เงาหนึ่งของ GenAI ที่กว้างขวางและคลุมเครือกำลังทำให้ข้อมูลองค์กรของคุณตกอยู่ในความเสี่ยง

โซลูชัน Generative Artificial Intelligence (GenAI) ไม่ใช่สิ่งที่พนักงานในองค์กรทดลองใช้เพียงอย่างเดียวอีกต่อไป แต่กำลังถูกนำมาใช้และรวมเข้ากับการทำงานประจำวันในอัตราที่เพิ่มขึ้นเรื่อยๆ ตามรายงานหนึ่งพบว่า 40% ขององค์กร ใช้ GenAI ในการทำงานประจำ ในช่วงปีที่ผ่านมา และมากกว่า 80% รายงานว่าผู้ใช้ได้โต้ตอบกับเครื่องมือเหล่านี้สัปดาห์ละครั้ง

แต่ในขณะที่การนำ AI มาใช้กำลังเพิ่มขึ้น ความสามารถในการมองเห็นและควบคุมไม่ได้ตามมา ในขณะที่ GenAI ถูกฝังลงใน กล่องจดหมายอีเมล โปรแกรมแก้ไขโค้ด ชุดการทำงานร่วมกัน ผู้ช่วยเสมือน และอื่นๆ มันทำให้สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนในปริมาณที่เพิ่มขึ้นผ่านการกระตุ้น การอัปโหลด และการคัดลอก-วาง ซึ่งอาจหลบเลี่ยงการควบคุมแบบดั้งเดิม

ผลลัพธ์คือการเพิ่มขึ้นของข้อมูลเงา: ข้อมูลที่สำคัญต่อธุรกิจที่ไหลผ่านบริการ SaaS คลาวด์ และบนพื้นฐานที่มีการควบคุมความปลอดภัย การกำกับดูแล หรือการเก็บรักษาที่จำกัด เพื่อให้สามารถสร้างนวัตกรรมได้อย่างปลอดภัยและยั่งยืนโดยใช้โซลูชัน AI องค์กรสมัยใหม่จำเป็นต้องเข้าใจช่องว่างระหว่างการนำไปใช้และการควบคุม และเรียนรู้ที่จะจัดการข้อมูลเงาก่อนที่จะหลบหนีออกจากความควบคุม

เงาหนึ่งของ GenAI ที่กว้างขวางและคลุมเครือ

ความท้าทายหลักของข้อมูลเงาเกิดจากความไม่มีบริบท ในขณะที่ความท้าทายของ Shadow IT ถูกจำกัดไว้ที่ไฟล์ที่อยู่นิ่ง การใช้งานที่ได้รับอนุญาต และจุดออกที่ทราบ ความเสี่ยงของข้อมูลเงาที่ขับเคลื่อนโดย AI มีขอบเขตที่ไม่แน่นอนมากขึ้น ทีมงานไม่สามารถค้นหาและรักษาความปลอดภัยเครื่องมือที่ไม่รู้จักได้เท่านั้น แต่ยังต้องติดตามโมเดล AI ที่รวมเข้ากับเครื่องมือที่ได้รับอนุญาต เช่น แพลตฟอร์มอีเมล โซลูชันการเก็บข้อมูลบนคลาวด์ และ CRM สิ่งนี้ทำให้โซลูชันที่ “ปลอดภัย” ที่พวกเขาได้ทำงานและติดตามมันขยายขอบเขตความเสี่ยง

GenAI ยังเปลี่ยนแปลงวิธีการที่ข้อมูลที่ละเอียดอ่อนไหลผ่านสถาปัตยกรรมขององค์กร ไม่เหมือนกับกระบวนการทำงานแบบดั้งเดิมที่ขึ้นอยู่กับแอปพลิเคชันและไฟล์ GenAI ทำงานบนชั้นการโต้ตอบที่ต่อเนื่องกัน ซึ่งกระตุ้นให้ผู้ใช้แบ่งปันบริบทเพื่อให้ได้ผลลัพธ์ที่ดีขึ้น สิ่งนี้นำไปสู่การกระทำที่ผู้ใช้ทำซ้ำๆ เช่น การคัดลอก-วาง และการอัปโหลดที่อาจรวมถึงส่วนของโค้ดแหล่งที่มา บันทึกลูกค้า เอกสารภายใน และอื่นๆ ซึ่งไม่มีการแบ่งปันข้อมูลที่เหมาะสมสำหรับระดับความอ่อนไหวที่เกี่ยวข้อง

สิ่งที่น่าสังเกตยิ่งขึ้นคือ การนำ GenAI ไปใช้ไม่จำเป็นต้องปฏิบัติตามรูปแบบที่สะอาดและเป็นศูนย์กลาง ไม่มีสองผู้ใช้ข้อมูลองค์กรที่เหมือนกัน และการแสวงหาการทำงานที่ได้รับการปรับปรุงและอัตโนมัติที่ช่วยประหยัดเวลาให้กับพวกเขา นำไปสู่การใช้โซลูชัน AI หลายตัว ซึ่งสร้างเส้นทางข้อมูลที่แตกกระจายมากขึ้น คูณสิ่งนี้ด้วยกำลังคนขององค์กรทั้งหมด และเงาจะกลายเป็นเงาที่กว้างขวางมาก

เหตุผลที่การปิดกั้น GenAI ไม่ได้ผล

เมื่อเผชิญกับความเสี่ยงเหล่านี้ องค์กรหลายแห่งมักจะมีปฏิกิริยาโดยอัตโนมัติที่จะปิดกั้นหรือจำกัดการเข้าถึงเครื่องมือ GenAI อย่างเคร่งครัด แม้ว่าการเข้าใกล้นี้จะเข้าใจได้ แต่ก็ไม่ได้ผลเสมอไป เมื่อ GenAI ถูกปล่อยออกมาแล้ว มันจะยากที่จะควบคุมมันกลับเข้ามาได้ พนักงานหลายคนใช้เครื่องมือเหล่านี้เพื่อทำให้กระบวนการทำงานประจำวันของตนง่ายขึ้น และทำให้ GenAI เป็นส่วนหนึ่งของการวางแผนและดำเนินการงาน

เมื่อการเข้าถึงถูกจำกัดจากด้านบน การใช้งานไม่น่าจะหยุดลง แต่จะเคลื่อนออกจากสายตา หากพนักงานเปลี่ยนไปใช้บัญชีส่วนบุคคลหรือบัญชีที่ไม่ได้รับการจัดการ องค์กรจะสูญเสียความสามารถในการมองเห็นข้อมูลที่แบ่งปันและเก็บรักษาโดยแอปพลิเคชัน ในความเป็นจริง รายงานหนึ่งพบว่า 44% ของพนักงาน ได้ใช้ AI ในวิธีที่ขัดต่อนโยบายและแนวทางแล้ว ในขณะที่การศึกษาอื่นพบว่า 75% ของพนักงาน ที่ใช้เครื่องมือ AI ที่ไม่ได้รับอนุมัติ ยอมรับว่าได้แบ่งปันข้อมูลที่อาจมีความอ่อนไหวกับเครื่องมือเหล่านั้น เมื่อพนักงานที่มีเจตนาไม่เลวหลบเลี่ยงการป้องกันโดยไม่ตั้งใจและสร้างโอกาสให้ข้อมูลที่ละเอียดอ่อนหลบออกจากสภาพแวดล้อมที่มีการควบคุมและเข้าสู่ระบบที่มีการควบคุมไม่ชัดเจน จะทำให้เกิดความเสี่ยงภายในที่สำคัญ ซึ่งสามารถทำให้องค์กรเสียค่าใช้จ่ายเฉลี่ย 19.5 ล้านดอลลาร์สหรัฐฯ ต่อปี โดยการผลักดันให้กิจกรรมของผู้ใช้เคลื่อนไปสู่เบราว์เซอร์ที่ไม่ได้รับการจัดการ บัญชีคลาวด์ส่วนบุคคล หรือเครื่องมือ AI ที่ไม่ค่อยมีคนรู้จัก องค์กรจะสร้างเวกเตอร์ความเสี่ยงเพิ่มเติมที่ทีมความปลอดภัยอาจไม่เคยเห็น

ในทางนี้ ข้อมูลเงาไม่ใช่ผลลัพธ์เดียวของพนักงานที่มีการเข้าถึงเครื่องมือ AI โดยไม่ระมัดระวัง มันเป็นผลลัพธ์เชิงโครงสร้างของการออกแบบ GenAI ที่สามารถเข้าถึงได้ ความต้องการบริบท และการแพร่กระจายโดยรวม และจนกว่าองค์กรจะสามารถมองเห็นได้ว่าข้อมูลเงาของตนไหลไปที่ไหน การนำ GenAI ไปใช้จะยังคงเพิ่มขึ้นกว่าการควบคุมความเสี่ยง

การกำจัดข้อมูลเงาด้วยการมองเห็นและการป้องกัน

แม้ว่าการปิดกั้น GenAI ทั้งหมดจะไม่น่าจะได้ผล องค์กรสามารถสนับสนุนนวัตกรรม AI ในขณะเดียวกันก็ป้องกันการแพร่กระจายของข้อมูลเงาโดยการดำเนินการหลักสามประการ

1. จัดตั้งการมองเห็นแบบ End-to-End

องค์กรต้องทราบว่าตนกำลังเผชิญกับอะไรจึงจะสามารถปกป้องระบบนิเวศข้อมูลของตนได้อย่างมีประสิทธิภาพ สิ่งนี้เริ่มต้นด้วยการวาดภาพที่สมบูรณ์ของเครื่องมือ GenAI ที่พนักงานของตนกำลังใช้ รวมถึงเครื่องมือที่ฝังลงในเครื่องมือที่ได้รับอนุญาต นอกจากนี้ยังขยายไปถึงประเภทข้อมูล (การเงิน IP PII PHI หรือข้อมูลที่ได้รับการควบคุมอื่นๆ) ที่แบ่งปันกับเครื่องมือเหล่านี้ และที่ไหนข้อมูลกำลังเดินทางผ่านเครือข่ายบนพื้นฐาน SaaS และคลาวด์ โดยไม่มีข้อมูลสำคัญนี้ ทีมความปลอดภัยและความเป็นไปตามข้อกำหนดจะถูกบังคับให้กำกับดูแลการคาดเดาแทนพฤติกรรมของพนักงานในโลกแห่งความเป็นจริง

2. ใช้นโยบายการป้องกันข้อมูลที่ตระหนักถึงบริบท

การมองเห็นเพียงอย่างเดียวไม่เพียงพอหากการควบคุมไม่สามารถปรับให้เข้ากับการใช้งาน GenAI ได้ นโยบาย “อนุญาตหรือบล็อก” ในแบบดั้งเดิมมีความยืดหยุ่นน้อยเกินไปสำหรับกระบวนการทำงาน AI ที่ต้องการการแลกเปลี่ยนข้อมูลแบบต่อเนื่อง เพื่อปกป้องโซลูชันเหล่านี้อย่างมีประสิทธิผล ทีมต่างๆ ต้องสร้างนโยบายที่ตระหนักถึงบริบท ซึ่งประเมินผู้ใช้ ข้อมูล และจุดหมายปลายทางในเวลาจริง สิ่งนี้ทำให้สามารถดำเนินการตามพฤติกรรมของผู้ใช้ได้จริงและเหมาะสม โดยการบล็อกการอัปโหลดที่มีความเสี่ยง การลบข้อมูลที่ละเอียดอ่อนก่อนที่จะออกจากสภาพแวดล้อม หรือการแนะนำให้พนักงานลองใช้ตัวเลือกที่ปลอดภัยยิ่งขึ้น การป้องกันเหล่านี้สามารถฝังลงในงานประจำวันได้อย่างมีประสิทธิภาพมากกว่าการหยุดชะงักหรือการแทรกแซงด้วยตนเอง ทำให้การใช้ GenAI มีความปลอดภัยโดยไม่ขัดขวางประสิทธิภาพ

3. รับรองการบังคับใช้นโยบายที่สอดคล้องกัน

องค์กรต้องบังคับใช้ชุดนโยบายการป้องกันข้อมูลที่สอดคล้องกันในทุกที่ที่ทำงาน โดยไม่ต้องบังคับให้ทีมงานละทิ้งเครื่องมือที่พวกเขาได้พึ่งพา พวกเขาควรไม่ “ถอดออกและแทนที่” เครื่องมือที่มีอยู่แล้ว เนื่องจากสิ่งนี้จะขัดขวางประสิทธิภาพการทำงานอย่างมาก แทนที่จะจัดตั้งนโยบายที่สอดคล้องกันซึ่งตามข้อมูลและผู้ใช้ไปทั่วคลาวด์สตอเรจ ชุดการทำงานร่วมกัน แอปพลิเคชัน SaaS และผู้ช่วย GenAI สิ่งนี้จะลดความเสี่ยงและความตึงเครียด ทำให้ทีมความปลอดภัยหลีกเลี่ยงการควบคุมที่กระจัดกระจาย และช่วยให้พนักงานทำงานภายในขอบเขตที่คาดการณ์ได้ มากกว่าการเผชิญกับการห้ามที่ไม่คาดคิด การตอบสนองที่มีประสิทธิภาพและเป็นระบบจะมากกว่าการตอบสนองที่มีประสิทธิภาพและเป็นระบบ

การสนับสนุนการนำไปใช้อย่างปลอดภัยและยั่งยืน

เครื่องมือ GenAI ได้กลายเป็นส่วนหนึ่งของกระบวนการทำงานประจำวันขององค์กรอย่างรวดเร็วเกินกว่าที่จะถือว่าเป็นความเสี่ยงที่ไม่สำคัญหรือทดลอง องค์กรไม่สามารถเพิกเฉยหรือกำจัดมันออกไปได้ แต่จะต้องเดินไปข้างหน้าเพื่อใช้ GenAI อย่างสร้างสรรค์โดยหลีกเลี่ยงการเคลื่อนไหวที่ไม่ได้รับการคุ้มครองของข้อมูลที่ละเอียดอ่อนข้ามระบบนิเวศข้อมูล ความสำเร็จจะไม่เกิดขึ้นจากการระงับการนำไปใช้ แต่การทำให้มันปลอดภัยผ่านการป้องกันข้อมูลที่ต่อเนื่อง บริบท และสอดคล้องกัน ทุกที่ที่ข้อมูลไหลผ่าน