ความมั่นคงปลอดภัยของ Generative AI ได้กลายเป็นประเด็นในห้องประชุมผู้บริหาร

ข้อความคำสั่งที่พิมพ์ลงในเครื่องมือ AI สาธารณะอาจเปิดเผยได้มากกว่าคำถามหนึ่งข้อ มันสามารถเผยให้เห็นข้อมูลลูกค้า โค้ดภายในองค์กร ข้อความทางกฎหมาย หรือแผนกลยุทธ์ได้ภายในไม่กี่วินาที นั่นคือหนึ่งในเหตุผลที่ทำให้ Generative AI Security ก้าวข้ามจากการเป็นเพียงประเด็นด้านไอที ไปสู่การเป็นหัวข้อหารือทางธุรกิจในวงกว้างมากขึ้น เมื่อองค์กรนำ AI มาใช้เพื่อเพิ่มประสิทธิภาพการทำงาน องค์กรก็สร้างช่องทางใหม่สำหรับการสูญหายของข้อมูล ช่องว่างด้านการปฏิบัติตามข้อกำหนด และความล้มเหลวด้านนโยบายไปพร้อมกัน

อะไรเปลี่ยนไปเมื่อ generative AI เข้าสู่ที่ทำงาน?

ปัจจุบันมีการใช้ generative AI ในหลายแผนก และบ่อยครั้งก็รวดเร็วกว่าที่การกำกับดูแลจะตามทัน ทีมการตลาดใช้เพื่อสร้างคอนเทนต์ นักพัฒนาใช้เขียนโค้ด และทีมปฏิบัติการใช้เพื่อการวิจัยและระบบอัตโนมัติ ในหลายกรณี พนักงานกำลังทดลองใช้เครื่องมือระดับผู้บริโภคนอกเหนือจากกระบวนการที่ได้รับอนุมัติ ความรวดเร็วดังกล่าวสร้างคุณค่า แต่ก็ทำให้ทีมรักษาความปลอดภัยมองเห็นได้ยากขึ้นว่ามีการแชร์ข้อมูลอะไรบ้าง ข้อมูลถูกส่งไปที่ใด และอาจถูกจัดเก็บหรือนำกลับมาใช้ซ้ำอย่างไร

จุดเริ่มต้นของความเสี่ยงทางธุรกิจ

ประเด็นหลักไม่ใช่ตัว AI เอง แต่เป็นการใช้ AI อย่างไม่มีการควบคุมในสภาพแวดล้อมที่จัดการข้อมูลอ่อนไหว ตัวอย่างเช่น พนักงานฝ่ายการเงินอาจคัดลอกตัวเลขที่เป็นความลับไปใส่ในแชตบอตเพื่อวิเคราะห์ หรือผู้พัฒนาอาจส่งโค้ดกรรมสิทธิ์เพื่อเร่งการดีบัก เมื่อเกิดเหตุการณ์เช่นนี้ องค์กรอาจเผชิญกับความเสี่ยงด้านการเปิดเผยทรัพย์สินทางปัญญา ข้อกังวลด้านความเป็นส่วนตัว ปัญหาด้านกฎระเบียบ และความเสียหายต่อชื่อเสียง ความเสี่ยงทางธุรกิจจะยิ่งเพิ่มขึ้นเมื่อผู้นำคิดว่ามาตรการควบคุมที่มีอยู่สำหรับอีเมล เอ็นด์พอยต์ หรือการเข้าถึงคลาวด์ ครอบคลุมกรณีการใช้งาน AI ได้อย่างสมบูรณ์แล้ว

สิ่งที่ Generative AI Security ควรครอบคลุมจริง ๆ

การรักษาความปลอดภัยที่มีประสิทธิภาพในด้านนี้กว้างกว่าการบล็อกเว็บไซต์เพียงไม่กี่แห่ง องค์กรจำเป็นต้องมองเห็นว่าได้มีการใช้บริการ AI ใดบ้าง มีนโยบายกำหนดว่าข้อมูลประเภทใดสามารถป้อนเข้าไปได้ และมีมาตรการควบคุมที่ช่วยลดโอกาสการเปิดเผยข้อมูลโดยไม่ตั้งใจ นอกจากนี้ ยังต้องมีความรับผิดชอบที่ชัดเจนระหว่างทีมความปลอดภัย ฝ่ายกฎหมาย ฝ่ายกำกับดูแลการปฏิบัติตามข้อกำหนด และทีมธุรกิจ เมื่อองค์ประกอบเหล่านี้ทำงานร่วมกัน การนำ AI มาใช้จะบริหารจัดการได้ง่ายขึ้น แทนที่จะกลายเป็นสิ่งที่ป้องกันได้ยากขึ้น

• การตรวจพบการใช้งานเครื่องมือ AI ทั้งที่ได้รับอนุมัติและไม่ได้รับอนุมัติ
• นโยบายคุ้มครองข้อมูลสำหรับพรอมต์ การอัปโหลด และผลลัพธ์
• การควบคุมการเข้าถึงตามบทบาทของผู้ใช้และความจำเป็นทางธุรกิจ
• การเฝ้าระวังพฤติกรรมเสี่ยง กิจกรรม shadow AI และการละเมิดนโยบาย
• การกำกับดูแลที่ทำให้การใช้ AI สอดคล้องกับข้อกำหนดด้านกฎระเบียบและข้อกำหนดภายในองค์กร

ข้อผิดพลาดที่พบบ่อยซึ่งเพิ่มความเสี่ยงในการเปิดเผยข้อมูล

หลายองค์กรตอบสนองช้าเกินไปหรือมุ่งเน้นแคบเกินไป บางแห่งกำหนดข้อจำกัดแบบครอบคลุมกว้างโดยไม่จัดหาทางเลือกที่ได้รับอนุมัติ ซึ่งมักผลักดันให้การใช้งานยิ่งหลุดพ้นจากการมองเห็นมากขึ้น ขณะที่บางแห่งเปิดให้มีการใช้งานโดยไม่มีกฎการจัดการข้อมูลที่ชัดเจน โดยคาดว่าพนักงานจะตัดสินใจได้อย่างถูกต้องด้วยตนเอง แนวทางที่แข็งแกร่งกว่าคือการผสานรั้วป้องกันที่ใช้งานได้จริงเข้ากับการให้ความรู้ทางธุรกิจ เพื่อให้ทีมสามารถใช้ AI ได้อย่างมีประสิทธิผลโดยไม่เปิดเผยทรัพย์สินที่มีความอ่อนไหว

กลยุทธ์ด้านความปลอดภัยควรสนับสนุนการนำไปใช้ ไม่ใช่ทำให้ช้าลง

ผู้นำธุรกิจไม่จำเป็นต้องเลือกระหว่างนวัตกรรมกับการควบคุม เป้าหมายคือการสร้างโมเดลความปลอดภัยที่สนับสนุนการใช้ AI อย่างมีความรับผิดชอบ พร้อมทั้งลดความเสี่ยงลง ซึ่งโดยทั่วไปมักรวมถึงนโยบายการใช้งานที่ยอมรับได้ แนวทางสำหรับพนักงาน มาตรการควบคุมทางเทคนิค และการทบทวนอย่างสม่ำเสมอว่าเครื่องมือ AI โต้ตอบกับสถาปัตยกรรมความปลอดภัยที่มีอยู่อย่างไร เมื่อเวลาผ่านไป สิ่งนี้จะช่วยให้องค์กรเปลี่ยนจากการบล็อกแบบตั้งรับ ไปสู่การตัดสินใจอย่างมีข้อมูลรองรับ

คำถามที่พบบ่อย

Generative AI Security เกี่ยวข้องเฉพาะกับองค์กรขนาดใหญ่เท่านั้นหรือไม่?
ไม่ใช่ องค์กรใดก็ตามที่ใช้เครื่องมือ AI เพื่อจัดการข้อมูลภายใน ข้อมูลลูกค้า หรือเนื้อหาที่เป็นกรรมสิทธิ์ ล้วนมีความเสี่ยงต่อการเปิดเผยข้อมูลได้หากขาดมาตรการควบคุม

การบล็อกเครื่องมือ AI สาธารณะแก้ปัญหาได้หรือไม่?
ไม่ทั้งหมด การบล็อกอาจช่วยลดความเสี่ยงบางส่วนได้ แต่ไม่ได้แก้ปัญหาเรื่องเครื่องมือที่ได้รับอนุมัติ ฟีเจอร์ AI ที่ฝังอยู่ในระบบ หรือความต้องการของพนักงานในการเพิ่มประสิทธิภาพการทำงาน

ผู้นำควรประเมินอะไรก่อนเป็นอันดับแรก?
องค์กรส่วนใหญ่ควรเริ่มจากการมองเห็นการใช้งาน การจัดประเภทข้อมูล นโยบายการใช้งานที่ยอมรับได้ และการทบทวนว่าทีมใดกำลังใช้ AI ในงานประจำวันอยู่แล้ว

การเลือกแนวทางที่เหมาะสมต่อจากนี้

สำหรับหลายธุรกิจ การนำ Generative AI มาใช้ไม่ได้อยู่ในขั้นทดลองอีกต่อไป แต่กำลังกลายเป็นส่วนหนึ่งของการดำเนินงานในแต่ละวัน ซึ่งหมายความว่าการตัดสินใจด้านความปลอดภัยต้องก้าวให้ทันการตัดสินใจทางธุรกิจ องค์กรที่กำลังประเมินมาตรการควบคุม โมเดลการกำกับดูแล และเทคโนโลยีสนับสนุน สามารถทำงานร่วมกับ Terrabyte ในฐานะผู้จัดจำหน่ายด้านความมั่นคงปลอดภัยไซเบอร์และที่ปรึกษาด้านเทคโนโลยีที่เชื่อถือได้ เพื่อระบุโซลูชันที่สอดคล้องกับความต้องการด้านการปฏิบัติงาน ลำดับความสำคัญด้านการปฏิบัติตามข้อกำหนด และกลยุทธ์ความมั่นคงปลอดภัย AI ระยะยาว