0

Shadow AI چگونه داده‌های حساس را به ابزارهای GenAI می‌برد؟ راهنمای عملی کنترل Upload، Clipboard و PII در ChatGPT، Gemini و Claude با Endpoint DLP Plus.

شرکت مدانت
شرکت مدانت
[ مجری تخصصی پیاده‌سازی چارچوب ITIL و تحول دیجیتال ]
Shadow AI در سازمان؛ کنترل نشت داده به ChatGPT، Gemini و Claude با Endpoint DLP Plus

فرض کنید یکی از توسعه‌دهندگان برای سریع‌تر پیدا کردن یک خطای نرم‌افزاری، بخشی از Source Code داخلی شرکت را داخل یک حساب شخصی ChatGPT می‌گذارد. چند دقیقه بعد، کارشناس منابع انسانی برای خلاصه‌کردن یک فایل، اطلاعات کارکنان را در یک ابزار GenAI رایگان آپلود می‌کند و یک کارشناس فروش هم فایل Excel مشتریان را برای تحلیل به سرویس دیگری می‌فرستد.

هیچ‌کدام الزاماً قصد خرابکاری ندارند. مسئله این است که سازمان دیگر نمی‌داند چه داده‌ای، توسط چه کسی، به کدام سرویس هوش مصنوعی و با چه حسابی منتقل شده است. این همان مسئله‌ای است که امروز با عنوان Shadow AI یا استفاده از ابزارهای هوش مصنوعی خارج از کنترل و تأیید رسمی سازمان شناخته می‌شود.

در گزارش Verizon 2026 DBIR، ۴۵ درصد کارکنان به‌عنوان کاربران منظم ابزارهای AI روی دستگاه‌های سازمانی شناسایی شده‌اند؛ این عدد در سال قبل ۱۵ درصد بوده است. همچنین ۶۷ درصد کاربران برای دسترسی به سرویس‌های AI از حساب‌های غیرسازمانی استفاده کرده‌اند. Verizon می‌گوید Shadow AI اکنون سومین رفتار غیرمخرب مرتبط با نشت داده در Datasetهای DLP است و سهم آن نسبت به سال قبل حدود چهار برابر شده است. در همان داده‌ها، Source Code رایج‌ترین نوع داده‌ای بوده که به سرویس‌های GenAI غیرمجاز ارسال شده و در ۳.۲ درصد Policy Violationها نیز اسناد پژوهشی و فنی دیده شده است.

برای سازمانی که می‌خواهد از مزیت GenAI استفاده کند اما نمی‌خواهد اطلاعات مشتری، کد منبع، قرارداد، داده مالی یا PII بدون کنترل از محیط خارج شود، رویکرد منطقی «مسدود کردن کامل AI» نیست؛ بلکه باید استفاده مجاز و غیرمجاز را از هم جدا کرد و جریان داده حساس را کنترل کرد. یکی از ابزارهایی که برای همین لایه Endpoint طراحی شده، ManageEngine Endpoint DLP Plus است.

Shadow AI دقیقاً چیست؟

Shadow AI به استفاده کارکنان از ابزارها، حساب‌ها، مدل‌ها یا سرویس‌های هوش مصنوعی بدون تأیید، Governance یا Visibility کافی از طرف IT و Security گفته می‌شود. ممکن است خود سرویس معروف و معتبر باشد، اما شیوه استفاده از آن خارج از Policy سازمان قرار بگیرد.

برای مثال، سازمان شاید استفاده از نسخه Enterprise یک سرویس GenAI را تأیید کرده باشد، اما همان کاربر با حساب شخصی وارد نسخه عمومی شود. در این حالت مشکل فقط «نام ابزار» نیست؛ Identity، Contract، Data Handling و Destination هم مهم‌اند.

Shadow AI را نباید با استفاده مخرب از AI یکی دانست. بخش بزرگی از این رفتارها از تلاش کارکنان برای افزایش بهره‌وری ایجاد می‌شود: نوشتن ایمیل، تحلیل فایل، Debug کردن کد، خلاصه‌سازی قرارداد، ترجمه یا تولید محتوا. ریسک زمانی ایجاد می‌شود که داده‌ای وارد مدلی شود که سازمان درباره Retention، Training، Data Residency، Logging یا Account Ownership آن کنترل کافی ندارد.

چرا Shadow AI از Shadow IT پیچیده‌تر است؟

در Shadow IT معمولاً سؤال این بود که «چه نرم‌افزار یا SaaS تأییدنشده‌ای استفاده می‌شود؟» اما در Shadow AI یک لایه مهم دیگر داریم: چه داده‌ای در Prompt، Attachment یا Clipboard وارد مدل می‌شود؟

ممکن است کاربر فقط یک Tab مرورگر باز کند و هیچ نرم‌افزار جدیدی نصب نکند. از دید Inventory سنتی، اتفاق خاصی رخ نداده است؛ اما در همان Session ممکن است اطلاعاتی خارج شود که از نظر تجاری یا قانونی بسیار حساس است.

مسیر نشت نمونه ریسک اصلی
Prompt Paste کردن متن قرارداد یا اطلاعات مشتری افشای داده متنی حساس
File Upload آپلود Excel مالی یا Source Code خروج فایل کامل از کنترل سازمان
Clipboard Copy/Paste از CRM به ابزار GenAI دور زدن کنترل‌های File-based
Browser Upload ارسال فایل به ChatGPT، Gemini یا Claude انتقال به سرویس Cloud بیرونی
Email Forward کردن خروجی یا فایل به حساب شخصی گسترش دامنه افشا
Screen Capture Screenshot از اطلاعات محرمانه دور زدن محدودیت Copy/Paste

اولین اشتباه: مسدود کردن کامل همه ابزارهای AI

مسدود کردن کامل ممکن است در بعضی سازمان‌های بسیار حساس یا روی Scopeهای مشخص لازم باشد، اما به‌عنوان Strategy عمومی معمولاً مشکل را حل نمی‌کند. کاربران ممکن است به Mobile، دستگاه شخصی، Remote Browser یا ابزارهای جایگزین مهاجرت کنند و Visibility کمتر شود.

مدل بهتر این است که سرویس‌های AI را به چند سطح تقسیم کنیم:

  • Approved: ابزارهایی که Contract، Account سازمانی و Policy مشخص دارند.
  • Conditional: ابزارهایی که برای داده عمومی مجازند اما برای PII، کد یا اسناد محرمانه محدودیت دارند.
  • Unapproved: سرویس‌هایی که اجازه Upload یا Paste داده حساس به آن‌ها وجود ندارد.
  • Blocked: ابزارهایی که به دلیل Risk، Reputation یا الزامات قانونی نباید استفاده شوند.

هدف این نیست که کاربر را از GenAI دور کنیم؛ هدف این است که Data Boundary سازمان را حتی هنگام استفاده از AI حفظ کنیم.

Endpoint DLP Plus در کنترل Shadow AI چه نقشی دارد؟

طبق مستندات فعلی ManageEngine، Endpoint DLP Plus برای کشف، طبقه‌بندی و کنترل حرکت داده حساس روی Endpointها طراحی شده است. محصول می‌تواند داده را در حالت At Rest، In Use و In Motion بررسی کند و Policyهای DLP را برای Web، Email، Removable Media، Clipboard، Print و سایر مسیرها اعمال کند.

ManageEngine در راهنمای رسمی Shadow AI خود صریحاً اعلام می‌کند Endpoint DLP Plus می‌تواند آپلود یا Copy/Paste اطلاعات حساس و PII به پلتفرم‌های GenAI مانند ChatGPT، Gemini و Claude را محدود یا Block کند. این دقیقاً همان نقطه‌ای است که یک Policy عمومی «استفاده از AI ممنوع است» به کنترل فنی قابل اجرا تبدیل می‌شود.

اگر در کنار این لایه به Visibility وسیع‌تر درباره Data Security، File Activity و Shadow AI Discovery نیاز دارید، صفحه DataSecurity Plus مدانت نیز مسیر مکملی برای ارزیابی معماری امنیت داده است. برای مدیریت مرکزی Endpointها نیز Endpoint Central یکی از Pillarهای اصلی مدانت در Endpoint Management است.

گام اول: قبل از AI، خود داده حساس را بشناسید

سازمانی که نمی‌داند داده حساسش کجاست، نمی‌تواند Shadow AI را درست کنترل کند. قبل از نوشتن Rule برای ChatGPT یا Gemini، باید Classification داشته باشید.

حداقل این گروه‌ها را مشخص کنید:

  • PII و اطلاعات شناسایی مشتریان و کارکنان
  • داده مالی، حسابداری و حقوق و دستمزد
  • Source Code و Repositoryهای اختصاصی
  • اسناد R&D و مالکیت فکری
  • قراردادها و اطلاعات حقوقی
  • Credential، Token، API Key و Secretها
  • اطلاعات سلامت یا داده‌های تحت Compliance خاص
  • فایل‌های طبقه‌بندی‌شده داخلی، محرمانه یا Restricted

Endpoint DLP Plus برای Data Discovery و Classification از Ruleهای آماده و Custom Criteria مانند RegEx، Keyword، Document Matching و File Extension پشتیبانی می‌کند. صفحه رسمی محصول همچنین به Templateهای Compliance برای استانداردها و الزامات مختلف اشاره می‌کند.

گام دوم: AI Policy را براساس «نوع داده + مقصد» بسازید

یکی از ضعیف‌ترین مدل‌ها این است که Rule فقط براساس Domain نوشته شود. مثلاً «chatgpt.com را Block کن». این Rule Context داده را نمی‌فهمد.

مدل بهتر ترکیب دو سؤال است:

  1. چه نوع داده‌ای در حال خروج است؟
  2. به چه مقصدی می‌رود؟

برای مثال، ممکن است استفاده از یک سرویس GenAI برای متن عمومی مجاز باشد اما Upload فایل حاوی PII یا Source Code به همان مقصد Block شود.

نوع داده مقصد Action پیشنهادی
Public AI تأییدشده Allow
Internal AI تأییدشده با حساب سازمانی Allow / Monitor
PII GenAI عمومی Block
Source Code AI غیرمجاز Block
Confidential Cloud App شخصی Block
Research Document AI تأییدشده Warn + Business Justification
Credential / Secret هر AI عمومی Block

این ماتریس باید با Risk Appetite، قراردادهای سازمان و قوانین داخلی تطبیق داده شود؛ عدد و Action واحد برای همه شرکت‌ها وجود ندارد.

گام سوم: Monitor را قبل از Block فعال کنید

اگر از روز اول Rule سخت‌گیرانه روی کل سازمان اعمال شود، احتمال False Positive و مقاومت کاربران بالا می‌رود. بهتر است ابتدا برای یک بازه مشخص رفتار واقعی را مشاهده کنید.

در فاز Monitor، این موارد را اندازه بگیرید:

  • کدام سرویس‌های GenAI بیشتر استفاده می‌شوند؟
  • کدام Departmentها بیشترین Upload را دارند؟
  • چه Data Typeهایی بیشتر در معرض خروج هستند؟
  • آیا کاربران از حساب شخصی یا سازمانی استفاده می‌کنند؟
  • کدام Ruleها False Positive تولید می‌کنند؟
  • چه Use Caseهایی واقعاً برای کسب‌وکار ارزش دارند؟

بعد از شناخت Baseline، Policy را مرحله‌ای از Monitor به Warn و سپس Block منتقل کنید.

گام چهارم: Web Upload و Cloud Destination را کنترل کنید

یکی از مهم‌ترین مسیرهای Shadow AI، Upload مستقیم فایل در Browser است. مستند فعلی Endpoint DLP Plus قابلیت Web Application Upload Prevention را برای جلوگیری از انتقال فایل حساس به Web Appها و Cloud Storageهای غیرمجاز معرفی می‌کند.

این کنترل برای سناریوهایی مانند موارد زیر کاربرد دارد:

  • آپلود فایل مشتری به GenAI عمومی
  • ارسال Source Code به Coding Assistant تأییدنشده
  • آپلود فایل HR به Cloud شخصی
  • انتقال فایل مالی از Browser به سرویس SaaS غیرمجاز

در یک طراحی مناسب، Destinationهای سازمانی و تأییدشده در Allowlist قرار می‌گیرند و Policy برای داده حساس روی Destinationهای غیرمجاز سخت‌گیرانه‌تر می‌شود.

گام پنجم: Clipboard را جدی بگیرید

بسیاری از DLPهای قدیمی روی File Upload تمرکز می‌کردند، اما در GenAI حجم زیادی از داده از طریق Copy/Paste منتقل می‌شود. کاربر ممکن است هیچ فایلی Upload نکند؛ فقط ۲۰۰ خط Source Code یا اطلاعات ۵۰ مشتری را در Prompt Paste کند.

Endpoint DLP Plus امکان کنترل Clipboard و انتقال محتوا میان Applicationهای Enterprise و Non-enterprise را فراهم می‌کند. ManageEngine در Knowledge Base خود توضیح می‌دهد Copy شدن متن از Applicationهای سازمانی به Applicationهای غیرسازمانی می‌تواند براساس Policy محدود شود.

این کنترل باید هدفمند باشد. اگر Clipboard را در کل Endpoint بدون Context ببندید، Productivity آسیب می‌بیند. Policy بهتر فقط روی داده یا Applicationهای حساس اعمال می‌شود.

گام ششم: Screen Capture و Print را از مدل تهدید حذف نکنید

وقتی Copy/Paste بسته شود، کاربر ممکن است مسیر دیگری انتخاب کند. صفحه فعلی Endpoint DLP Plus قابلیت‌هایی برای محدود کردن Screen Capture، Screen Recording، Print و ایجاد Watermark معرفی می‌کند.

این کنترل‌ها به‌خصوص برای اسناد مالی، طراحی‌های فنی، قراردادها و اطلاعاتی که نباید از Context سازمان خارج شوند اهمیت دارند. Shadow AI فقط یک Domain در Browser نیست؛ بخشی از مسئله بزرگ‌تر Data Movement Governance است.

گام هفتم: Policy را براساس User و Department هدفمند کنید

ریسک همه کاربران یکسان نیست. تیم R&D ممکن است روزانه با Source Code کار کند، Finance با اطلاعات مالی و HR با PII.

مستندات Endpoint DLP Plus در ۲۰۲۶ امکان User Custom Group را براساس عضویت دستی یا گروه‌های Active Directory و Entra معرفی می‌کند. این قابلیت کمک می‌کند Policyها را براساس Role و Department تنظیم کنید.

برای مثال:

  • R&D: Source Code به AI عمومی Block شود.
  • Finance: فایل مالی به Cloud و GenAI غیرمجاز Block شود.
  • HR: PII و Payroll Data با Policy سخت‌گیرانه کنترل شود.
  • Marketing: داده Public برای ابزارهای تأییدشده آزادتر باشد.

این مدل از یک Policy یکسان و ناکارآمد برای همه کاربران جلوگیری می‌کند.

Shadow AI را فقط از دید Security نبینید؛ مسئله Governance است

NIST در Generative AI Profile مربوط به AI Risk Management Framework توصیه می‌کند سازمان‌ها ریسک‌های GenAI را در چارچوب Governance، Mapping، Measurement و Management بررسی کنند. یعنی ابزار فنی بدون Policy، Owner و فرآیند تصمیم‌گیری کافی نیست.

OWASP نیز در Top 10 فعلی برای LLM و GenAI، Sensitive Information Disclosure را یکی از ریسک‌های اصلی معرفی می‌کند. اگر کاربر داده‌ای وارد Model کند که نباید خارج از Boundary سازمان باشد، حتی بدون Exploit یا Malware می‌تواند Incident امنیتی ایجاد شود.

بنابراین DLP باید بخشی از یک مدل بزرگ‌تر باشد:

  • AI Acceptable Use Policy
  • Approved AI Catalog
  • Data Classification
  • Identity و Account Governance
  • DLP Enforcement
  • Incident Management
  • Exception Management
  • Training و Awareness

تفاوت Endpoint DLP Plus و DataSecurity Plus در این سناریو چیست؟

این دو محصول هم‌پوشانی‌هایی در امنیت داده دارند، اما بهتر است آن‌ها را یکسان فرض نکنیم.

Endpoint DLP Plus تمرکز قوی روی Endpoint، Data Discovery، Classification و کنترل حرکت داده از مسیرهایی مانند Web Upload، Clipboard، USB، Email و Print دارد.

DataSecurity Plus دامنه وسیع‌تری در File Auditing، Data Risk، Data Security و قابلیت‌های جدید Shadow AI Discovery دارد. ManageEngine در قابلیت فعلی Shadow AI Discovery برای DataSecurity Plus اعلام می‌کند امکان مشاهده Prompt Interaction روی ابزارهایی مانند ChatGPT، GitHub Copilot، Claude، Gemini، Perplexity، Grok و Mistral وجود دارد.

اگر هدف اصلی شما Enforcement روی Endpoint است، Endpoint DLP Plus نقطه شروع طبیعی‌تری است. اگر علاوه بر آن به Visibility گسترده‌تر روی File Activity و Data Security نیاز دارید، می‌توان DataSecurity Plus را هم در معماری ارزیابی کرد. برای آشنایی بیشتر با مدیریت رخدادهای DLP، مقاله Incident Management در DataSecurity Plus را هم ببینید.

Browser Security چه جایگاهی در کنار DLP دارد؟

بخش بزرگی از Shadow AI در Browser رخ می‌دهد. DLP روی «داده» تمرکز دارد، در حالی که Browser Security می‌تواند روی Extension، Browser Configuration و Application Governance تمرکز کند.

اگر سازمان با Extensionهای ناشناخته، Browser Add-on یا Shadow SaaS هم درگیر است، مقاله مدیریت افزونه‌های Chrome و Edge در Browser Security Plus مکمل خوبی برای طراحی این لایه است.

ترکیب این دو نگاه مهم است: Browser Control مشخص می‌کند چه محیطی مجاز است؛ DLP مشخص می‌کند چه داده‌ای اجازه خروج دارد.

یک سناریوی عملی: تیم توسعه و Source Code

فرض کنید تیم توسعه اجازه استفاده از یک Coding Assistant سازمانی را دارد، اما چند نفر همچنان از حساب شخصی ChatGPT یا Claude استفاده می‌کنند.

Policy پیشنهادی می‌تواند این‌طور باشد:

  1. Repository و File Typeهای Source Code به‌عنوان Sensitive تعریف شوند.
  2. AI سازمانی در لیست Destinationهای مجاز قرار بگیرد.
  3. Upload یا Copy/Paste Source Code به GenAI غیرمجاز Block شود.
  4. برای فایل‌های کم‌ریسک، Warn + Justification فعال شود.
  5. Violationها برای SOC یا Security Review ثبت شوند.
  6. کاربر در Message Policy مسیر جایگزین مجاز را ببیند.

نکته مهم این است که پیام Block باید کاربردی باشد. اگر فقط بنویسد «Access Denied»، کاربر راه دور زدن پیدا می‌کند. بهتر است بگوید: «ارسال Source Code به سرویس‌های AI عمومی مجاز نیست؛ از سرویس سازمانی X استفاده کنید.»

سناریوی دوم: HR و اطلاعات کارکنان

کارشناس HR می‌خواهد یک فایل شامل نام، شماره تماس، کد پرسنلی و حقوق را خلاصه کند. از نظر کاربر، هدف ساده است؛ از نظر DLP، این فایل ترکیبی از PII و داده مالی است.

در این سناریو Policy می‌تواند:

  • PII را Detect کند.
  • Upload به GenAI عمومی را Block کند.
  • ارسال به Domainهای مجاز سازمانی را Allow کند.
  • Event را برای Audit نگه دارد.
  • در صورت تکرار، Incident ایجاد کند.

این رویکرد به‌جای ممنوع کردن AI، فقط Boundary داده حساس را اعمال می‌کند.

سناریوی سوم: تیم فروش و فایل مشتریان

فایل CRM Export معمولاً شامل Email، شماره تماس، عنوان شغلی و اطلاعات تجاری مشتری است. اگر این فایل برای «تحلیل سریع» به سرویس GenAI غیرمجاز Upload شود، ممکن است سازمان بدون قصد قبلی اطلاعات مشتریان را به Third Party منتقل کرده باشد.

Endpoint DLP Plus می‌تواند Classification مبتنی بر Source و Data Rule را با Web Upload Protection ترکیب کند. در طراحی Policy، Exportهای CRM بهتر است از لحظه ایجاد برچسب یا Rule مناسب بگیرند تا Protection وابسته به نام فایل نباشد.

نقشه ۳۰ روزه برای پیاده‌سازی Shadow AI Control

بازه اقدام خروجی
روز ۱ تا ۵ Inventory سرویس‌های AI و Data Typeهای حساس AI Catalog + Data Map
روز ۶ تا ۱۰ تعریف Approved/Conditional/Blocked AI Usage Policy
روز ۱۱ تا ۱۵ Deploy محدود Endpoint DLP روی Pilot Group Baseline Eventها
روز ۱۶ تا ۲۰ Monitor و Tune Ruleها کاهش False Positive
روز ۲۱ تا ۲۵ Warn و Block روی Data Typeهای High Risk Enforcement مرحله‌ای
روز ۲۶ تا ۳۰ Review KPI، Exception و Incident Workflow Policy Production-ready

برای سازمان بزرگ، این بازه فقط Pilot است. Rollout کامل باید براساس Department، Criticality و Location مرحله‌بندی شود.

چه KPIهایی برای Shadow AI مهم‌اند؟

اگر فقط تعداد Blockها را اندازه بگیرید، معلوم نمی‌شود Policy مؤثر بوده یا فقط مزاحمت ایجاد کرده است.

KPIهای مفیدتر:

  • تعداد Destinationهای AI غیرمجاز دیده‌شده
  • تعداد Uploadهای Sensitive Block شده
  • تعداد Clipboard Violationها
  • Data Type پرتکرار در Violationها
  • Department با بیشترین Risk Event
  • تعداد Business Overrideها
  • False Positive Rate
  • Repeat Violation Rate
  • درصد مهاجرت کاربران به ابزار AI تأییدشده
  • Mean Time to Review رخدادهای High Risk

هدف خوب این نیست که Block Count همیشه بالا بماند. اگر Policy، آموزش و ابزار جایگزین درست باشند، باید با گذشت زمان Violation تکراری کاهش پیدا کند.

آیا Endpoint DLP Plus می‌تواند ChatGPT، Gemini و Claude را کنترل کند؟

ManageEngine در محتوای رسمی Shadow AI خود اعلام می‌کند Endpoint DLP Plus می‌تواند Upload و Copy/Paste داده حساس یا PII به سرویس‌های GenAI از جمله ChatGPT، Gemini و Claude را محدود کند. جزئیات دقیق Policy و پشتیبانی از Channelها باید با Build فعلی محصول و Scope سازمان بررسی شود.

این نکته مهم است: DLP نباید براساس نام برند طراحی شود. امروز سه سرویس محبوب‌اند و فردا ده سرویس جدید ظاهر می‌شوند. Policy پایدار باید روی Data Sensitivity + Destination Trust + User Context بنا شود.

آیا استفاده از حساب شخصی AI باید ممنوع شود؟

برای داده سازمانی، معمولاً Account Ownership یک کنترل مهم است. Verizon در DBIR 2026 گزارش کرده ۶۷ درصد کاربران از حساب‌های غیرسازمانی برای دسترسی به AI روی دستگاه‌های شرکتی استفاده کرده‌اند.

اگر سازمان AI Enterprise دارد، منطقی است استفاده از Account سازمانی برای Use Caseهای کاری اجباری شود. اما این Policy باید با کنترل Browser، SSO و DLP پشتیبانی شود؛ صرف نوشتن یک بند در آیین‌نامه کافی نیست.

لایسنس Endpoint DLP Plus چطور محاسبه می‌شود؟

صفحه عمومی فعلی ManageEngine، Professional Edition را با مدل Endpoint-based نمایش می‌دهد و در زمان نگارش این مقاله قیمت عمومی آن از ۷۹۵ دلار برای ۱۰۰ Endpoint در سال شروع می‌شود. قیمت واقعی می‌تواند براساس Region، تعداد Endpoint، قرارداد، Partner و شرایط خرید متفاوت باشد؛ بنابراین این عدد فقط مرجع عمومی Vendor است، نه Quote نهایی.

برای برآورد تعداد Endpoint، Edition و هزینه خرید یا تمدید، می‌توانید از صفحه استعلام قیمت و لایسنس محصولات ManageEngine مدانت استفاده کنید. مدانت خدمات لایسنس، مشاوره، استقرار، آموزش و پشتیبانی برای راهکارهای ManageEngine ارائه می‌کند.

Endpoint DLP Plus را بدون Pilot سراسری نکنید

DLP یکی از کنترل‌هایی است که اگر بدون شناخت Workflow کاربران اجرا شود، سریعاً باعث نارضایتی می‌شود. یک Rule اشتباه می‌تواند Upload قانونی، Clipboard لازم یا Print موردنیاز یک فرآیند کاری را Block کند.

قبل از Rollout گسترده:

  • یک Pilot Group نماینده از چند Department انتخاب کنید.
  • حداقل یک بازه Monitor-only داشته باشید.
  • False Positiveها را ثبت کنید.
  • Business Owner را در تصمیم Ruleها وارد کنید.
  • Exception زمان‌دار تعریف کنید.
  • پیام User Notification را شفاف بنویسید.
  • برای High-risk Violation مسیر Incident داشته باشید.

این مرحله تفاوت بین «DLP نصب‌شده» و «DLP قابل‌استفاده» است.

Checklist اجرایی برای کنترل Shadow AI

  • فهرست سرویس‌های AI مورد استفاده کارکنان را بسازید.
  • ابزارهای Approved، Conditional و Blocked را مشخص کنید.
  • Data Classification حداقلی برای PII، Source Code، Finance و Confidential تعریف کنید.
  • Account سازمانی را برای AIهای تأییدشده الزامی کنید.
  • Web Upload، Clipboard، Email، USB و Print را در یک Policy واحد نبینید؛ هرکدام Context خود را دارند.
  • Endpoint DLP را ابتدا Monitor و سپس مرحله‌ای Enforce کنید.
  • Ruleها را براساس AD/Entra Group و Department هدفمند کنید.
  • برای AI Use Caseهای مجاز مسیر جایگزین رسمی ارائه دهید.
  • Violationهای High Risk را وارد Incident Workflow کنید.
  • KPIهای Repeat Violation و False Positive را ماهانه بررسی کنید.

سخن پایانی

Shadow AI مسئله «کارمندانی که از فناوری جدید استفاده می‌کنند» نیست؛ مسئله اصلی این است که سازمان کنترل و Visibility روی داده‌ای که وارد این ابزارها می‌شود از دست ندهد.

داده Verizon 2026 نشان می‌دهد استفاده منظم از AI روی دستگاه‌های سازمانی از ۱۵ درصد به ۴۵ درصد رسیده و Shadow AI با سرعت زیادی وارد Datasetهای واقعی DLP شده است. این روند با یک Policy ساده متوقف نمی‌شود.

مدل عملی‌تر این است که سازمان AI را به سرویس مجاز و غیرمجاز تقسیم کند، داده حساس را Classify کند و سپس حرکت آن را در Endpoint، Browser، Clipboard و Web Upload کنترل کند. Endpoint DLP Plus برای همین لایه Enforcement طراحی شده و می‌تواند کمک کند GenAI به ابزار بهره‌وری تبدیل شود بدون اینکه Data Boundary سازمان ناپدید شود.

اگر می‌خواهید برای تعداد Endpoint، نوع داده، Scope کاربران و سیاست‌های AI سازمانتان معماری مناسب Endpoint DLP Plus را طراحی کنید، از درخواست دمو و مشاوره تخصصی مدانت استفاده کنید. برای خرید، تمدید یا برآورد لایسنس نیز صفحه لایسنس ManageEngine در دسترس است.

منابع

مطالب مرتبط جهت افزایش سطح دانش شما:

دیدگاه شما

دیدگاه مرتبط و محترمانه بنویسید.