کارمندان از حساب شخصی ChatGPT در محل کار استفاده می‌کنند؟ چه کارهایی باید توسط ادمین‌های IT انجام شود
بر اساس گزارش BleepingComputer، استفاده از حساب‌های شخصی ChatGPT توسط کارمندان می‌تواند به افشای داده‌های حساس شرکت منجر شود؛ NordLayer درباره روش‌های بررسی و جلوگیری از چنین استفاده‌های غیرمجاز توضیح داده است.
اطلاعات این مطلب بر اساس گزارش منتشرشده در BleepingComputer است. گزارش اشاره می‌کند که حتی هنگامی که سازمان یک فضای کاری Enterpriseِ تاییدشده برای AI فراهم کرده است، کارمندان ممکن است از حساب‌های شخصی ChatGPT استفاده کنند و با این کار اطلاعات حساس شرکت را به حساب‌های خارج از کنترل سازمان بفرستند. در این گزارش NordLayer راه‌هایی برای بررسی استفاده غیرمجاز از AI و جلوگیری از فرستادن اطلاعات حساس به حساب‌های شخصی مطرح کرده است.
خلاصه تحلیلی مستقل (توسط نویسنده مجله):
- خطرات کلیدی: استفاده از حساب‌های شخصی هوش مصنوعی می‌تواند منجر به نشت داده، شکست الزامات قانونی و بر هم خوردن کنترل‌های محرمانگی شود؛ این پدیده به عنوان «Shadow AI» شناخته می‌شود.
- شواهد و محدودیت‌ها: گزارش منبع به وجود مشکل و ضرورت بررسی اشاره دارد، اما جزئیات فنی کامل یا نمونه‌های موردی گسترده در متن ورودی ارائه نشده است؛ بنابراین توصیه‌ها در بخش بعدی بر اساس اصول شناخته‌شده امنیت داده و مدیریت ریسک ارائه شده‌اند.
- پیشنهادات عملی برای ادمین‌های IT (خلاصه و عمومی):
- کشف و مانیتورینگ: با بررسی لاگ‌های شبکه، DNS و پروکسی‌ها و همچنین لاگ‌های احراز هویت، تلاش‌ها برای دسترسی به سرویس‌های AI از طریق حساب‌های شخصی را شناسایی کنید.
- کنترل دسترسی و DLP: قواعد جلوگیری از نشت داده (DLP) را برای مسدود یا هشداردهی در صورت ارسال اطلاعات حساس به سرویس‌های خارجی اعمال کنید؛ از ابزارهای CASB و فیلترهای محتوایی برای کاهش ارسال اطلاعات حساس استفاده نمایید.
- مدیریت هویت: با پیاده‌سازی روش‌های SSO و کنترل دستگاه (MDM/endpoint controls) و در صورت امکان جداسازی دسترسی به سرویس‌های enterprise از حساب‌های شخصی، مسیرهای دسترسی غیرمجاز را محدود کنید.
- سیاست‌گذاری و آموزش: سیاست‌های روشن درباره استفاده از ابزارهای AI بنویسید و کارمندان را در مورد خطرات ارسال اطلاعات محرمانه به حساب‌های شخصی آموزش دهید.
- واکنش به حادثه: روند بررسی، قرنطینه و گزارش‌دهی در صورت شناسایی نشت اطلاعات را مشخص کنید.
یادآوری: جزئیات فنی اختصاصی یا دستورالعمل‌های گام‌به‌گام که ممکن است در منابع فنی وجود داشته باشد در متن ورودی شما وجود نداشت؛ آنچه در بخش تحلیلی ارائه شد، توصیه‌های عمومی و مبتنی بر اصول مدیریت ریسک و امنیت داده است.