คู่มือป้องกันข้อมูลรั่วจากการใช้ AI: เริ่มจากคน ข้อมูล และช่องทางส่งออก

คำตอบสั้น

ลดความเสี่ยงข้อมูลรั่วจาก AI ด้วยการกำหนดเครื่องมือที่อนุมัติ ข้อมูลที่ส่งได้ เจ้าของการตัดสินใจ และช่องทางรายงานเหตุ ใช้ข้อมูลสมมติทดสอบเส้นทางส่งออกจริงแทนการสมมติว่าการควบคุมหนึ่งแบบครอบคลุมทุกช่องทาง

การใช้ AI ช่วยสรุปเอกสารหรือร่างอีเมลอาจเริ่มจากความตั้งใจที่ดี แต่ความเสี่ยงเกิดขึ้นเมื่อพนักงานส่งข้อมูลลูกค้า สัญญา หรือความลับธุรกิจไปยังบริการที่องค์กรไม่อนุมัติ การป้องกันจึงต้องมีทั้งช่องทางที่ใช้งานได้จริง กติกาที่เข้าใจง่าย และมาตรการทางเทคนิคที่ทดสอบแล้ว

กำหนดข้อมูลที่ใช้ได้และห้ามใช้

ให้เจ้าของข้อมูลแบ่งระดับ Public, Internal, Confidential และ Restricted ตามผลกระทบ ไม่ใช่ตามชื่อไฟล์เพียงอย่างเดียว กำหนดว่าข้อมูลแต่ละระดับใช้กับ AI ใดได้ ใครอนุมัติ และต้องลดข้อมูลอย่างไร สำหรับงานร่างข้อความทั่วไป ให้ใช้บริบทจำลองแทนการแนบไฟล์จริงทั้งฉบับ

แยกเส้นทางข้อมูลเพื่อทดสอบ

การอัปโหลดไฟล์ วางข้อความ ส่งภาพ ใช้ส่วนขยาย Browser และเชื่อม API เป็นคนละเส้นทาง หน้า Endpoint Central DLP ระบุการควบคุมข้อมูลบน Endpoint แต่ไม่ได้เป็นหลักฐานว่าทุกบริการ AI หรือทุกเส้นทางรองรับเหมือนกัน ต้องทำ Test matrix ตาม Browser ระบบปฏิบัติการ และรุ่นที่ใช้งานจริง

เตรียมช่องทางรายงานที่ไม่ทำให้คนปิดบัง

เมื่อส่งข้อมูลผิด ให้หยุดส่งเพิ่ม บันทึกเวลา บริการ บัญชี และประเภทข้อมูล แล้วแจ้งทีมที่รับผิดชอบผ่านช่องทางองค์กร อย่าส่งไฟล์ลับซ้ำเพื่ออธิบายเหตุการณ์ ทีมต้องประเมินการเข้าถึง การเก็บข้อมูล และการเพิกถอนสิทธิ์กับผู้ให้บริการตามข้อเท็จจริง ไม่ถือว่าการลบข้อความออกจากหน้าจอเท่ากับลบจากทุกระบบ

รายการตรวจสอบก่อนนำไปใช้

• มีรายการ AI ที่อนุมัติและเจ้าของการตัดสินใจ
• มีตัวอย่างข้อมูลที่ส่งได้และส่งไม่ได้สำหรับแต่ละแผนก
• ทดลองทั้งไฟล์ ข้อความ ภาพ และการเชื่อมต่อด้วยข้อมูลจำลอง
• มีผู้รับแจ้งเหตุ วิธีเก็บหลักฐาน และรอบทบทวนนโยบาย

เริ่มจากแผนกที่มีความเสี่ยงชัดและโจทย์ AI ที่จำเป็นเพียงหนึ่งงาน ทีม KTNBS สามารถช่วยวางรายการทดสอบ DLP โดยใช้ข้อมูลจำลอง ไม่ต้องนำข้อมูลลูกค้าจริงมาสาธิต

กรณีทดลองที่ควรนำไปคุยกับทีม

แยกทดสอบพิมพ์ข้อความ วางจาก Clipboard แนบไฟล์ และภาพหน้าจอด้วยข้อมูลสมมติ

กรณีนี้เป็นแผนทดสอบที่เสนอ ไม่ใช่ผลทดลองหรือคำรับรองของลูกค้า ให้ระบุระบบและรุ่นจริง ผู้รับผิดชอบ ผลคาดหวัง และผลที่เกิดขึ้นก่อนตัดสินใจขยายงาน