ماسکگذاری داده‌ها؛ راهکاری حیاتی برای حفاظت از اطلاعات حساس در عصر هوش مصنوعی

فعالان حوزه امنیت سایبری علاقه فراوانی به استفاده از استعاره‌ها و تمثیل‌ها دارند. با فرا رسیدن ماه اکتبر و جشن هالووین، فضای این صنعت پر از گفتگو درباره کابوس‌های امنیتی، هیولاهای سایبری و تهدیدهای کمینکرده در تاریکی می‌شود. با این حال، در میان تمام تشبیه‌های رایج، تمثیلی وجود دارد که کمتر شنیده می‌شود اما در حوزه امنیت داده‌ها، شاید کاربردیترین و گویاترین تصویر باشد: نقاب یا ماسک.

یک نقاب چیزی را که زیر آن پنهان شده از بین نمی‌برد؛ بلکه فقط مانع از آن می‌شود که هویت واقعی فرد برای همه آشکار شود. این دقیقاً همان هدفی است که در حفاظت از داده‌های حساس دنبال می‌شود. به باور کارشناسان امنیت سایبری در شرکت Thales، توسعه‌دهندگان برای آزمایش برنامه‌ها، تحلیلگران برای کشف الگوها و ابزارها و عامل‌های هوش مصنوعی برای انجام وظایف سازمانی به داده نیاز دارند؛ اما نیاز به استفاده از این داده‌ها لزوماً بهمعنای نیاز به مشاهده تکتک مقادیر حساس و واقعی موجود در آنها نیست.

اینجا دقیقاً همان نقطه‌ای است که «ماسکگذاری داده‌ها» (Data Masking) وارد میدان می‌شود. سازمان‌ها با جایگزین کردن اطلاعات حساس با مقادیری باورپذیر اما غیرقابل سوءاستفاده، می‌توانند کاربرد عملی داده‌ها را حفظ کنند بدون آنکه اطلاعات اصلی بیهوده در معرض دید قرار گیرند. با توجه به اینکه هوش مصنوعی مسیرهای انتقال داده، دایره دسترسی افراد و سیستم‌های تصمیم‌گیرنده را به‌طور چشمگیری گسترش داده، این تمایز اکنون اهمیتی دوچندان یافته است.

نقابی با یک هدف جدی و امنیتی

ماسکگذاری داده‌ها در ماهیت خود، اطلاعات محرمانه را با مقادیری واقعگرایانه اما غیرواقعی جایگزین می‌کند. مجموعه‌داده بهدستآمده همچنان ویژگی‌های ضروری برای توسعه، آزمایش، تحلیل‌های آماری و سایر فرایندهای تجاری را حفظ می‌کند، بیآنکه اطلاعات حساس اصلی را فاش سازد. این سازوکار درست مانند یک لباس هالووین با هدفی امنیتی عمل می‌کند؛ داده‌ها بدون افشای هویت واقعی خود همچنان می‌توانند در مهمانی حاضر شوند و نقش خود را ایفا کنند.

این تفاوت از آن جهت اهمیت دارد که حفاظت از داده‌ها نباید بهمعنای مسدود کردن دسترسی و ممانعت از استفاده از آنها باشد. کسبوکارهای مدرن برای تحلیل، آزمایش و به‌ویژه آموزش و متصل کردن سیستم‌های هوش مصنوعی به اطلاعات شرکتی، نیازمند دسترسی به داده‌ها هستند. در نتیجه، پرسش اساسی باید این باشد: آیا این فرد، نرم‌افزار یا سیستم هوش مصنوعی برای انجام وظیفه محوله، واقعاً به مقدار اصلی و حساس داده نیاز دارد؟

برای نمونه، برنامه‌نویسی که در حال آزمایش یک نرم‌افزار است، به نمونه‌ای معتبر از داده‌های مشتریان نیاز دارد، نه لزوماً هویت واقعی و مشخصات فردی آنها. هم‌چنین در پردازش‌های تحلیلی، حفظ روابط و الگوهای رفتاری داده‌ها اهمیت دارد، بدون آنکه نیازی به نمایش شماره حساب‌ها یا کد ملی افراد باشد. زمانی که دسترسی به مقادیر واقعی ضرورت نداشته باشد، به نمایش گذاشتن آنها صرفاً خطرات امنیتی را افزایش می‌دهد بدون آنکه ارزشافزودهای برای کسبوکار ایجاد کند.

تکنیک ماسکگذاری این خطرات غیرضروری را برطرف می‌سازد. سازمان‌ها متناسب با سناریوی کاربردی خود می‌توانند از روش‌های دیگری مانند توکنسازی (Tokenization) و رمزنگاری (Encryption) نیز بهره ببرند. اصل اساسی این است که سازوکار حفاظتی با نحوه مصرف اطلاعات هماهنگ شود، نه اینکه به‌صورت پیش‌فرض داده‌های خام و حساس در دسترس همگان قرار گیرند.

نمیتوان دادهای را که کشف نشده ماسکگذاری کرد

در این میان یک چالش اساسی وجود دارد: پیش از تصمیم‌گیری درباره اینکه چه داده‌هایی باید ماسکگذاری شوند، سازمان‌ها باید دقیقاً بدانند اطلاعات حساسشان در کجا قرار دارد. با این حال، شناسایی محل دقیق داده‌ها همچنان چالشی شگفتآور و دشوار است.

یافته‌های گزارش تهدیدات داده سال ۲۰۲۶ شرکت Thales نشان می‌دهد که تنها ۳۴ درصد از سازمان‌های موردمطالعه، آگاهی کاملی از محل ذخیره‌سازی داده‌های خود داشته‌اند. هم‌چنین فقط ۳۹ درصد از آنها اعلام کرده‌اند که توانایی دسته‌بندی تمام اطلاعات سازمانی را دارند. این در حالی است که هر سازمان به‌طور میانگین از ۷ ابزار مختلف برای حفاظت و پایش داده‌ها استفاده می‌کند.

گسترش زیرساخت‌های ابری این بحران را پیچیده‌تر کرده است. اطلاعات سازمان‌ها ممکن است در دریاچه‌های داده (Data Lakes)، پلتفرم‌های ابری SaaS، محیط‌های توسعه نرم‌افزار و فایل‌های پشتیبان کپی شوند. اسناد بدون ساختار نیز حاوی داده‌های حساسی هستند که شاید هیچکس از وجودشان مطلع نباشد؛ علاوه بر این، برنامه‌هایی که سال‌ها پس از جمعآوری داده‌ها ساخته شده‌اند، ممکن است ناگهان به این منابع دسترسی پیدا کنند. هوش مصنوعی پیامدهای این عدمشفافیت را بسیار عمیق‌تر می‌کند، چراکه مدل‌های هوش مصنوعی دقیقاً در جستجو و استخراج اطلاعات مهارت فوقالعادهای دارند.

در چنین شرایطی، راهکارهای «مدیریت وضعیت امنیت داده‌ها» یا DSPM اهمیتی راهبردی پیدا می‌کنند. رویکرد DSPM به‌جای آنکه امنیت داده را صرفاً دفاع از زیرساخت‌ها بداند، تمرکز خود را مستقیماً بر خودِ داده قرار می‌دهد: شناسایی و دسته‌بندی اطلاعات حساس، آگاهی از محل قرارگیری آنها، تعیین اشخاص یا سرویس‌های مجاز به دسترسی، بررسی نحوه استفاده از اطلاعات و ارزیابی کفایت لایه‌های حفاظتی. هنگامی که سازمان داده‌های حساس در معرض خطر را شناسایی کند، می‌تواند تصمیم بگیرد که آیا دسترسی‌ها باید لغو، محدود یا به کمک ابزارهایی مانند ماسکگذاری، توکنسازی و رمزنگاری محافظت شوند.

داده‌های هوش مصنوعی؛ فرصت کاربردی یا تله امنیتی؟

این ملاحظات با عبور کسبوکارها از مرحله آزمون و خطای اولیه با هوش مصنوعی مولد و حرکت بهسوی استقرار عمیق آن در عملیات روزمره، به‌شدت حیاتی می‌شوند. ابزارهای هوش مصنوعی تشنه داده هستند و عامل‌های هوشمند (AI Agents) حتی به مقادیر بسیار بیشتری از اطلاعات نیاز دارند؛ زیرا این سیستم‌ها صرفاً برای تولید متن یا محتوا ساخته نشده‌اند، بلکه برای بازیابی اطلاعات، تصمیم‌گیری و انجام اقدامات مستقل در پلتفرم‌های گوناگون طراحی شده‌اند.

تبعات امنیتی این تحول بهوضوح نمایان شده است. بر اساس پژوهش‌های اخیر، ۶۱ درصد از سازمان‌ها گزارش داده‌اند که برنامه‌های هوش مصنوعی آنها هدف حمله مهاجمان سایبری قرار گرفته و سرقت داده‌های حساس، نخستین انگیزه این حملات بوده است. هم‌چنین تغییرات سریع در اکوسیستم هوش مصنوعی به‌عنوان شایعترین ریسک امنیتی از سوی مدیران مطرح شده است. با این حال، پرسش کلیدی صرفاً این نیست که آیا میتوان هوش مصنوعی را امن کرد یا خیر؛ بلکه مدیران باید پرسش بنیادینتری مطرح کنند:

اساساً به هوش مصنوعی اجازه مشاهده چه داده‌هایی را می‌دهیم؟

اعطای دسترسی به یک پایگاه داده به برنامه‌ای مبتنی بر هوش مصنوعی، نباید بهمعنای دسترسی خودکار به تمامی مقادیر خام و حساس آن باشد. همان «اصل حداقل دسترسی» (Least Privilege) که برای کاربران انسانی به کار می‌رود، باید درباره داده‌ها نیز اجرا شود: تنها اطلاعاتی که برای انجام کار ضروری است به اشتراک گذاشته شوند و مابقی تحت حفاظت کامل بمانند.

این رویکرد می‌تواند بهمعنای ماسکگذاری اطلاعات شخصی پیش از ورود به محیط‌های توسعه و آزمایش باشد. هم‌چنین می‌تواند شامل توکنسازی مقادیر بسیار حساسِ مورد استفاده یک برنامه یا رمزنگاری اطلاعات و کنترل دقیق هویت کلیدهای رمزگشایی باشد. در شرایط حساس حتی ضروری است که دسترسی سیستم هوش مصنوعی به یک مجموعه‌داده به‌طور کامل مسدود شود.

امنیت هوش مصنوعی را بیش از حد پیچیده نکنید

امروزه گرایشی شکل گرفته که امنیت هوش مصنوعی را شاخ‌های کاملاً نوظهور می‌داند که نیازمند راهحل‌های یکسره تازه است. بیتردید برخی مخاطرات تازه هستند، اما اثربخشترین اقدامی که سازمان‌ها می‌توانند انجام دهند، بهکارگیری اصول اثباتشده امنیت داده در این بستر جدید است.

محل ذخیره داده‌های حساس را بشناسید، زمینه استفاده از آنها را درک کنید، دسترسی‌های غیرضروری را به حداقل برسانید، از مقادیر اصلی بر اساس نیازهای واقعی حفاظت کنید و با تغییر مداوم برنامه‌ها و سیستم‌های هوش مصنوعی، این تصمیمات را مرتباً بازبینی نمایید. هوش مصنوعی ارزش استخراجشده از داده‌ها را به‌طور شگفتانگیزی افزایش می‌دهد، اما این موضوع بدینمعنا نیست که هر سامانه‌ای برای استخراج این ارزش، باید تمام لایه‌های زیرین و محرمانه اطلاعات را به چشم ببیند.

هالووین تنها یکبار در سال فرا می‌رسد، اما برای داده‌های حساس سازمانی، داشتن نقابی کارآمد و مطمئن در تمام طول سال، به ضرورتی غیرقابل چشمپوشی تبدیل شده است.