Shadow AI and Confidential Data: ข้อมูลอะไรที่คุณไม่ควรแชร์

เครื่องมือ AI กลายเป็นส่วนหนึ่งของการทำงานในชีวิตประจำวัน พนักงานใช้ AI เพื่อเขียนอีเมล สรุปเอกสาร วิเคราะห์ข้อมูล สร้างโค้ด และแก้ไขปัญหาต่าง ๆ อย่างไรก็ตาม การใช้เครื่องมือ AI ที่ไม่ได้รับการอนุมัติหรือไม่ได้อยู่ภายใต้การบริหารจัดการขององค์กรอาจก่อให้เกิดความเสี่ยงด้านความปลอดภัยอย่างมีนัยสำคัญ

Shadow AI และข้อมูลลับ (Shadow AI and Confidential Data) เป็นประเด็นสำคัญที่องค์กรควรให้ความสนใจ เนื่องจากพนักงานอาจส่งข้อมูลทางธุรกิจที่มีความละเอียดอ่อนไปยังบริการ AI ภายนอกโดยไม่รู้ตัว โดยไม่เข้าใจอย่างชัดเจนว่าข้อมูลจะถูกส่งไปที่ใด ถูกจัดการอย่างไร หรือใครสามารถเข้าถึงข้อมูลเหล่านั้นได้

ปัญหาไม่ได้อยู่ที่ AI โดยตัวมันเอง แต่ความเสี่ยงที่แท้จริงเกิดจากการใช้บริการ AI โดยไม่มี มาตรการรักษาความปลอดภัยที่เหมาะสม นโยบายการปกป้องข้อมูล และการกำกับดูแลจากองค์กร

Shadow AI คืออะไร?

Shadow AI หมายถึงการที่พนักงานใช้แอปพลิเคชันหรือบริการ AI โดยไม่ได้รับการอนุมัติอย่างเป็นทางการหรือไม่ได้อยู่ภายใต้การกำกับดูแลขององค์กร

ตัวอย่างเช่น พนักงานอาจใช้ Public AI Chatbot เพื่อ:

• สรุปรายงานภายใน
• เขียนหรือปรับแก้อีเมลที่เป็นความลับ
• วิเคราะห์ข้อมูลลูกค้า
• Review source code
• แปลเอกสารทางธุรกิจ
• สร้าง Presentation จากข้อมูลภายใน
• Analyze financial data

แม้วัตถุประสงค์จะเป็นเพียงการเพิ่มประสิทธิภาพในการทำงาน แต่การส่งข้อมูลไปยังบริการ AI ที่ไม่ได้รับอนุญาตอาจทำให้ข้อมูลถูกนำออกไปอยู่นอกสภาพแวดล้อมที่องค์กรสามารถควบคุมได้

ทำไม Shadow AI จึงเป็นปัญหาด้านความปลอดภัย?

เมื่อพนักงานใช้เครื่องมือ AI ที่ไม่ได้รับอนุญาต ทีม IT และ Security อาจมีความสามารถในการมองเห็นข้อมูลที่ถูกส่งไปยัง AI อย่างจำกัด

องค์กรอาจไม่ทราบว่า:

• พนักงานกำลังใช้บริการ AI ใดบ้าง
• มีข้อมูลอะไรถูกส่งไป
• ข้อมูลถูกประมวลผลที่ใด
• ข้อมูลถูกเก็บไว้นานเท่าใด
• มี Security Controls ใดปกป้องข้อมูล
• สามารถลบข้อมูลดังกล่าวได้หรือไม่
• บริการนั้นสอดคล้องกับข้อกำหนดขององค์กรหรือไม่

การขาด Visibility ดังกล่าวทำให้ Shadow AI เป็นความท้าทายที่สำคัญ โดยเฉพาะสำหรับองค์กรที่จำเป็นต้องปกป้องข้อมูลที่เป็นความลับและข้อมูลที่อยู่ภายใต้ข้อกำหนดทางกฎหมาย

ข้อมูลอะไรที่คุณไม่ควรแชร์ให้ Shadow AI?

พนักงานไม่ควรแชร์ข้อมูลที่เป็นความลับ ข้อมูลที่มีความละเอียดอ่อน หรือทรัพย์สินทางปัญญาขององค์กรให้กับเครื่องมือ AI ที่ไม่ได้รับอนุญาต

ความเสี่ยงไม่ได้อยู่ที่ตัว AI เพียงอย่างเดียว แต่ยังรวมถึงปลายทางของข้อมูลและวิธีที่บริการนั้นอาจนำข้อมูลไปจัดการหรือประมวลผลด้วย

1. ข้อมูลลูกค้าและข้อมูลส่วนบุคคล

หลีกเลี่ยงการแชร์ชื่อของลูกค้า ข้อมูลติดต่อ หมายเลขประจำตัว ข้อมูลบัญชี หรือบทสนทนากับฝ่าย Support

ข้อมูลส่วนบุคคลควรถูกประมวลผลผ่านเครื่องมือ AI ที่ได้รับการอนุมัติและมีมาตรการปกป้องข้อมูลที่เหมาะสมเท่านั้น

2. ข้อมูลทางการเงิน

อย่าอัปโหลดงบการเงิน ตัวเลขรายได้ งบประมาณ ราคา การคาดการณ์ทางการเงิน หรือข้อมูลการชำระเงิน

ข้อมูลเหล่านี้อาจเปิดเผยรายละเอียดที่มีความละเอียดอ่อนเกี่ยวกับสถานะทางการเงินและการดำเนินธุรกิจขององค์กร

3. รหัสผ่านและข้อมูลCredentials

รหัสผ่าน API Keys Access Tokens Private Keys และ Cloud Credentials ไม่ควรถูกป้อนเข้าสู่เครื่องมือ AI โดยเด็ดขาด

ควรถือว่า Credentials เป็นข้อมูลลับที่ต้องได้รับการปกป้อง ไม่ใช่ข้อความทั่วไปที่สามารถนำไปใส่ใน AI ได้

4. Source Codeและทรัพย์สินทางปัญญา

Proprietary Source Code, Internal Repository, Private API, Product Design, Algorithm และเอกสารทางเทคนิค อาจเป็นทรัพย์สินทางปัญญาที่มีมูลค่าสูงของบริษัท

เมื่อทำงานกับข้อมูลประเภทนี้ ควรใช้เฉพาะเครื่องมือ AI ที่องค์กรอนุมัติเท่านั้น

5. สัญญาและเอกสารทางกฎหมาย

สัญญา NDA เอกสารติดต่อทางกฎหมาย ข้อตกลงการจ้างงาน และเอกสารที่เป็นความลับอื่น ๆ ไม่ควรถูกอัปโหลดไปยังบริการ AI ที่ไม่ได้รับอนุญาต

ควรตรวจสอบเสมอว่าเครื่องมือ AI นั้นได้รับอนุญาตให้จัดการข้อมูลทางกฎหมายที่มีความละเอียดอ่อนหรือไม่

6. ข้อมูลทางธุรกิจและข้อมูลHR

แผนธุรกิจที่เป็นความลับ กลยุทธ์การขาย การวิเคราะห์คู่แข่ง Product Roadmap ข้อมูลพนักงาน เงินเดือน และข้อมูลการสอบสวนด้าน HR ควรได้รับการปกป้อง

ควรแชร์เฉพาะข้อมูลขั้นต่ำที่จำเป็นต่อการทำงาน และต้องแชร์ผ่านบริการ AI ที่ได้รับอนุมัติเท่านั้น

7. ข้อมูลด้านความปลอดภัย

หลีกเลี่ยงการแชร์ Network Architecture, Firewall Rules, Security Configuration, Vulnerability, Incident Report หรือ Security Logs ที่มีความละเอียดอ่อน

ข้อมูลเหล่านี้อาจช่วยให้ผู้โจมตีเข้าใจโครงสร้างและสภาพแวดล้อมขององค์กรได้มากขึ้น

8. ข้อมูลของบริษัทที่ยังไม่เปิดเผย

พนักงานควรให้ความสำคัญกับข้อมูลที่บริษัทยังไม่ได้ประกาศต่อสาธารณะด้วย

For example:

“บริษัทของเราจะเปิดตัวผลิตภัณฑ์ใหม่ในเดือนหน้า นี่คือ Product Roadmap ฉบับสมบูรณ์ ช่วยสร้าง Marketing Campaign ให้หน่อย”

คำขอนี้อาจดูเหมือนเป็นการใช้งาน AI ตามปกติ แต่ Prompt ดังกล่าวมีข้อมูลที่เป็นความลับเกี่ยวกับผลิตภัณฑ์ที่ยังไม่ได้เปิดตัว

พนักงานควรตรวจสอบก่อนเสมอว่าข้อมูลดังกล่าวถูกเปิดเผยต่อสาธารณะแล้วหรือไม่ ก่อนส่งข้อมูลนั้นไปยังบริการ AI

กฎง่าย ๆ: ถ้าคุณไม่โพสต์ต่อสาธารณะ ก็อย่าใส่ลงใน Shadow AI

หลักการด้านความปลอดภัยที่เข้าใจง่ายคือ:

หากคุณไม่สามารถเผยแพร่ข้อมูลนั้นต่อสาธารณะได้ ก็อย่านำข้อมูลนั้นไปใส่ในบริการ AI ที่ไม่ได้รับอนุญาต

ไม่ได้หมายความว่าบริการ AI ทุกประเภทไม่ปลอดภัย แต่พนักงานควรเข้าใจความแตกต่างระหว่าง:

Public AI Service

เครื่องมือ AI ที่เปิดให้บุคคลทั่วไปใช้งาน ซึ่งอาจไม่ได้อยู่ภายใต้การควบคุมหรือการอนุมัติขององค์กร

Enterprise-Approved AI

โซลูชัน AI ที่ได้รับการกำหนดค่าและกำกับดูแลโดยองค์กร พร้อมด้วยระบบ Identity, Security, Compliance และ Data Protection ที่เหมาะสม

แนวทางที่สองช่วยให้องค์กรมี Visibility และ Control เหนือการใช้งาน AI ได้มากกว่าอย่างมีนัยสำคัญ

พนักงานสามารถใช้ AI อย่างปลอดภัยมากขึ้นได้อย่างไร?

พนักงานไม่จำเป็นต้องหยุดใช้ AI สิ่งสำคัญคือการใช้งานอย่างมีความรับผิดชอบ และหลีกเลี่ยงการแชร์ข้อมูลที่อาจทำให้องค์กรตกอยู่ในความเสี่ยง

ลบข้อมูลที่มีความละเอียดอ่อน

ก่อนใช้ AI ควรลบข้อมูลส่วนบุคคล ข้อมูลทางการเงิน หรือข้อมูลที่เป็นความลับซึ่งไม่จำเป็นต่อการทำงานออกก่อน

ตัวอย่างเช่น แทนที่จะส่งชื่อและหมายเลข ID ของลูกค้า ให้เขียนเพียงว่า:

“ลูกค้ารายหนึ่งแจ้งว่ามีปัญหาเกี่ยวกับการชำระเงิน”

AI มักสามารถให้ผลลัพธ์ที่เหมือนกันได้โดยไม่จำเป็นต้องทราบตัวตนของลูกค้า

ปฏิบัติตามนโยบาย AI ที่ชัดเจน

องค์กรควรจัดทำแนวทางที่เข้าใจง่ายเพื่ออธิบายว่าเครื่องมือ AI ใดที่พนักงานสามารถใช้งานได้ และข้อมูลประเภทใดที่สามารถนำไปแชร์กับ AI ได้

พนักงานควรทราบด้วยว่าต้องดำเนินการอย่างไรเมื่อไม่แน่ใจว่าข้อมูลบางประเภทสามารถนำไปใช้กับ AI ได้อย่างปลอดภัยหรือไม่

สร้างความตระหนักด้าน AI Security

เทคโนโลยีเพียงอย่างเดียวไม่สามารถกำจัดความเสี่ยงจาก Shadow AI ได้ทั้งหมด

พนักงานจำเป็นต้องเข้าใจว่าการแชร์ข้อมูลที่เป็นความลับกับเครื่องมือ AI ที่ไม่ได้รับอนุญาตสามารถก่อให้เกิดปัญหาด้าน Security และ Privacy ได้อย่างไร

การฝึกอบรมอย่างสม่ำเสมอพร้อมตัวอย่างจากสถานการณ์จริงสามารถช่วยให้พนักงานตัดสินใจได้อย่างปลอดภัยมากขึ้นเมื่อใช้ AI ในการทำงาน

ใช้ Enterprise-Approved Copilot เพื่อความปลอดภัยที่ดียิ่งขึ้น

แทนที่จะพึ่งพาเครื่องมือ AI ที่ไม่ได้รับอนุญาต องค์กรควรพิจารณาจัดหา Microsoft Copilot License สำหรับองค์กร ให้กับพนักงาน

สภาพแวดล้อมของ Copilot ที่ได้รับการกำหนดค่าอย่างเหมาะสมสามารถช่วยให้ทีม IT มี Control ที่มากขึ้นในด้าน Access, Data Protection, Security Policy และ User Management

สิ่งนี้ช่วยให้พนักงานได้รับประโยชน์จาก AI เพื่อเพิ่มประสิทธิภาพในการทำงาน ขณะเดียวกันก็ช่วยลดความเสี่ยงที่ข้อมูลทางธุรกิจที่เป็นความลับจะถูกส่งไปยังบริการ AI ของ Third Party ที่องค์กรไม่สามารถควบคุมได้

อย่างไรก็ตาม องค์กรยังคงจำเป็นต้องกำหนด Security Controls ที่เหมาะสมและจัดทำนโยบายการใช้งาน AI ที่ชัดเจน

Shadow AI คือปัญหาด้าน Visibility

หนึ่งในความท้าทายที่สำคัญที่สุดของ Shadow AI คือทีม Security อาจไม่ทราบว่ากำลังเกิดอะไรขึ้น

Security Controls แบบดั้งเดิมอาจสามารถมองเห็นการใช้งาน Corporate Application อุปกรณ์ และ Network Traffic ได้ แต่พนักงานสามารถเข้าถึงบริการ AI ผ่าน Web Browser ทั่วไปและ Personal Account ได้

สิ่งนี้ทำให้เกิดช่องว่างระหว่าง:

สิ่งที่องค์กรรู้ว่าพนักงานกำลังใช้งาน

กับ

สิ่งที่พนักงานกำลังใช้งานจริง

การปิดช่องว่างด้าน Visibility นี้ถือเป็นส่วนสำคัญของกลยุทธ์ด้าน AI Security ขององค์กร

Shadow AI และ Confidential Data: Practical Checklist

ก่อนนำข้อมูลทางธุรกิจไปใส่ในเครื่องมือ AI พนักงานควรถามตัวเองว่า:

เมื่อไม่แน่ใจ แนวทางที่ปลอดภัยที่สุดคือ หยุดก่อนและสอบถามทีม IT หรือ Security

Summary

Shadow AI จะกลายเป็นอันตรายเมื่อพนักงานแชร์ข้อมูลโดยไม่เข้าใจว่าบริการ AI จะจัดการกับข้อมูลเหล่านั้นอย่างไร

ข้อมูลลูกค้า ข้อมูลทางการเงิน Credentials, Source Code, Intellectual Property, Contracts, ข้อมูลพนักงาน รายละเอียดด้าน Security และกลยุทธ์ทางธุรกิจที่เป็นความลับ ไม่ควรถูกนำไปใส่ในเครื่องมือ AI ที่ไม่ได้รับอนุญาตโดยเด็ดขาด

ทางออกไม่จำเป็นต้องเป็นการ ยกเลิกการใช้ AI ในสถานที่ทำงาน

องค์กรควรสร้าง Framework ที่ปลอดภัย ซึ่งช่วยให้พนักงานสามารถใช้ AI เพื่อเพิ่มประสิทธิภาพในการทำงาน ขณะเดียวกันก็สามารถปกป้องข้อมูลที่มีความสำคัญที่สุดขององค์กรได้

เมื่อไม่แน่ใจ อย่าแชร์ข้อมูลที่เป็นความลับกับบริการ AI ที่ไม่ได้รับการอนุมัติ