องค์กรส่วนใหญ่ใช้ AI ที่ไม่มีความปลอดภัย สิ่งที่ธุรกิจสามารถทำได้

องค์กรต่างๆ กำลังแข่งขันกันเพื่อใช้ AI ที่สร้างขึ้น (AI ที่สร้างขึ้น) เพื่อรักษาความสามารถในการแข่งขันในตลาดของตน อย่างไรก็ตาม ทีมงานด้านความปลอดภัยต้องเผชิญกับความท้าทายที่สำคัญเนื่องจากพวกเขาใช้โครงสร้างที่ล้าสมัยที่ออกแบบมาในยุคเทคโนโลยีก่อนหน้า เครื่องมือที่ป้องกันการเสียหายของข้อมูล (DLP) ที่ใช้มาหลายทศวรรษเพื่อปกป้ององค์กรเหล่านั้นไม่สามารถปิดช่องโหว่ด้านความปลอดภัยที่เกิดขึ้นเมื่อพนักงานโต้ตอบกับแพลตฟอร์ม AI ที่ใช้เว็บเพจเพื่อทำงาน

ความเสี่ยงของ Shadow AI ที่เพิ่มขึ้นในองค์กร

Shadow AI เกิดขึ้นเมื่อพนักงานข้ามช่องทาง IT อย่างเป็นทางการและใช้เครื่องมือ AI ระดับผู้บริโภคที่ไม่ได้รับอนุญาตสำหรับงาน ซึ่งแพลตฟอร์มเหล่านี้ให้ความเร็วและความสะดวกสบายที่กระบวนการอนุมัติภายในไม่สามารถเทียบได้ ทำให้พวกมันน่าสนใจสำหรับพนักงานที่เน้นการผลิต

การวิจัยล่าสุดเผยว่า 73.8% ของการมีส่วนร่วมของพนักงาน กับ ChatGPT เกิดขึ้นบนบัญชีที่ไม่ใช่ขององค์กร ซึ่งหมายความว่าข้อมูลที่ละเอียดอ่อนจะไหลเข้าไปในโมเดลสาธารณะโดยตรง ในทำนองเดียวกัน การใช้ Gemini และ Bard บนบัญชีส่วนบุคคลถึง 94.4% และ 95.9% ตามลำดับ

การโอนงานไปยังแพลตฟอร์มภายนอกที่ไม่ได้รับการตรวจสอบมีผลกระทบอย่างมาก การวิเคราะห์แสดงให้เห็นว่า 55% ของความล้มเหลวของ AI มาจากโซลูชันภายนอกเหล่านี้ ซึ่งสร้างความเสี่ยงที่ครอบคลุมความเสียหายต่อชื่อเสียงและความสูญเสียทางการเงิน การไม่เชื่อถือของผู้บริโภค ค่าปรับด้านการปฏิบัติตามกฎระเบียบ และการดำเนินคดีตามมาเป็นประจำ สำหรับบริษัทที่ใช้เครื่องมือ AI ภายนอกโดยไม่ได้ทำการวิเคราะห์ความเสี่ยงก่อนการนำไปใช้ สิ่งนี้น่ากังวล

หากไม่มีแนวทางที่บังคับใช้ได้ พนักงานแบ่งปันข้อมูลที่ละเอียดอ่อนของบริษัท โดยไม่จำเป็น ซึ่งสร้างภาระผูกพันทางด้านความเป็นส่วนตัวที่มีขนาดใหญ่ ในขณะที่แพลตฟอร์มภายนอกหลายแห่งไม่มีมาตรการรักษาความปลอดภัยที่เข้มงวดที่จำเป็นในการปกป้องบันทึกธุรกิจที่มีความลับ นโยบายและแนวปฏิบัติในการจัดเก็บข้อมูลทั่วทั้งโซลูชันเหล่านี้อาจทำให้ข้อมูลลูกค้าและบันทึกทางการเงินตกอยู่ในความเสี่ยงต่อการละเมิดที่อาจเกิดขึ้น

ทำไมการป้องกันการเสียหายของข้อมูลแบบดั้งเดิมจึงล้มเหลว

เครื่องมือ DLP แบบดั้งเดิมถูกออกแบบมาเพื่อป้องกันไม่ให้ไฟล์ถูกดาวน์โหลดหรือส่งผ่านการแนบไฟล์ทางอีเมล ซึ่งโซลูชันเหล่านี้มีประสิทธิภาพสูงในจุดประสงค์ดั้งเดิม แต่ต้องเผชิญกับการจำกัดขอบเขตที่สำคัญในยุคของ AI ที่ใช้เว็บเพจ ตัวอย่างเช่น ไม่สามารถติดตามหรือปิดกั้นข้อความที่พนักงานพิมพ์หรือวางเข้าไปในหน้าต่างพรอมต์ AI ได้ง่ายๆ ซึ่งสร้างจุดบอดในความครอบคลุมด้านความปลอดภัยที่เพิ่มขึ้นเรื่อยๆ ทุกๆ ไตรมาส

ช่องว่างนี้จะชัดเจนเมื่อตรวจสอบสิ่งที่เครื่องมือเหล่านี้สามารถและไม่สามารถป้องกันได้:

• DLP จับได้: การดาวน์โหลดไฟล์ การแนบไฟล์ การถ่ายโอน USB การอัปโหลดเอกสาร
• DLP พลาด: การคัดลอก-วางเข้าไปในหน้าต่างเว็บ การพิมพ์เข้าไปในพรอมต์ AI โดยตรง การแปลงสกรีนช็อตเป็นข้อความ และการป้อนข้อความโดยตรงเข้าไปในแอปพลิเคชันเว็บ

เมื่อการนำ AI ไปใช้เพิ่มขึ้นในองค์กร ช่องว่างนี้จะกว้างขึ้นและสร้างช่องทางสำหรับการส่งออกข้อมูลที่โครงสร้างความปลอดภัยแบบดั้งเดิมไม่ได้ออกแบบมาเพื่อจัดการ ทีมงานด้านความปลอดภัยพบว่าตัวเองอยู่ในตำแหน่งที่ต้องรับมือกับเหตุการณ์หลังจากที่ข้อมูลที่ละเอียดอ่อนได้ออกจากการควบคุมขององค์กรแล้ว

แนวทางที่ดีที่สุดสำหรับ AI องค์กรที่ปลอดภัยคืออะไร

การยึดติดกับโซลูชัน DLP แบบดั้งเดิมในขณะที่เพิกเฉยต่อความเป็นจริงของการนำ AI ไปใช้นั้นไม่ใช่กลยุทธ์ทางธุรกิจระยะยาวที่มีประสิทธิภาพ องค์กรต่างๆ ต้องอัปเกรดไปยังการตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI ที่ปรับตัวให้เข้ากับการโจมตีใหม่ๆ และบังคับใช้ขอบเขตที่เข้มงวดเกี่ยวกับการใช้ AI เพื่อปกป้องข้อมูลที่ละเอียดอ่อน การจัดตั้งการกำกับดูแลข้อมูลที่เป็นมาตรฐานเพื่อป้องกันการเปิดเผยข้อมูลโดยไม่ตั้งใจให้สมบูรณ์แบบนี้

เปลี่ยนไปใช้บริบท AI ที่มีหลายชั้น

เครื่องมือตรวจจับภัยคุกคามแบบดั้งเดิมอาศัยกฎที่ตอบสนองซึ่งกำลังมองหาสัญญาณการโจมตีที่ทราบก่อนหน้านี้ ซึ่งแนวทางนี้จะสร้างผลบวกลวงหรือพลาดการโจมตีใหม่ที่ไม่ตรงกับแบบอย่างใดๆ ในฐานข้อมูลของมัน

ตัวอย่างเช่น โรงพยาบาล Artesia General รับรู้ถึงข้อจำกัดเหล่านี้ในการปกป้องการดำเนินงานด้านการดูแลผู้ป่วยและระบบนิเวศดิจิทัลของตน ซึ่งนำไปสู่การนำเทคโนโลยี Darktrace ไปใช้ โดยไม่มีรายการสัญญาณการโจมตีที่กำหนดไว้ล่วงหน้า แพลตฟอร์มนี้เรียนรู้อุปกรณ์ ผู้ใช้ และการโต้ตอบทั้งหมดภายในเครือข่ายของโรงพยาบาลเพื่อสร้างความเข้าใจเกี่ยวกับสิ่งที่พฤติกรรมปกติดูเหมือนจากพื้นฐาน

ส่วน Cyber AI Analyst ตรวจสอบการแจ้งเตือนโดยใช้วิธีการที่คล้ายกับวิธีการของนักวิเคราะห์มนุษย์ ในขณะที่เชื่อมโยงความผิดปกติที่เล็กๆ ที่อาจบ่งบอกถึงภัยคุกคามที่แท้จริงต่อบันทึกผู้ป่วยและการดำเนินงานของโรงพยาบาล ระบบ ตรวจสอบการคุกคามเครือข่ายของ Artesia เพื่อกำหนดว่าการแจ้งเตือนใดแท้จริงแล้วเป็นเหตุการณ์ด้านความปลอดภัย

แนวทาง AI ที่มีหลายชั้นนี้ลดผลบวกลวงที่ทำให้ทีมงานด้านความปลอดภัยหนักใจ เมื่อเปลี่ยนจาก 100 การแจ้งเตือนอันตรายทุกวันไปเป็นเพียง 2-3 เหตุการณ์ที่ต้องมีการดูแลจากมนุษย์จริงๆ ความสนใจของพวกเขาแคบลง นักวิเคราะห์ได้รับข้อมูลที่จำเป็นโดยไม่ต้องใช้เวลาหลายชั่วโมงในการสืบสวน

บังคับใช้นโยบายการใช้ AI ภายในที่เข้มงวด

การสร้างขอบเขตที่เข้มงวดและใช้เครื่องมือทางเทคนิคที่ควบคุมข้อมูลที่สามารถเข้าสู่โมเดล AI สาธารณะได้ จะจัดการกับช่องโหว่ที่โซลูชัน DLP แบบดั้งเดิมไม่สามารถปิดได้ด้วยตนเอง

ซัมซุงให้ตัวอย่างที่ควรระวังเกี่ยวกับสิ่งที่เกิดขึ้นเมื่อพนักงานเข้าถึงเครื่องมือ AI โดยไม่มีการป้องกันทางเทคนิคที่เหมาะสม ภายใน 20 วันหลังจากที่อนุญาตให้ใช้ ChatGPT ในเดือนเมษายน 2023 บริษัทประสบเหตุการณ洩ข้อมูล 3 ครั้งที่ทำให้ข้อมูลที่มีความลับมากที่สุดถูกเปิดเผยข้ามหลายฝ่าย

วิศวกรวางโค้ดแหล่งที่มาของฐานข้อมูลเซมิคอนดักเตอร์แบบพร็อพไพร์เอทریลงใน ChatGPT เพื่อตรวจสอบข้อผิดพลาดในการเขียนโค้ด โดยเปิดเผยรายละเอียดสำคัญเกี่ยวกับกระบวนการผลิตของซัมซุง ในอีกเหตุการณ์หนึ่ง พนักงานอัปโหลดโค้ดพิเศษที่ออกแบบมาเพื่อระบุอุปกรณ์ที่มีข้อบกพร่อง ในขณะที่กำลังมองหาข้อเสนอแนะในการเพิ่มประสิทธิภาพ พนักงานยังแปลงการประชุมภายในที่บันทึกไว้เป็นข้อความก่อนที่จะให้ข้อความเหล่านั้นแก่ ChatGPT เพื่อสร้างการสรุปการประชุมอัตโนมัติ

เมื่อข้อมูลเข้าสู่ฐานข้อมูลการฝึกอบรมของโมเดล AI สาธารณะแล้ว จะไม่มีปุ่มลบหรือลบข้อมูลออกจากฐานข้อมูลความรู้ ซัมซุงสุดท้ายต้องห้ามใช้ ChatGPT ทั้งหมดเพราะไม่สามารถกู้คืนข้อมูลที่เป็นเจ้าของที่รั่วไหลออกไปได้

จัดตั้งการกำกับดูแลข้อมูลที่เป็นมาตรฐาน

โซลูชัน AI องค์กรมีความปลอดภัยเท่ากับข้อมูลที่สามารถเข้าถึงได้ภายในองค์กร การกำหนดสิทธิ์ที่เป็นมาตรฐานทั่วทั้งระบบจึงเป็นพื้นฐานของการนำ AI ไปใช้อย่างปลอดภัย เมื่อเครือข่ายภายในของบริษัทมีการควบคุมการเข้าถึงที่ไม่สอดคล้องกันและแนวปฏิบัติในการจัดการที่กระจัดกระจาย แม้แต่เครื่องมือ AI ที่ได้รับการอนุมัติก็อาจเปิดเผยไฟล์ HR ที่มีความลับหรือบันทึกทางการเงินให้กับพนักงานที่ไม่ได้รับอนุญาตโดยไม่ตั้งใจ

ตัวอย่างเช่น AXIS Capital เผชิญกับความท้าทายนี้โดยตรงเมื่อจัดการกับแพลตฟอร์มการรับประกันและนโยบายที่แยกจากกันกระจายอยู่ในภูมิภาคต่างๆ แต่ละสายธุรกิจมี มาตรฐานการอ้างอิงในการรายงานของตนเอง และความไม่สอดคล้องกันทำให้เกิดข้อผิดพลาดในการให้คำปรึกษา การจัดทำนโยบาย และการปรับเปลี่ยนการอ้างอิงที่ทำให้การรายงานระดับองค์กรมีความยากมาก

บริษัทประกันภัยได้พัฒนาแผนการระดับองค์กรโดยใช้แบบฟอร์มการดูแลเว็บและกฎการรักษาความปลอดภัยที่เข้มงวดเพื่อสร้างลำดับชั้นการอ้างอิงหลักมาตรฐาน โดยเริ่มจากระบบการจำแนกประเภทอุตสาหกรรมของอเมริกาเหนือและระบบการจำแนกประเภทอุตสาหกรรมมาตรฐาน AXIS ได้ขยายไปยังรหัสการจัดอันดับและรหัสการประกันภัยที่แตกต่างกันไปในแต่ละสถานที่ก่อนหน้านี้

ด้วยการนำการกำกับดูแลข้อมูลที่เป็นมาตรฐานและควบคุมไปใช้ บริษัทได้สร้างแหล่งข้อมูลที่ปลอดภัยและเป็นหนึ่งเดียวที่สามารถเข้าถึงได้ทั่วทั้งการดำเนินงาน ซึ่งลบความไม่สอดคล้องกันที่曾เป็นปัญหาในแพลตฟอร์มของพวกเขา ในขณะเดียวกันก็ช่วยให้ AXIS สามารถเร่งกระบวนการประกันภัยหลักๆ เช่น การแนะนำผลิตภัณฑ์ใหม่ การลดความเสี่ยงในการดำเนินงาน และการบรรลุการวิเคราะห์ที่เชื่อถือได้ระดับองค์กร

การรักษาความปลอดภัยของนวัตกรรมองค์กรในอนาคต

การนำ AI ไปใช้ในธุรกิจเป็นสิ่งที่หลีกเลี่ยงไม่ได้ เนื่องจากองค์กรต่างๆ ต้องแข่งขันกันเพื่อความได้เปรียบทางการตลาด การพึ่งพาโครงสร้างความปลอดภัยแบบดั้งเดิมและการปฏิบัติในการกำกับดูแลที่ไม่มีระเบียบจะเพิ่มการรั่วไหลของข้อมูลและความไม่ปฏิบัติตามกฎระเบียบ คำถามไม่ใช่ว่าบริษัทจะนำ AI ไปใช้หรือไม่ แต่ว่าพวกเขาจะทำเช่นนั้นอย่างปลอดภัยหรือไม่ ด้วยการนำการตรวจจับภัยคุกคาม AI ที่มีหลายชั้นและจัดตั้งการกำกับดูแลข้อมูลที่เข้มงวด องค์กรสามารถยอมรับการนวัตกรรม AI ในขณะเดียวกันก็ปกป้องเนื้อหาที่ละเอียดอ่อนที่สุดของตน