AI ได้กลายเป็นช่องทางหลักในการรั่วไหลของข้อมูล

ผู้นำองค์กรได้ลงทุนหลายพันล้านดอลลาร์ในเครื่องมือ AI เพื่อเร่งการผลิตและนวัตกรรม แต่ข้อมูลล่าสุดเผยให้เห็นถึงความเสี่ยงที่ร้ายแรงที่หลายองค์กรไม่ได้คาดคิดมาก่อน ช่องทาง AI ที่ช่วยให้พนักงานทำงานได้เร็วขึ้นได้กลายเป็นช่องทางหลักในการรั่วไหลของข้อมูลที่ละเอียดอ่อน โดยทิ้งให้สภาพแวดล้อมขององค์กรมีความเสี่ยง การค้นพบข้อมูลล่าสุดแสดงให้เห็นว่า 77% ของพนักงานวางข้อมูลลงในเครื่องมือ AI ที่สร้างขึ้น และ 40% ของไฟล์ที่อัปโหลดไปยังแพลตฟอร์มเหล่านี้มีข้อมูลส่วนบุคคลหรือข้อมูลการชำระเงิน สิ่งนี้เกิดขึ้นในขณะนี้ ทั่วทั้งองค์กรที่เชื่อว่ามีการควบคุมความปลอดภัยที่เหมาะสม สิ่งที่แสดงให้เห็นคือการไม่เชื่อมต่อระหว่างวิธีที่องค์กรคิดว่า AI ถูกใช้และวิธีที่พนักงานโต้ตอบกับเครื่องมือเหล่านี้ทุกวัน การทำความเข้าใจการเปลี่ยนแปลงนี้เป็นขั้นตอนแรกในการสร้างกลยุทธ์ความปลอดภัยที่สอดคล้องกับความเป็นจริงใหม่

AI ได้กลายเป็นช่องทางหลักในการรั่วไหลของข้อมูล

สองปีที่แล้ว AI ที่สร้างขึ้นไม่มีอยู่ในกระบวนการทำงานขององค์กร แต่ปัจจุบัน 45% ของพนักงานในองค์กรใช้แพลตฟอร์ม AI อย่างแข็งขัน โดย 11% ของกิจกรรมในองค์กรเกิดขึ้นบนเครื่องมือเหล่านี้ ChatGPT เพียงอย่างเดียวได้เข้าถึงพนักงาน 43% ในอัตราที่แพลตฟอร์มสื่อสารอื่นๆ ต้องใช้เวลาหลายทศวรรษจึงจะบรรลุผล

ความเร็วในการนำ AI มาใช้นี้ได้สร้างช่องว่างด้านความปลอดภัย ระบบป้องกันการสูญเสียข้อมูลแบบดั้งเดิมถูกสร้างขึ้นสำหรับการถ่ายโอนไฟล์ การแนบไฟล์ และการรับส่งข้อมูลเครือข่าย แต่ไม่เคยถูกออกแบบมาเพื่อตรวจสอบสิ่งที่พนักงานพิมพ์ลงในกล่องข้อความหรือวางลงในอินเทอร์เฟซแชท ช่องว่างนี้ได้กลายเป็นเส้นทางหลักในการรั่วไหลของข้อมูลที่ละเอียดอ่อน

AI ที่สร้างขึ้นในปัจจุบันคิดเป็น 32% ของการเคลื่อนย้ายข้อมูลทั้งหมดจากบัญชีองค์กรไปยังบัญชีส่วนบุคคล ทำให้กลายเป็นช่องทางหลักในการรั่วไหลของข้อมูล โดย超过การแชร์ไฟล์ อีเมล และช่องทางอื่นๆ ที่ทีมความปลอดภัยพยายามป้องกันมาหลายปี ปัญหาไม่ใช่แค่ปริมาณ แต่ยังรวมถึงลักษณะของการรั่วไหลด้วย เมื่อบางคนอัปโหลดเอกสารไปยังเซิร์ฟเวอร์ไฟล์ จะมีหลักฐาน แต่เมื่อพวกเขาวางข้อมูลลูกค้าลงในกล่องข้อความ AI การถ่ายโอนนั้น thườngเกิดขึ้นนอกระบบการบันทึกหรือการตรวจสอบ

ปัญหาเรื่องบัญชีส่วนบุคคล

ปัญหาไม่ใช่การใช้เครื่องมือ AI แต่เป็นวิธีที่พนักงานเข้าถึงเครื่องมือเหล่านี้ โมเดลความปลอดภัยขององค์กรสมมติว่าพนักงานใช้บัญชีองค์กรพร้อมการรับรองความถูกต้องแบบ single sign-on การบันทึก และการกำกับดูแล แต่ข้อมูลแสดงให้เห็นว่าสมมติฐานนี้ไม่ถูกต้อง และประมาณ 67% ของการใช้ AI เกิดขึ้นผ่านบัญชีส่วนบุคคลที่ไม่ได้รับการจัดการ ซึ่งเป็นบัญชี Gmail, Microsoft (MSFT ) ส่วนบุคคล หรือการลงทะเบียนโดยตรงซึ่งหลีกเลี่ยงระบบอัตลักษณ์ขององค์กรทั้งหมด เมื่อพนักงานเข้าสู่ระบบ ChatGPT ด้วยอีเมลส่วนบุคคล องค์กรมองไม่เห็นว่าพวกเขาถามคำถามอะไร แบ่งปันข้อมูลอะไร หรือข้อมูลที่ละเอียดอ่อนอาจปรากฏในคำตอบอย่างไร

แม้ว่าพนักงานจะใช้บัญชีองค์กร แต่ข้อมูลประจำตัวเหล่านั้นมักจะไม่มีการรวมเข้าด้วยกัน 83% ของการเข้าสู่ระบบ ERP และ 71% ของการเข้าสู่ระบบ CRM เกิดขึ้นโดยไม่มีการรับรองความถูกต้องแบบ single sign-on ซึ่งหมายความว่าการเข้าสู่ระบบขององค์กรไม่ให้ความปลอดภัยหรือการมองเห็นที่ดีกว่าบัญชีส่วนบุคคล ชื่อผู้ใช้อาจมีโดเมนของบริษัท แต่การรับรองความถูกต้องแบบ bypass ช่วยให้การไหลของข้อมูลที่ไม่มองเห็นได้เหมือนกับบัญชีส่วนบุคคล

คัดลอกและวาง: การรั่วไหลของข้อมูลที่ไม่มองเห็นได้

กลยุทธ์ป้องกันการสูญเสียข้อมูลแบบดั้งเดิมถูกสร้างขึ้นโดยมุ่งเน้นไปที่ระบบไฟล์ โดยตรวจสอบการอัปโหลด การดาวน์โหลด และการแนบไฟล์ แต่ข้อมูลแสดงให้เห็นว่าแหล่งที่แท้จริงของการรั่วไหลของข้อมูลไม่ใช่ไฟล์ แต่เป็นการคัดลอกและวาง 77% ของพนักงานวางข้อมูลลงในเครื่องมือ AI ที่สร้างขึ้น และ 82% ของกิจกรรมนี้มาจากบัญชีส่วนบุคคลที่ไม่ได้รับการจัดการ ในเฉลี่ย พนักงานแต่ละคนวางข้อมูล 15 ครั้งต่อวันโดยใช้บัญชีส่วนบุคคล และ至少 4 ครั้งจากจำนวนนั้นจะมีข้อมูลส่วนบุคคลหรือข้อมูลการชำระเงิน

สิ่งนี้หมายความว่าข้อมูลที่ละเอียดอ่อนไม่ได้เคลื่อนย้ายผ่านการอัปโหลดไฟล์เพียงอย่างเดียว แต่ยังถูกฉีดเข้าไปในกล่องข้อความ ช่องแชท และฟิลด์ข้อความโดยตรง การถ่ายโอนเหล่านี้เกิดขึ้นนอกการมองเห็นของระบบป้องกันการสูญเสียข้อมูลแบบดั้งเดิม และเกิดขึ้นบ่อยครั้ง ทั่วหลายแพลตฟอร์ม และนอกการกำกับดูแลขององค์กร

ผลลัพธ์คือการไหลของข้อมูลที่ละเอียดอ่อนออกจากองค์กรอย่างต่อเนื่องผ่านช่องทางที่ยากต่อการตรวจจับ การคัดลอกและวางได้กลายเป็นช่องทางหลักในการรั่วไหลของข้อมูล และเครื่องมือ AI คือจุดหมายปลายทางอันดับ 1

ไฟล์ที่ละเอียดอ่อนในจุดหมายปลายทางที่ไม่ได้รับอนุญาต

การอัปโหลดไฟล์ยังคงเป็นส่วนสำคัญของกระบวนการทำงานขององค์กร แต่จุดหมายปลายทางได้เปลี่ยนไป พนักงานไม่ได้จำกัดการอัปโหลดไว้เพียงการเก็บไฟล์ที่ได้รับอนุญาตหรืออีเมลเท่านั้น แต่ยังอัปโหลดไฟล์ไปยังเครื่องมือ AI ที่สร้างขึ้น แอปพลิเคชันผู้บริโภค และแพลตฟอร์ม SaaS ที่ไม่ได้รับอนุญาต

ข้อมูลแสดงให้เห็นว่า 40% ของไฟล์ที่อัปโหลดไปยังเครื่องมือ AI ที่สร้างขึ้นมีข้อมูลส่วนบุคคลหรือข้อมูลการชำระเงิน 41% ของไฟล์ที่อัปโหลดไปยังแพลตฟอร์มเก็บไฟล์มีข้อมูลเดียวกัน เกือบ 4 ใน 10 ของการอัปโหลดเหล่านี้เกิดขึ้นผ่านบัญชีส่วนบุคคล

สิ่งนี้หมายความว่าข้อมูลที่ละเอียดอ่อนกำลังไหลเข้าไปในสภาพแวดล้อมที่องค์กรไม่มีการมองเห็นหรือการควบคุม เมื่อไฟล์ถูกอัปโหลดไปยัง Google Drive ส่วนบุคคล ช่องแชท WhatsApp หรือกล่องข้อความ AI ไฟล์นั้นจะอยู่นอกพื้นที่ขององค์กรและไม่สามารถติดตาม ตรวจสอบ หรือลบได้

จุดหมายปลายทางมีความหลากหลาย เครื่องมือองค์กร เช่น Egnyte และ Zendesk ปรากฏขึ้นพร้อมกับแพลตฟอร์มผู้บริโภค เช่น Canva, LinkedIn และ WhatsApp การผสมผสานระหว่างระบบนิเวศขององค์กรและผู้บริโภคทำให้ขอบเขตของที่อยู่ของข้อมูลองค์กรมีความคลุมเครือ และยังทำให้เห็นถึงข้อจำกัดของระบบป้องกันการสูญเสียข้อมูลแบบดั้งเดิม ซึ่งถูกออกแบบมาเพื่อช่องทางที่ได้รับอนุญาตและควบคุมจากส่วนกลาง

สิ่งนี้หมายความว่าอะไรสำหรับความปลอดภัยขององค์กร

ขอบเขตความปลอดภัยแบบดั้งเดิมได้พังทลายไปแล้ว มันเคยเป็นไปได้ที่จะควบคุมข้อมูลโดยการจัดการเครือข่าย การรักษาความปลอดภัยของจุดสิ้นสุด และการตรวจสอบแอปพลิเคชันที่ได้รับอนุญาต โมเดลนี้สมมติว่างานเกิดขึ้นภายในระบบขององค์กรและใช้แพลตฟอร์มภายนอกผ่านช่องทางที่ควบคุมได้

ความเป็นจริงคืองานเกิดขึ้นในเบราว์เซอร์ ทั่วหลายแอปพลิเคชัน ผ่านบัญชีองค์กรและส่วนบุคคล โดยใช้วิธีการที่ไม่สร้างหลักฐานการตรวจสอบ พนักงานที่กำลังวิจัยปัญหาเกี่ยวกับลูกค้าอาจค้นหาข้อมูลภายใน ระบบ พิมพ์ผลลัพธ์ลงใน ChatGPT เพื่อสรุป คัดลอกสรุปนั้นไปยัง Slack เพื่อแบ่งปันกับเพื่อนร่วมงาน และส่งต่อไปยังอีเมลส่วนบุคคลเพื่อตรวจสอบในภายหลัง ทุกขั้นตอนเกี่ยวข้องกับการเคลื่อนย้ายข้อมูลที่ละเอียดอ่อนผ่านช่องทางที่เครื่องมือแบบดั้งเดิมไม่สามารถมองเห็นได้

เบราว์เซอร์ได้กลายเป็นสถานที่ทำงานหลัก แต่การควบคุมความปลอดภัยยังไม่ได้ตามมา พนักงานใช้เวลาทั้งวันในการย้ายระหว่างแอปพลิเคชัน และข้อมูลแสดงให้เห็นว่าพวกเขาไม่ได้ทำความแตกต่างระหว่างเครื่องมือองค์กรและเครื่องมือส่วนบุคคล พวกเขาใช้เครื่องมือที่ทำงานได้ดีที่สุด เครื่องมือที่สะดวกที่สุด และเครื่องมือที่ไม่ต้องรอการอนุมัติจากฝ่ายไอที สิ่งนี้สร้างสภาพแวดล้อมที่ข้อมูลที่ละเอียดอ่อนไหลออกไปอย่างต่อเนื่องผ่านช่องทางที่ไม่มองเห็นได้

การปรับปรุงความปลอดภัยขององค์กรสำหรับยุค AI

คำตอบไม่ใช่การปิดกั้นเครื่องมือ AI หรือห้ามใช้บัญชีส่วนบุคคลโดยตรง วิธีการเหล่านี้ล้มเหลวเพราะพวกเขาไปขัดกับวิธีการทำงานของพนักงาน เครื่องมือเหล่านี้มีอยู่เพราะพวกมันช่วยให้พนักงานมีประสิทธิภาพมากขึ้น บัญชีส่วนบุคคลแพร่หลายเพราะการเตรียมการขององค์กรช้าและจำกัด การรักษาความปลอดภัยที่เพิกเฉยต่อความเป็นจริงเหล่านี้จะถูกข้ามไป

การป้องกันที่มีประสิทธิภาพต้องการการมองเห็นในระดับเบราว์เซอร์ ซึ่งเป็นที่ที่งานเกิดขึ้นจริง สิ่งนี้หมายความว่าการตรวจสอบไม่เพียงแต่การอัปโหลดไฟล์ แต่ยังรวมถึงการวางข้อมูล การส่งแบบฟอร์ม การโต้ตอบกับกล่องข้อความ และวิธีการอื่นๆ ที่ข้อมูลเคลื่อนย้ายระหว่างระบบ สิ่งนี้หมายความว่าการบังคับใช้นโยบายที่แยกความแตกต่างระหว่างบัญชีองค์กรและบัญชีส่วนบุคคล ไม่ว่าพนักงานจะใช้แอปพลิเคชันใด

องค์กรต้องขยายการป้องกันการสูญเสียข้อมูลไปไกลกว่าไฟล์ เพื่อรวมถึงการถ่ายโอนโดยไม่มีไฟล์ การส่งกล่องข้อความให้ ChatGPT ควรได้รับการตรวจสอบในระดับเดียวกับการแนบไฟล์ อีเมล การวางข้อมูลลงใน Slack ควรทำให้เกิดการตรวจสอบในระดับเดียวกับการอัปโหลดไปยัง Google Drive วิธีการถ่ายโอนไม่ควร决定ว่าการรักษาความปลอดภัยจะถูกนำไปใช้หรือไม่

การควบคุมอัตลักษณ์ต้องถูกบังคับใช้จริงๆ ไม่เพียงพอที่จะเสนอ single sign-on หากพนักงานยังสามารถเข้าถึงแอปพลิเคชันทางธุรกิจผ่านบัญชีส่วนบุคคล การรับรองความถูกต้องแบบ federated ต้องเป็นข้อบังคับสำหรับแอปพลิเคชันที่จัดการข้อมูลที่ละเอียดอ่อน ไม่ใช่ทางเลือก การเข้าสู่ระบบขององค์กรที่ไม่มีการรวมเข้าด้วยกันควรได้รับการปฏิบัติเหมือนกับความเสี่ยงด้านความปลอดภัยที่พวกมันคือ

สรุป

AI ได้กลายเป็นประเภทที่เติบโตเร็วที่สุดในซอฟต์แวร์องค์กร และยังเป็นช่องทางหลักในการรั่วไหลของข้อมูล 77% ของพนักงานวางข้อมูลลงในเครื่องมือ AI 40% ของการอัปโหลดมีข้อมูลที่ละเอียดอ่อน กิจกรรมส่วนใหญ่เกิดขึ้นผ่านบัญชีส่วนบุคคลที่ไม่ได้รับการจัดการ ขอบเขตความปลอดภัยแบบดั้งเดิมไม่มีอยู่แล้ว ส่วนใหญ่ของงานเกิดขึ้นในเบราว์เซอร์ และแม้การกระทำง่ายๆ เช่น การวางข้อมูลสามารถนำไปสู่การละเมิดได้ องค์กรที่ไมอัปเดตกลยุทธ์ความปลอดภัยสำหรับความเป็นจริงใหม่นี้กำลังสูญเสียการควบคุมข้อมูลที่มีค่าที่สุดของตน