Cień GenAI zagraża danych Twojego przedsiębiorstwa

Rozwiązania sztucznej inteligencji generatywnej (GenAI) nie są już tylko testowane przez pracowników przedsiębiorstw. Są one coraz częściej wdrażane i integrowane z codzienną pracą. Według jednego raportu, 40% organizacji stwierdziło, że używa GenAI w codziennych workflow w ciągu ostatniego roku, a ponad 80% stwierdziło, że użytkownicy korzystają z tych narzędzi co tydzień.

Jednakże, pomimo wzrostu adopcji AI, widoczność i kontrola nie nadążają za tym tempem. Gdy GenAI jest wbudowany w skrzynki pocztowe, edytory kodu, platformy współpracy, asystentów wirtualnych i więcej, uzyskuje dostęp do coraz większych ilości wrażliwych danych za pomocą poleceń, przesyłania i kopiowania-wklejania – wszystko to najprawdopodobniej omija tradycyjne kontrolki.

Wynikiem jest rosnący zbiór danych cieni: informacje krytyczne dla biznesu przepływające przez usługi SaaS, chmury i systemy lokalne z ograniczonymi zabezpieczeniami widoczności, zarządzania i przechowywania. Aby innowacyjnie i bezpiecznie korzystać z rozwiązań AI, współczesne przedsiębiorstwa muszą zrozumieć tę lukę w adopcji i kontroli oraz nauczyć się eliminować dane cieni, zanim uciekną spod ich kontroli.

Cień GenAI

Podstawowym wyzwaniem danych cieni jest brak kontekstu. Gdzie wyzwania cieni IT są ograniczone do plików w spoczynku, zatwierdzonych aplikacji i znanych punktów wyjścia, granice danych cieni AI są znacznie mniej sztywno określone. Zespoły nie mogą po prostu odkryć i zabezpieczyć nieznanych narzędzi; muszą również monitorować modele AI wbudowane w zatwierdzone aplikacje, takie jak platformy pocztowe, rozwiązania do przechowywania w chmurze i CRM. To zmienia “bezpieczne” rozwiązania, z którymi pracowali, i rozszerza ich pejzaż zagrożeń.

GenAI również zmienia sposób, w jaki wrażliwe dane przepływają przez architekturę przedsiębiorstwa. W przeciwieństwie do aplikacji i plików opartych na tradycyjnych rozwiązaniach SaaS, działa na ciągłej, konwersacyjnej warstwie, która zachęca użytkowników do udostępniania kontekstu w celu uzyskania lepszych wyników. To powoduje, że użytkownicy wykonują rutynowe akcje kopiowania-wklejania i przesyłania, które mogą zawierać fragmenty kodu źródłowego, rekordy klientów, dokumenty wewnętrzne i więcej, wszystko to bez właściwych zabezpieczeń udostępniania danych dla ich poziomów wrażliwości.

Co więcej, adopcja GenAI często nie podąża za czystym, scentralizowanym modelem. Żadne dwa użytkownicy danych w przedsiębiorstwie nie są identyczne, a ich poszukiwanie zoptymalizowanych workflow i automatyzacji czasu może skłonić ich do wykorzystania wielu rozwiązań AI, co z kolei tworzy jeszcze bardziej fragmentowane ścieżki danych. Pomnóż to przez cały zespół przedsiębiorstwa, a cień staje się niezwykle szeroki.

Dlaczego blokowanie GenAI nie zadziała

W obliczu tych zagrożeń, wiele organizacji ma odruch, aby całkowicie zablokować – lub w inny sposób ściśle ograniczyć – dostęp do narzędzi GenAI. Chociaż jest to zrozumiable podejście, często nie jest tak skuteczne, jak przedsiębiorstwo mogłoby się spodziewać. Gdy GenAI jest już “wypuszczony z butelki”, bardzo trudno jest go powstrzymać. Wielu pracowników używa tych narzędzi, aby usprawnić swoją codzienną pracę, wprowadzając GenAI w planowanie i wykonanie zadań.

Gdy dostęp jest ograniczony, użytkowanie nie jest prawdopodobne, aby się zatrzymać; po prostu przeniesie się poza widoczność. Jeśli pracownicy przejdą na osobiste lub niezarządzane konta, przedsiębiorstwa tracą wszelką widoczność, jaki dane są udostępniane i przechowywane przez aplikacje. W rzeczywistości, jeden raport stwierdził, że 44% pracowników już używało AI w sposób sprzeczny z politykami i wytycznymi, podczas gdy inne badanie wykazało, że 75% pracowników, którzy używają niezatwierdzonych narzędzi AI, przyznało, że udostępniało potencjalnie wrażliwe informacje. Gdy pracownicy, nieświadomie omijają zabezpieczenia i tworzą okazje do wycieku wrażliwych danych z zarządzanych środowisk do systemów o niejasnych kontrolach, tworzy to znaczne ryzyko wewnętrzne, które może kosztować organizację średnio 19,5 mln dolarów rocznie. Przez pchanie aktywności użytkowników dalej w niezarządzane przeglądarki, osobiste konta w chmurze lub nisze narzędzia AI, przedsiębiorstwa tworzą więcej wektorów zagrożeń, których zespoły bezpieczeństwa mogą nigdy nie zobaczyć.

W ten sposób dane cieni nie są wyłącznie wynikiem lekkomyślnych pracowników z dostępem do narzędzi AI. Jest to strukturalny wynik dostępnego projektu GenAI, zapotrzebowania na kontekst i ogólnej wszechobecności. I dopóki przedsiębiorstwa nie odzyskają widoczności, jak i gdzie ich dane cieni przepływają, adopcja GenAI będzie nadal wyprzedzać ich zdolność do zarządzania jej ryzykiem.

Eliminowanie danych cieni z widocznością i ochroną

Chociaż całkowite blokowanie rozwiązań GenAI nie jest prawdopodobne, aby zadziałało, przedsiębiorstwa mogą wspierać innowacje AI, jednocześnie odstraszając proliferację danych cieni, podejmując trzy podstawowe działania:

1. Ustanowienie widoczności od końca do końca

Przedsiębiorstwa muszą wiedzieć dokładnie, z czym mają do czynienia, zanim będą mogły skutecznie chronić swoje ekosystemy danych. Początek polega na namalowaniu pełnego obrazu, które aplikacje GenAI są używane przez ich pracowników, w tym tych wbudowanych w zatwierdzone narzędzia. Rozciąga się to również na typy danych – finansowe, IP, PII, PHI lub inne regulowane informacje – które są udostępniane tym aplikacjom, a także tam, gdzie dane przepływają przez systemy lokalne, SaaS i chmurę. Bez tej niezbędnej informacji, zespoły bezpieczeństwa i zgodności są pozostawione do zarządzania założeniami zamiast dokładnym, rzeczywistym zachowaniem pracowników.

2. Stosowanie polityk ochrony danych świadomych kontekstu

Widoczność sama w sobie nie jest wystarczająca, jeśli kontrolki nie mogą dostosować się do tego, jak GenAI jest używany. Klasyczne polityki “zezwalaj lub blokuj” są zbyt sztywne dla workflow AI, które wymagają ciągłej, konwersacyjnej wymiany danych. Aby skutecznie chronić te rozwiązania, zespoły muszą tworzyć polityki świadome kontekstu, które oceniają użytkowników, dane i miejsca docelowe w czasie rzeczywistym. To pozwala na podjęcie realistycznych i proporcjonalnych działań wobec zachowania użytkownika, blokowania ryzykownych przesyłania, redagowania wrażliwych informacji przed opuszczeniem środowiska lub instruowania pracowników, aby spróbować bezpieczniejszych alternatyw. Te zautomatyzowane barierki mogą być wbudowane w codzienną pracę bardziej efektywnie niż pełne przerwanie lub interwencja ręczna, sprawiając, że korzystanie z GenAI jest bezpieczniejsze bez hamowania produktywności.

3. Zapewnienie spójnej egzekucji polityki

Przedsiębiorstwa muszą egzekwować jeden spójny zestaw polityk ochrony danych, niezależnie od miejsca pracy, bez zmuszania zespołów do porzucenia narzędzi, na które się powierzają. Nie powinny “wyrwać i zastąpić” ustalone narzędzia, ponieważ to znacznie zakłóciłoby produktywność. Zamiast tego, powinny ustanowić jednolite polityki, które podążają za danymi i użytkownikami przez przechowywanie w chmurze, platformy współpracy, aplikacje SaaS i asystentów GenAI. To spowoduje zmniejszenie zarówno ryzyka, jak i tarcia, pozwalając zespołom bezpieczeństwa uniknąć zarządzania fragmentowanymi kontrolami i umożliwiając pracownikom pracę w ramach przewidywalnych barier zamiast stawiania czoła nieoczekiwanym zakazom. Ostatecznie, proaktywna i spójna odpowiedź będzie znacznie bardziej skuteczna niż reaktywna i fragmentaryczna.

Wspieranie bezpiecznej i zrównoważonej adopcji

Narzędzia GenAI stały się zbyt szybko splecione z codzienną pracą, aby organizacje mogły je traktować jak nisze lub eksperymentalne ryzyko. Nie mogą być ignorowane, ani całkowicie wyrwane. Zamiast tego, przedsiębiorstwa muszą znaleźć drogę naprzód, która umożliwia innowacyjne korzystanie z AI, unikając przy tym niechronionego ruchu wrażliwych danych przez ekosystemy danych. Sukces nie nastąpi dzięki tłumieniu adopcji, ale umożliwieniu jej bezpiecznie poprzez ciągłą, kontekstową i spójną ochronę danych, niezależnie od miejsca, w którym ich dane przepływają.