كيف أصبحت الذكاء الاصطناعي القناة رقم 1 لتهريب البيانات

استثمر قادة الشركات ملايين الدولارات في أدوات الذكاء الاصطناعي لتسريع الإنتاجية والابتكار. ولكن أحدث البيانات تكشف عن خطر خطير لم يكن في الحسبان. منصات الذكاء الاصطناعي التي تساعد الموظفين على العمل بشكل أسرع أصبحت أكبر قناة لتهريب البيانات الحساسة، وترك البيئة الشركة. تشير النتائج الحديثة إلى أن 77% من الموظفين يلصقون البيانات في أدوات الذكاء الاصطناعي، و40% من الملفات المرفوعة إلى هذه المنصات تحتوي على معلومات تعريف شخصية أو بيانات بطاقة الدفع. يحدث هذا الآن، على نطاق واسع، عبر المنظمات التي تعتقد أنها لديها سيطرات أمنية مناسبة. ما يظهر هو انقطاع أساسي بين كيفية تفكير الشركات في استخدام الذكاء الاصطناعي وما يحدث فعلاً عندما يتفاعل الموظفون مع هذه الأدوات يومياً. فهم هذا التحول هو الخطوة الأولى نحو بناء استراتيجيات أمنية تتوافق مع الواقع الجديد.

كيف أصبح الذكاء الاصطناعي قناة تسرب البيانات الجديدة

منذ عامين، لم تكن منصات الذكاء الاصطناعي موجودة في تدفقات العمل الشركة. اليوم، 45% من جميع موظفي الشركة يستخدمون منصات الذكاء الاصطناعي، و11% من جميع أنشطة الشركة تحدث الآن على هذه الأدوات. وصول ChatGPT وحده إلى 43% من اختراق الموظفين، وهو معدل لم تصل إليه منصات الاتصال الأخرى إلا بعد عقود.

ساعدت سرعة هذا التحول على خلق فراغ أمني. أنظمة منع فقدان البيانات التقليدية تم بناؤها لنقل الملفات، ومرفقات البريد الإلكتروني، وحركة المرور الشبكية. لم تكن مصممة لمراقبة ما يكتبه الموظفون في صناديق التحفيز أو يلصقونه في واجهات الدردشة. أصبح هذا النقطة العمياء هي الطريق الرئيسي لتهريب المعلومات الحساسة.

يحتل الذكاء الاصطناعي الآن 32% من جميع تحركات البيانات من الحسابات الشركة إلى الحسابات الشخصية. هذا يجعلها القناة الأكبر لتهريب البيانات، متجاوزةً مشاركة الملفات والبريد الإلكتروني وكل قناة أخرى حاولت فرق الأمن تأمينها. المشكلة ليست فقط في الحجم ولكن أيضًا في طبيعة التسرب. عندما يرفع شخص وثيقة إلى خادم الملفات، هناك سجل. عندما يلصق بيانات العملاء في تحفيز الذكاء الاصطناعي، غالبًا ما يحدث هذا النقل خارج أي نظام تسجيل أو مراقبة.

مشكلة الحسابات الشخصية

المشكلة ليست في استخدام أدوات الذكاء الاصطناعي ولكن في كيفية وصول الموظفين إلى هذه الأدوات. نماذج أمن الشركة تفترض أن الموظفين يستخدمون حسابات الشركة مع مصادقة تسجيل الدخول واحدة ومراقبة. تظهر البيانات أن هذا الافتراض خاطئ، و约 67% من استخدام الذكاء الاصطناعي يحدث من خلال حسابات شخصية غير مُدارة. هذه هي عناوين البريد الإلكتروني الشخصية أو حسابات مايكروسوفت الشخصية أو التسجيل المباشر الذي يتجاوز أنظمة الهوية الشركة بالكامل. عندما يقوم شخص بتسجيل الدخول إلى ChatGPT باستخدام بريد إلكتروني شخصي، لا تملك الشركة أي رؤية لما يسأله أو ما البيانات التي يشاركها أو ما المعلومات الحساسة التي قد تظهر في الاستجابات.

حتى عندما يستخدم الموظفون حسابات الشركة، غالبًا ما تفتقر بيانات الاعتماد إلى الاتحاد. 83% من دخول نظام تخطيط الموارد الإدارية و71% من دخول نظام إدارة علاقات العملاء يحدثان بدون مصادقة تسجيل الدخول واحدة. هذا يعني أن تسجيل الدخول إلى الشركة يقدم أمانًا أو رؤية قريبة من الحساب الشخصي. قد يكون اسم المستخدم يحمل نطاق الشركة، ولكن يسمح تحويل المصادقة بنفس تدفقات البيانات غير المرئية.

نسخ ولصق: التسرب غير المرئي للبيانات

كانت استراتيجيات منع فقدان البيانات التقليدية مبنية على نظام الملفات. تراقب عمليات التحميل والتنزيل والمرفقات. لكن البيانات تظهر أن مصدر تسرب البيانات الحقيقي ليس الملفات. إنه نسخ ولصق. 77% من الموظفين يلصقون البيانات في أدوات الذكاء الاصطناعي. 82% من هذه الأنشطة تأتي من حسابات شخصية غير مُدارة. في المتوسط، يقوم كل موظف بعمليات لصق 15 مرة في اليوم باستخدام حسابه الشخصي، ويتضمن على الأقل أربعة من هذه العمليات بيانات شخصية حساسة أو معلومات بطاقة الدفع.

هذا يعني أن المعلومات الحساسة لم تعد تتحرك فقط من خلال تحميل الملفات. إنها أيضًا يتم حقنها مباشرة في التحفيزات ونوافذ الدردشة والحقول النصية. هذه التحويلات بدون ملفات تكون شبه غير مرئية لحلول منع فقدان البيانات التقليدية. تحدث بتواتر عالٍ، عبر منصات متعددة، وخارج إشراف الشركة.

النتيجة هي تدفق مستمر للبيانات الحساسة التي تغادر المنظمة بطرق يصعب الكشف عنها. أصبح نسخ ولصق قناة تسرب جديدة، وأدوات الذكاء الاصطناعي هي الوجهة رقم واحد.

ملفات حساسة في وجهات غير مصرح بها

لا تزال عمليات تحميل الملفات جزءًا مركزيًا من تدفقات العمل الشركة. لكن الوجهات قد تغيرت. لم يعد الموظفون يقتصرون على تحميل الملفات إلى تخزين الملفات أو البريد الإلكتروني المصرح به. إنهم ينتقلون الملفات إلى أدوات الذكاء الاصطناعي وتطبيقات المستهلك ومنصات السحابة غير المصرح بها.

تظهر البيانات أن 40% من الملفات المرفوعة إلى أدوات الذكاء الاصطناعي تحتوي على بيانات شخصية أو مالية. 41% من الملفات المرفوعة إلى منصات تخزين الملفات تحتوي على نفس النوع من البيانات. تقريباً 4 من كل 10 من هذه التحميلات تحدث من خلال حسابات شخصية.

هذا يعني أن البيانات الحساسة تتدفق إلى بيئات حيث لا تملك الشركات رؤية أو سيطرة. بمجرد تحميل ملف إلى حساب جوجل درايف شخصي أو دردشة واتساب أو تحفيز الذكاء الاصطناعي، يصبح خارج نطاق الشركة. لا يمكن تتبعه أو تقييده أو حذفه.

الوجهات متنوعة. تظهر أدوات الشركة مثل إيجنيت وزينديسك إلى جانب منصات المستهلك مثل كانفا وलिंكدإن وواتساب. هذا الخلط بين البيئات الشركة والمستهلك يُبهم حدود حيث تقع بيانات الشركة. كما يُظهر حدود منع فقدان البيانات التقليدية، التي تم تصميمها للقنوات المصرح بها والتحكم المركزي.

ما يعنيه هذا للسلامة الشركة

انهارت الحدود الأمنية التقليدية. كان من الممكن السيطرة على البيانات من خلال إدارة الشبكات وأمان النقاط النهائية ومراقبة التطبيقات المصرح بها. هذا النموذج يفترض أن العمل يحدث داخل أنظمة الشركة وينتقل بشكل عرضي عبر قنوات خارجية من خلال قنوات خاضعة للرقابة.

الواقع هو أن العمل يحدث الآن في المتصفحات، عبر عشرات التطبيقات، من خلال حسابات الشركة والحسابات الشخصية، باستخدام أساليب لا تترك أي سجل مراجعة. قد يقوم موظف يبحث عن مشكلة العملاء بالبحث في الأنظمة الداخلية، ويلصق النتائج في ChatGPT لتلخيصها، ثم ينسخ التلخيص إلى سلاك لمشاركته مع الزملاء، ويُرسله عبر البريد الإلكتروني الشخصي لمراجعته لاحقًا. كل خطوة تتضمن تحرك البيانات الحساسة عبر قنوات لا تراها الأدوات التقليدية.

أصبحت المتصفح هي مكان العمل الرئيسي، لكن سيطرات الأمان لم تتبعها. يقضي الموظفون أيامهم في التنقل بين التطبيقات، وتظهر البيانات أنهم لا يفرقون كثيرًا بين أدوات الشركة وأدواتهم الشخصية. إنهم يستخدمون ما يعمل، وما هو مناسب، وما لا يتطلب انتظار موافقة الإدارة. هذا يخلق بيئة حيث تتدفق المعلومات الحساسة باستمرار إلى الخارج عبر قنوات غير مرئية.

إعادة التفكير في أمان الشركة للعصر الذكاء الاصطناعي

الsolution ليست حظر أدوات الذكاء الاصطناعي أو منع الحسابات الشخصية تمامًا. هذه النهج فاشلة لأنها تعارض كيفية عمل الموظفين في الواقع. توجد هذه الأدوات لأنها تجعل الناس أكثر إنتاجية. تنتشر الحسابات الشخصية لأن توفير الشركة بطيء ومقيد. الأمان الذي يغفل هذه الحقائق سوف يتم تجاوزه.

الوقاية الفعالة تتطلب رؤية على مستوى المتصفح، حيث يحدث العمل في الواقع. هذا يعني مراقبة عمليات لصق البيانات، وعمليات إرسال النماذج، وتفاعلات التحفيز، وكل طريقة لتحريك البيانات بين الأنظمة. يعني هذا تطبيق سياسات تميز بين حسابات الشركة والحسابات الشخصية، بغض النظر عن التطبيق الذي يستخدمه شخص ما.

تتطلب المنظمات توسيع منع فقدان البيانات إلى ما وراء الملفات لتشمل تحويلات بدون ملفات. يجب أن يخضع تحفيز مقدم إلى ChatGPT لنفس التدقيق المعمول به مع مرفق بريد إلكتروني. يجب أن يؤدي نسخ ولصق إلى سلاك لنفس الفحوصات التي يتم إجراؤها مع تحميل إلى جوجل درايف. يجب ألا يحدد طريقة النقل ما إذا كان الأمان ساري المفعول.

يجب أن يتم تطبيق سيطرات الهوية فعلاً. لا يكفي تقديم مصادقة تسجيل الدخول واحدة إذا كان الموظفون لا يزالون يمكنهم الوصول إلى تطبيقات الأعمال من خلال حساباتهم الشخصية. المصادقة الموحد تحتاج إلى أن تكون إلزامية لأي تطبيق يتعامل مع بيانات حساسة، وليس اختياريًا. يجب معاملة تسجيل الدخول غير الموحد للشركة كخطر أمني كما هو في الواقع.

النتيجة النهائية

أصبح الذكاء الاصطناعي الفئة الأسرع نموًا في برمجيات الشركة. كما أصبح أيضًا القناة رقم واحد لتهريب البيانات. 77% من الموظفين يلصقون البيانات في أدوات الذكاء الاصطناعي. 40% من التحميلات تحتوي على معلومات حساسة. يحدث معظم هذا النشاط من خلال حسابات غير مُدارة. لا توجد حدود أمنية قديمة. يحدث معظم العمل في المتصفحات، وحتى أفعال بسيطة مثل لصق النص يمكن أن تؤدي إلى انتهاكات. الشركات التي لا تحدث استراتيجيات أمنها للواقع الجديد تفقد بالفعل السيطرة على بياناتها الأكثر قيمة.