Тень GenAI широка и мутна и подвергает риску данные вашего предприятия

Решения генеративного искусственного интеллекта (GenAI) больше не являются чем-то, что сотрудники предприятий просто “тестируют”. Они принимаются и интегрируются в повседневную работу с все возрастающей скоростью. Согласно одному отчету, 40% организаций отчитались о использовании GenAI в ежедневных рабочих процессах за последний год, и более 80% отчитались о том, что пользователи взаимодействуют с этими инструментами еженедельно.

Но хотя принятие AI увеличивается, видимость и контроль не поспевают за ним. Поскольку GenAI встраивается в почтовые ящики, редакторы кода, платформы сотрудничества, виртуальных помощников и многое другое, он получает доступ к все более большим объемам конфиденциальных данных через подсказки, загрузки и действия копирования и вставки – все это, вероятно, обходит традиционные контроли.

Результатом является растущий объем тени данных: бизнес-критическая информация, протекающая через SaaS, облачные и локальные сервисы с ограниченными мерами безопасности для видимости, управления или хранения. Чтобы инновировать устойчиво и безопасно с помощью решений AI, современным предприятиям необходимо понять этот разрыв между принятием и контролем и научиться устранять тени данных, прежде чем они выйдут из-под контроля.

Широкая и мутная тень GenAI

Основная проблема тени данных заключается в отсутствии контекста. Если проблемы тени IT ограничены файлами в состоянии покоя, санкционированными приложениями и известными точками выхода, границы тени данных, обусловленные AI, намного менее жестко определены. Командам необходимо не только обнаружить и защитить неизвестные инструменты, но и контролировать модели AI, интегрированные в санкционированные приложения, такие как платформы электронной почты, облачные решения хранения и CRM. Это меняет “безопасные” решения, с которыми они работали и контролировали, и расширяет их ландшафт угроз.

GenAI также меняет, как конфиденциальные данные перемещаются через архитектуру предприятия. В отличие от приложений и файлов, основанных на традиционных решениях SaaS, он работает на непрерывном, разговорном уровне, который побуждает пользователей делиться контекстом для достижения лучших результатов. Это приводит пользователей к выполнению рутинных действий копирования и вставки и загрузки, которые могут включать фрагменты исходного кода, записи клиентов, внутренние документы и многое другое, все из которых не имеют надлежащего управления обменом данными для их соответствующих уровней чувствительности.

Более того, принятие GenAI часто не следует чистому, централизованному шаблону. Никакие два пользователя данных предприятия не являются точно одинаковыми, и их стремление к оптимизированным рабочим процессам и автоматизации экономии времени может привести их к использованию многочисленных решений AI, что, в свою очередь, создает еще более фрагментированные пути данных. Умножьте это на всю рабочую силу вашего предприятия, и тень становится невероятно широкой.

Почему блокирование GenAI не сработает

Столкнувшись с этими угрозами, многие организации имеют реакцию, заключающуюся в том, чтобы полностью блокировать или ограничивать доступ к инструментам GenAI. Хотя этот подход понятен, он часто не так эффективен, как надеется предприятие. Как только джинн GenAI вырывается из бутылки, его очень трудно вернуть обратно. Многие сотрудники используют эти инструменты для оптимизации своих ежедневных рабочих процессов, внедряя GenAI в планирование и выполнение задач.

Когда доступ ограничивается сверху, использование не прекратится; оно просто переместится из виду. Если сотрудники переключаются на личные или неуправляемые учетные записи, предприятия теряют всю видимость того, какие данные обмениваются и хранятся приложениями. Фактически, один отчет обнаружил, что 44% сотрудников уже использовали AI способами, которые противоречат политикам и рекомендациям, в то время как другое исследование сообщило, что 75% сотрудников, которые используют неутвержденные инструменты AI, признались в обмене потенциально конфиденциальной информацией с ними. Когда добросовестные сотрудники непреднамеренно обходят меры безопасности и создают возможности для конфиденциальных данных покинуть регулируемые среды и войти в системы с неясными контролями, это создает значительный риск внутренних угроз, который может стоить организации в среднем 19,5 миллиона долларов в год. Отодвигая пользовательскую активность дальше в неуправляемые браузеры, личные облачные учетные записи или нишевые инструменты AI, предприятия создают больше векторов угроз, которые команды безопасности могут никогда не увидеть.

Таким образом, тени данных не являются единственным результатом безрассудных сотрудников с доступом к инструментам AI. Это структурный результат доступного дизайна GenAI, требования контекста и общей повсеместности. И пока предприятия не смогут восстановить видимость того, как и где их тени данных текут, принятие GenAI будет продолжать опережать их способность управлять его рисками.

Устранение тени данных с помощью видимости и защиты

Хотя полное блокирование решений GenAI вряд ли сработает, предприятия могут поддерживать инновации AI, одновременно сдерживая распространение тени данных, выполняя три основных действия:

1. Установить видимость от начала до конца

Предприятиям необходимо точно знать, с чем они имеют дело, прежде чем они смогут эффективно защитить свои экосистемы данных. Это начинается с создания полной картины того, какие приложения GenAI используются их сотрудниками, включая те, которые встроены в санкционированные инструменты. Это также распространяется на типы данных – финансовые, интеллектуальная собственность, личная идентификационная информация, защищенная информация о здоровье или другие регулируемые сведения – которые обмениваются с этими приложениями, а также на то, где данные перемещаются через локальные, SaaS и облачные сети. Без этой важной информации команды безопасности и соответствия требованиям вынуждены управлять предположениями, а не точным, реальным поведением сотрудников.

2. Применить контекстно-зависимые политики защиты данных

Видимость сама по себе недостаточна, если контроли не могут адаптироваться к тому, как используется GenAI. Классические политики “разрешить или заблокировать” слишком жесткие для рабочих процессов AI, которые требуют непрерывного, разговорного обмена данными. Чтобы эффективно защитить эти решения, командам необходимо создать контекстно-зависимые политики, которые оценивают пользователей, данные и места назначения в режиме реального времени. Это позволяет предпринимать реалистичные и соразмерные действия в отношении поведения пользователей, блокируя рискованные загрузки, удаляя конфиденциальную информацию, прежде чем она покинет среду, или инструктируя сотрудников попробовать более безопасные альтернативы. Эти автоматические ограничители могут быть более эффективно внедрены в повседневные задачи, чем полное нарушение или ручное вмешательство, что делает использование GenAI более безопасным, не препятствуя производительности.

3. Обеспечить последовательное применение политики

Предприятиям необходимо обеспечить единый последовательный набор политик защиты данных, где бы ни происходила работа, не заставляя команды отказываться от инструментов, на которые они полагаются. Они не должны “разорвать и заменить” установленные инструменты, поскольку это существенно нарушило бы производительность. Вместо этого они должны установить унифицированные политики, которые следуют за данными и пользователями через облачное хранилище, платформы сотрудничества, приложения SaaS и помощники GenAI. Эта последовательность уменьшит как риск, так и трение, позволяя командам безопасности избегать управления фрагментированными контролями и позволяя сотрудникам работать в предсказуемых ограничениях, а не сталкиваясь с неожиданными запретами. В конечном итоге, проактивная и последовательная реакция будет намного более эффективной, чем реактивная и фрагментированная.

Поддержка безопасного и устойчивого внедрения

Инструменты GenAI стали слишком быстро вплетены в повседневные рабочие процессы, чтобы организации могли относиться к ним как к нишевому или экспериментальному риску. Они не могут быть проигнорированы, ни полностью уничтожены. Вместо этого предприятиям необходимо пройти путь вперед, который позволяет инновационному использованию AI, избегая тени, непротектированного перемещения конфиденциальных данных через экосистемы данных. Успех не придет от подавления принятия, а от безопасного обеспечения его посредством непрерывной, контекстной и последовательной защиты данных, где бы ни текли их данные. Предприятия должны пройти путь вперед, который позволяет инновационному использованию AI, избегая тени, непротектированного перемещения конфиденциальных данных через экосистемы данных. Успех не придет от подавления принятия, а от безопасного обеспечения его посредством непрерывной, контекстной и последовательной защиты данных, где бы ни текли их данные.