การส่องสว่างจุดบอดของความเสี่ยงทางธุรกิจ: วิธีการที่ Shadow AI กำลังเปลี่ยนแปลงภูมิทัศน์ภัยคุกคามบนมือถือ

ปัญญาประดิษฐ์กำลังปฏิวัติวิธีการทำงานของเรา ตั้งแต่สรุปเอกสารและร่างสัญญาไปจนถึงการสร้างโค้ดและทำให้กระบวนการทำงานอัตโนมัติ เครื่องมือ AI ได้กลายเป็นส่วนสำคัญของการดำเนินธุรกิจประจำวัน อย่างไรก็ตาม ร่วมกับการใช้ AI ที่ได้รับการอนุมัติภายในองค์กร มีการเติบโตของแนวโน้มที่เรียกว่า Shadow AI ซึ่งเป็นการใช้แอปพลิเคชัน AI โดยไม่ได้รับการอนุมัติอย่างเป็นทางการจากทีม IT หรือความปลอดภัย

Shadow AI ไม่ใช่แค่การละเมิดนโยบาย IT แต่เป็นช่องว่างในการกำกับดูแลโครงสร้างที่จุดตัดกันของอัตลักษณ์ การคุ้มครองข้อมูล การปฏิบัติตามกฎระเบียบ และระบบอัตโนมัติที่เกิดขึ้นใหม่ เมื่อความสามารถของ AI ขยายตัว โดยเฉพาะใน môi trườngมือถือ องค์กรต่างๆ ต้องเผชิญกับพื้นผิวการโจมตีที่เพิ่มขึ้นอย่างรวดเร็ว ซึ่งการควบคุมความปลอดภัยแบบดั้งเดิมไม่ได้รับการออกแบบมาเพื่อจัดการกับภัยคุกคามเหล่านี้

มือถือ: ตัวคูณกำลังของความเสี่ยง Shadow AI

เมื่อการนำมือถือมาใช้เพิ่มขึ้น ความเสี่ยงของ Shadow AI ก็เพิ่มขึ้นด้วย สมาร์ทโฟนและแท็บเล็ตได้กลายเป็นศูนย์กลางการทำงานขององค์กร โดยรวมอัตลักษณ์ การส่งข้อความ และการเข้าถึงคลาวด์เข้าด้วยกันในจุดสิ้นสุดเดียวที่เปิดตลอดเวลา ในขณะเดียวกัน แอปพลิเคชันที่ใช้ AI กำลัง หลั่งไหลเข้าสู่ร้านแอป ทำให้พนักงานสามารถใช้ความสามารถอัตโนมัติได้ทันที โดยมักจะอยู่นอกการดูแลของทีม IT จริงๆ แล้ว Lookout ได้ระบุแอปพลิเคชันมือถือมากกว่า 25,000 รายการที่มีความสามารถ AI ที่มีอยู่แล้วใน Apple App Store และ Google Play Store ซึ่งเน้นย้ำถึงความเร็วที่ความเสี่ยงนี้กำลังพัฒนาในระดับมือถือ

เมื่อมือถือและ AI ที่ไม่ได้รับอนุญาตมาบรรจบกัน ความเสี่ยงขององค์กรก็เพิ่มขึ้น โดยยืนยันความจริงพื้นฐาน: ความเสี่ยงบนมือถือคือความเสี่ยงทางธุรกิจ

Agentic AI: ตัวแสดงอัตโนมัติภายในองค์กร

Agentic AI แนะนำ การเปลี่ยนแปลงครั้งใหม่ในด้านความเสี่ยงขององค์กร ไม่เหมือนกับเครื่องมือสร้างเนื้อหาที่ไม่ออกแบบซึ่งแค่สร้างเนื้อหาเพื่อตอบสนองคำสั่ง ระบบอัตโนมัติได้รับการออกแบบมาเพื่อวางแผน ตัดสินใจ และดำเนินการโดยอิสระ พวกเขาสามารถเริ่มการสื่อสารโดยอัตโนมัติ จัดการธุรกรรมทางการเงิน แก้ไขบันทึก ติดต่อแอปพลิเคชันขององค์กร และเชื่อมโยงกระบวนการทำงานหลายขั้นตอนโดยไม่มีการดูแลของมนุษย์ ในทางปฏิบัติ พวกเขาทำงานเหมือนตัวแสดงอัตโนมัติภายในองค์กร

เมื่อความสามารถเหล่านี้ทำงานนอกกรอบการกำกับดูแลที่กำหนดไว้ พวกมันจะเพิ่มความเสี่ยงด้วยความเร็วของเครื่องจักร การตัดสินใจที่ต้องใช้การวิจารณ์ของมนุษย์สามารถดำเนินการได้ทันที ซ้ำๆ และในระดับใหญ่ การอนุญาตเข้าถึงข้อมูล การผสานรวม API และการมอบหมายอำนาจเปลี่ยนระบบเหล่านี้จากเครื่องมือที่ให้คำแนะนำเป็นตัวแทนการดำเนินการงานที่สามารถย้ายข้อมูล แก้ไขระบบ และเริ่มกระบวนการทางธุรกิจ

ตัวอย่างเช่น ผู้ช่วย AI บนมือถือที่มีการเข้าถึงอีเมลองค์กรและคลาวด์สามารถสรุปเอกสารสำคัญของ董事ได้โดยอัตโนมัติและถ่ายทอดไปยังบริการ AI ภายนอกเพื่อ “วิเคราะห์” แม้ว่าจะทำด้วยความตั้งใจที่ดี ก็ตาม ผลกระทบด้านการกำกับดูแลมีผลกระทบอย่างลึกซึ้ง: ข้อมูลที่เป็นความลับอาจออกจากสภาพแวดล้อมที่ควบคุมได้ ความต้องการด้านกฎระเบียบอาจถูกเรียกใช้ บันทึกการตรวจสอบอาจไม่สมบูรณ์ และข้อกำหนดด้านการอยู่อาศัยของข้อมูลอาจถูกละเมิด ความเสี่ยงไม่ใช่แค่การรั่วไหลของข้อมูล แต่เป็นการมอบอำนาจการดำเนินการให้กับระบบที่อาจไม่เห็นได้ ไม่ได้รับอนุญาต หรือไม่ได้รับการกำกับดูแล

การกำกับดูแลและความเกิดขึ้นของ ISO 42001

เมื่อความเสี่ยงของ AI เพิ่มขึ้น กรอบการกำกับดูแลระดับโลกกำลังเกิดขึ้นเพื่อสร้างโครงสร้างและความรับผิดชอบ หนึ่งในสิ่งที่สำคัญที่สุดคือ ISO/IEC 42001 ซึ่งเป็นมาตรฐานสากลสำหรับการจัดการระบบ AI ISO 42001 ต้องการให้องค์กรนำกระบวนการกำกับดูแลตามความเสี่ยงมาใช้เพื่อดูแล ติดตาม และจัดการระบบ AI อย่างต่อเนื่อง

มาตรฐานนี้ใช้ไม่เพียงแต่สำหรับการใช้งาน AI แบบดั้งเดิมเท่านั้น แต่ยังใช้สำหรับระบบ AI อัตโนมัติที่สามารถดำเนินการโดยอิสระด้วย องค์กรต้องแสดงให้เห็นถึงความสามารถในการมองเห็น การควบคุม และการติดตาม AI ที่ใช้ภายในสภาพแวดล้อมของตน Shadow AI ทำให้การกำกับดูแลนี้เสื่อมถอย เมื่อพนักงานใช้เครื่องมือ AI นอกช่องทางที่ได้รับอนุญาต องค์กรจะสูญเสียความสามารถในการยืนยันการกำกับดูแล AI อย่างครอบคลุม

ในภาคส่วนที่มีการควบคุม รวมถึงสาธารณสุข บริการทางการเงิน รัฐบาล และโครงสร้างพื้นฐานที่สำคัญ ช่องว่างการกำกับดูแลนี้มีผลกระทบอย่างมาก การใช้ AI ที่ไม่ได้รับการจัดการสามารถสร้างความเสี่ยงด้านการปฏิบัติตามกฎระเบียบที่สำคัญภายใต้การคุ้มครองความเป็นส่วนตัว การคุ้มครองข้อมูล และภาระผูกพันตามสัญญา

การควบคุมความปลอดภัยแบบดั้งเดิมไม่เพียงพอสำหรับมือถือ

หลายองค์กรคิดว่าการควบคุมความปลอดภัยที่มีอยู่ เช่น ประตูทางอีเมล แพลตฟอร์มการป้องกันจุดสิ้นสุด และ CASB เป็นเพียงพอในการจัดการความเสี่ยงของ AI ในทางปฏิบัติแล้ว ไม่ใช่ ไม่ใช่ Shadow AI โดยเฉพาะใน môi trườngมือถือที่กิจกรรมเกิดขึ้นทั้งหมดบนสมาร์ทโฟนและแท็บเล็ต สามารถหลบเลี่ยงการควบคุมแบบเดสก์ท็อปและหลบเลี่ยงการตรวจสอบเครือข่ายแบบดั้งเดิมได้ โดยไม่มีการมองเห็นเฉพาะเจาะจงเกี่ยวกับแอปพลิเคชันมือถือ ทีมความปลอดภัยจะขาดความเข้าใจที่จำเป็นในการตรวจจับการขโมยข้อมูลที่ขับเคลื่อนด้วย AI การใช้งาน AI ที่ไม่ได้รับอนุญาต หรือกิจกรรมของระบบอัตโนมัติที่เกิดขึ้นนอกการควบคุม

ความจำเป็นด้านการปฏิบัติตามกฎระเบียบ: การระบุแอปพลิเคชัน AI บนมือถือ

เพื่อเป็นไปตาม ISO 42001 และความคาดหวังด้านกฎระเบียบที่เกิดขึ้นใหม่ องค์กรต้องการความสามารถด้านความปลอดภัยที่สามารถระบุแอปพลิเคชันมือถือที่ใช้ AI ตรวจจับการใช้งาน AI ที่ไม่ได้รับอนุญาตหรือมีความเสี่ยงสูง ติดตามการไหลของข้อมูลระหว่างแอป AI และระบบขององค์กร ประเมินรูปแบบพฤติกรรมอัตโนมัติ และบังคับใช้นโยบายควบคุมโดยตรงบนจุดสิ้นสุดมือถือ ผลิตภัณฑ์ด้านความปลอดภัยที่สามารถจำแนกและวิเคราะห์แอปพลิเคชันมือถือที่ใช้ AI โดยเฉพาะอย่างยิ่ง那些ที่มีความสามารถอัตโนมัติ กำลังกลายเป็นเครื่องมือการปฏิบัติตามกฎระเบียบที่จำเป็นมากกว่าการปรับปรุงแบบไม่จำเป็น

โดยไม่มีการมองเห็นเกี่ยวกับแอปมือถือที่รวมเครื่องยนต์ AI องค์กรไม่สามารถดำเนินการประเมินความเสี่ยงของ AI ที่มีความหมาย การจัดทำเอกสารการกำกับดูแล หรือบังคับใช้การควบคุมการกำกับดูแลได้ เมื่อ AI ถูกฝังอยู่ในแอปพลิเคชันความผลิต แพลตฟอร์มการส่งข้อความ และเครื่องมือการทำงาน การตรวจจับจะต้องพัฒนาไปไกลกว่าการระบุไวรัสแบบดั้งเดิมเพื่อรวมการวิเคราะห์พฤติกรรม การทำแผนที่สิทธิ์ และการตรวจสอบการเข้าถึงข้อมูลและการเคลื่อนไหวอย่างต่อเนื่อง

การเรียกใช้การดำเนินการ

Shadow AI ไม่ใช่ความกังวลในอนาคต แต่ถูกฝังอยู่ในอุปกรณ์มือถือที่ขับเคลื่อนการทำงานขององค์กรแล้ว เมื่อการนำมือถือมาใช้เพิ่มขึ้น ช่องว่างการกำกับดูแลจะขยายออกไปก่อน — และเร็วที่สุด — บนมือถือ ผู้นำด้านความปลอดภัยต้องทราบว่าแอปพลิเคชัน AI ใดที่มีอยู่บนอุปกรณ์องค์กรและ BYOD ตรวจจับการทำงานอัตโนมัติภายในแอปมือถือ และติดตามการไหลของข้อมูลที่ขับเคลื่อนด้วย AI ที่ออกจากจุดสิ้นสุด

เมื่อ AI เปลี่ยนแปลงการดำเนินธุรกิจ การกำกับดูแล AI ในที่สุดหมายถึงการรักษาความปลอดภัยของอุปกรณ์มือถือที่พนักงานพกพาไปทุกวัน