke ChatGPT untuk memeriksa kesalahan penulisan, mengungkapkan detail kritis tentang proses manufaktur Samsung. Dalam insiden lain, seorang karyawan mengunggah kode khusus yang dirancang untuk mengidentifikasi cacat peralatan sambil mencari saran optimasi. Staf juga mengubah rekaman pertemuan internal menjadi teks sebelum memberikan transkrip tersebut ke ChatGPT untuk pembuatan menit otomatis.

Sekali informasi memasuki dataset pelatihan model AI publik, tidak ada tombol hapus untuk mengambil atau menghapusnya dari basis pengetahuan. Samsung akhirnya melarang ChatGPT sepenuhnya karena konten milik perusahaan yang bocor tidak dapat dipulihkan.

Menerapkan Tata Kelola Data Terpusat

Solusi AI perusahaan hanya seaman informasi yang dapat diakses di dalam organisasi, dan memakukan izin di seluruh sistem membentuk fondasi penerapan AI yang aman. Ketika jaringan internal perusahaan menderita kontrol akses yang tidak konsisten dan praktik manajemen yang terfragmentasi, bahkan alat AI yang disetujui dapat secara tidak sengaja mengungkapkan file HR yang sensitif atau catatan keuangan kepada karyawan yang tidak berwenang.

Misalnya, AXIS Capital menghadapi tantangan ini secara langsung ketika menangani platform kebijakan dan klaim yang terpisah dan tersebar di berbagai geografi. Setiap lini bisnis telah membuat standar referensi pelaporan mereka sendiri, dan inkonsistensi tersebut menyebabkan kesalahan dalam penawaran, penulisan, dan penyesuaian klaim yang membuat pelaporan tingkat perusahaan sangat sulit.

Perusahaan asuransi ini mengembangkan strategi perusahaan yang menggunakan formulir pengawasan berbasis web dan aturan keamanan yang ketat untuk memakukan hierarki referensi inti. Dimulai dengan Sistem Klasifikasi Industri Amerika Utara dan Klasifikasi Industri Standar, AXIS kemudian memperluas ke dalam kode penilaian dan penulisan yang sebelumnya bervariasi tergantung lokasi.

Dengan menerapkan manajemen data terpusat dan kontrol, perusahaan menciptakan satu sumber kebenaran yang aman dan dapat diakses di seluruh operasi. Ini menghilangkan inkonsistensi yang telah mengganggu platform mereka sambil memungkinkan AXIS untuk mempercepat proses asuransi inti seperti memperkenalkan penawaran produk baru, mengurangi risiko operasional, dan mencapai analitik yang dapat diandalkan di tingkat perusahaan.

Mengamankan Masa Depan Inovasi Perusahaan

Adopsi AI di bisnis adalah tak terhindarkan karena organisasi bersaing untuk keunggulan pasar. Bergantung pada kerangka keamanan warisan dan toleran terhadap praktik tata kelola yang tidak terstruktur hanya akan mempercepat kebocoran dan pelanggaran kepatuhan. Pertanyaannya bukanlah apakah perusahaan akan mengadopsi AI, tetapi apakah mereka akan melakukannya dengan aman. Dengan menerapkan deteksi ancaman AI multilayer dan membangun pengawasan ketat atas akses informasi, bisnis dapat mengadopsi inovasi AI sambil melindungi konten paling sensitif mereka.