ユーザーをエンパワーし、GenAIデータ損失から保護する

生成AIツールが2022年後半に広く利用可能になったとき、注目したのは技術者だけではありませんでした。すべての業界の従業員が、生成AIが生産性を向上させ、コミュニケーションを円滑にし、業務を加速させる可能性をすぐに認識しました。ファイル共有、クラウドストレージ、コラボレーションプラットフォームなど、これまでの多くの消費者主導のIT革新の波と同様に、AIは公式なチャネルを通じてではなく、よりスマートに働きたいと願う従業員の手によって企業に浸透しました。

公的なAIインターフェースに機密データが入力されるリスクに直面し、多くの組織は緊急かつ強力に対応しました。それはアクセスをブロックすることでした。初期の防御策としては理解できますが、公的なAIアプリをブロックすることは長期的な戦略ではなく、一時しのぎです。そしてほとんどの場合、それは効果的ではありません。

シャドーAI: 見えないリスク#

Zscaler ThreatLabzチームは、企業全体でのAIと機械学習（ML）のトラフィックを追跡しており、その数値は説得力のある物語を語っています。2024年だけで、ThreatLabzは前年の36倍のAIとMLトラフィックを分析し、800以上の異なるAIアプリケーションを特定しました。

ブロックしても、従業員がAIを使用するのを止めることはできませんでした。彼らは個人のアカウントにファイルをメールで送信し、電話や家庭用デバイスを使用し、スクリーンショットをAIシステムに入力します。これらの回避策は、機密性の高いやり取りを企業の監視や保護の目から隠れた場所に移動させます。その結果、シャドーAIと呼ばれる成長する盲点が生まれます。

承認されていないAIアプリをブロックすると、使用状況がレポートダッシュボードでゼロに見えるかもしれませんが、実際には組織は保護されておらず、実際に何が起こっているのかを見失っています。

SaaS採用からの教訓#

私たちは以前にもこの状況を経験しています。初期のソフトウェア・アズ・ア・サービス（SaaS）ツールが登場したとき、ITチームはクラウドベースのファイルストレージアプリケーションの無許可使用を制御しようと奔走しました。しかし、ファイル共有を禁止することが答えではなく、むしろ従業員の利便性、使いやすさ、速度に対する期待に応える安全でシームレスなシングルサインオンの代替手段を提供することでした。

しかし、今回はさらにリスクが高まっています。SaaSでは、データ漏洩はしばしば誤って配置されたファイルを意味しますが、AIでは、知的財産を公的なモデルで誤ってトレーニングすることを意味する可能性があり、そのデータを削除したり取得したりする方法はありません。大規模な言語モデルの記憶には「元に戻す」ボタンはありません。

まず可視性、次にポリシー#

組織がAIの使用を賢明に管理する前に、実際に何が起こっているのかを理解する必要があります。可視性なしにトラフィックをブロックすることは、どこに境界線があるかを知らずにフェンスを建てるようなものです。

私たちは以前にもこのような問題を解決してきました。Zscalerのトラフィックフローにおける位置は、比類のない視点を提供します。どのアプリが誰によってどのくらいの頻度でアクセスされているかを把握しています。このリアルタイムの可視性は、リスクの評価、ポリシーの形成、よりスマートで安全なAIの採用を可能にするために不可欠です。

次に、ポリシーの扱い方を進化させました。多くのプロバイダーは単に「許可」または「ブロック」の白黒の選択肢を提供します。より良いアプローチは、暗黙の信頼を前提とせず、継続的で文脈に応じた評価を求めるゼロトラスト原則に沿ったコンテキスト対応のポリシー駆動型ガバナンスです。すべてのAIの使用が同じレベルのリスクを提示するわけではなく、ポリシーはそれを反映すべきです。

例えば、ユーザーに注意を促しながらAIアプリケーションへのアクセスを提供したり、ブラウザ隔離モードでのみトランザクションを許可したりすることができます。これにより、ユーザーはアプリに機密データを貼り付けることができなくなります。もう一つの効果的なアプローチは、ユーザーを社内で管理されている企業承認済みの代替アプリにリダイレクトすることです。これにより、従業員はデータの露出をリスクにさらすことなく生産性の向上を享受できます。ユーザーが安全で迅速かつ承認された方法でAIを使用できる場合、あなたを避ける必要はありません。

最後に、Zscalerのデータ保護ツールにより、特定の公的AIアプリの使用を許可しつつ、機密情報の誤送信を防ぐことができます。私たちの調査によれば、Zscalerクラウドでは400万件以上のデータ損失防止（DLP）違反が発生しており、これは財務データ、個人を特定できる情報、ソースコード、医療データなどの機密企業データがAIアプリケーションに送信されようとした事例を表しており、そのトランザクションはZscalerポリシーによってブロックされました。ZscalerのDLP施行がなければ、これらのAIアプリで実際のデータ損失が発生していたでしょう。

エンパワーメントと保護のバランスを取る#

これはAIの採用を止めることではなく、責任を持って形作ることです。セキュリティと生産性は対立する必要はありません。適切なツールと考え方を持てば、組織は両方を達成できます：ユーザーをエンパワーし、データを保護することです。

詳細はzscaler.com/securityをご覧ください。