Shadow AI और एजेंट इन्वेंट्री
आपकी कंपनी में लोग पहले से ही ऐसे AI टूल्स और एजेंट्स का इस्तेमाल कर रहे हैं जिन्हें आपने कभी मंज़ूरी नहीं दी। आप उस चीज़ को सुरक्षित नहीं कर सकते जिसे आप देख नहीं सकते, इसलिए पहला काम है उन्हें ढूंढना और लिख लेना।
60 सेकंड में
Shadow AI और एजेंट इन्वेंट्री
आपकी कंपनी में लोग पहले से ही ऐसे AI टूल्स और एजेंट्स का इस्तेमाल कर रहे हैं जिन्हें आपने कभी मंज़ूरी नहीं दी। आप उस चीज़ को सुरक्षित नहीं कर सकते जिसे आप देख नहीं सकते, इसलिए…
कहाँ देखें
| सोर्स | यह क्या बता सकता है | सीमाएं |
|---|---|---|
| Single sign-on (SSO) लॉग्स | लोग अपने वर्क अकाउंट से किन AI ऐप्स में साइन इन करते हैं | पर्सनल अकाउंट से इस्तेमाल किए जाने वाले टूल्स छूट जाते हैं |
| OAuth ऐप ग्रांट्स | थर्ड-पार्टी ऐप्स और एजेंट्स जिन्हें मेल, कैलेंडर, फ़ाइलों या कोड का एक्सेस दिया गया है | यह केवल एक्सेस की अनुमति दिखाता है, डेटा का इस्तेमाल कैसे हो रहा है यह नहीं |
| वेब प्रॉक्सी, DNS और CASB लॉग्स | कंपनी के डिवाइसेस और नेटवर्क से AI सर्विसेज़ की तरफ जाने वाला ट्रैफ़िक | पर्सनल फ़ोन्स और होम नेटवर्क छूट जाते हैं |
| खर्चों की रिपोर्ट और कार्ड स्टेटमेंट | टीमों या कर्मचारियों द्वारा खरीदे गए पेड AI सब्सक्रिप्शन | मुफ़्त वाले टूल्स छूट जाते हैं |
| कोड और पैकेज स्कैन | रिपॉजिटरीज़ के अंदर मौजूद AI SDKs, API keys और एजेंट फ़्रेमवर्क्स | सिर्फ़ वही कोड शामिल होता है जिसे आप स्कैन कर सकते हैं |
| एंडपॉइंट और ब्राउज़र-एक्सटेंशन इन्वेंट्री | डेस्कटॉप एजेंट्स, लोकल MCP सर्वर्स, AI ब्राउज़र एक्सटेंशन | इसके लिए डिवाइस मैनेजमेंट लागू होना ज़रूरी है |
| सीधे लोगों से पूछना | वे टूल का इस्तेमाल क्यों करते हैं और यह किस समस्या को हल करता है | लोग भूल जाते हैं या कम बताते हैं |
इन्वेंट्री की एक पंक्ति में क्या-क्या होना चाहिए
name | meeting-notes-bot
owner | Priya S., Sales Operations (named person, not a team alias)
purpose | Joins sales calls, writes summaries into the CRM
data | Call audio, customer names, deal values (confidential)
tools | calendar.read, crm.notes.write
identity | Its own service identity; acts on behalf of the meeting host
vendor/model| External SaaS vendor; model provider listed in contract
where data goes | Vendor cloud region (check contract)
approved? | Yes, risk tier: medium, review due: next quarter
name | "free PDF summariser" browser extension
owner | Unknown (found in browser-extension scan)
data | Anything open in the browser
tools | Reads all pages, sends text to an unknown server
approved? | No -> contact users, offer approved alternative, then removeबैन लगाने से बेहतर है मंज़ूरशुदा विकल्प देना
- "सभी AI टूल्स ब्लॉक कर दिए गए हैं" वाला ईमेल
- कर्मचारी पर्सनल फ़ोन्स और अकाउंट्स पर काम करने लगते हैं
- इस्तेमाल जारी रहता है, पर अब यह पूरी तरह छिप जाता है
- सिक्योरिटी टीम को किसी लीक के बाद ही इसका पता चलता है
- कंपनी के कॉन्ट्रैक्ट और डेटा कंट्रोल्स के साथ एक मंज़ूरशुदा असिस्टेंट
- नए टूल्स के लिए एक आसान रिक्वेस्ट फ़ॉर्म, जिसका जवाब महीनों में नहीं, कुछ ही दिनों में मिले
- साफ़ नियम: कौन-सा डेटा कहाँ जा सकता है
- सिर्फ़ उन्हीं टूल्स को ब्लॉक करना जो साफ़ तौर पर असुरक्षित हैं, और साथ में वजह बताना
- 1
खोजें (Discover)
SSO, OAuth, प्रॉक्सी और खर्चों का डेटा निकालें। मिलने वाले हर AI टूल और एजेंट की लिस्ट बनाएं। - 2
परखें (Triage)
हर एक के लिए देखें: कौन-सा डेटा है, क्या एक्सेस है, कौन इस्तेमाल करता है। जोखिम के हिसाब से छाँटें। - 3
फैसला लें (Decide)
मंज़ूर करें, शर्तों के साथ मंज़ूर करें, किसी मंज़ूरशुदा टूल से बदलें, या हटा दें। - 4
दर्ज करें (Register)
हर मंज़ूरशुदा एजेंट को इन्वेंट्री में एक ओनर, एक मकसद और रिव्यू की तारीख दी जाती है। - 5
दोहराएं (Repeat)
Shadow AI फिर से आ जाता है। टूल्स खोजने की यह प्रक्रिया सिर्फ़ एक बार नहीं, तय समय पर बार-बार चलाएं।
और देखें और पढ़ें
लैब
कम से कम पाँच पंक्तियों वाली पहली एजेंट इन्वेंट्री शीट, जिसमें हर एक के लिए एक फैसला हो।
समस्या
अपनी टीम या किसी काल्पनिक कंपनी के लिए एक एजेंट इन्वेंट्री बनाएं। ऐसे असली टूल्स का इस्तेमाल करें जिनके बारे में आप जानते हैं कि लोग उन्हें इस्तेमाल करते हैं, लेकिन कोई भी सीक्रेट या पर्सनल डेटा शामिल न करें।
- शुरुआती कॉलमों को किसी स्प्रेडशीट में कॉपी करें।
- कम से कम पाँच AI टूल्स या एजेंट्स जोड़ें। कम से कम एक ऐसा टूल शामिल करें जिसे आप "Shadow AI" कहेंगे।
- हर एक के लिए डेटा, टूल्स/परमिशन और एक नामज़द ओनर भरें (प्रैक्टिस शीट में कोई पद या रोल लिखना भी ठीक है)।
- हर एक के लिए फैसला लिखें: मंज़ूर करें, शर्तों के साथ मंज़ूर करें, बदलें, या हटाएं। वजह बताते हुए एक लाइन लिखें।
- लिखें कि कौन-सा खोज स्रोत (SSO, OAuth ग्रांट्स, प्रॉक्सी, खर्चे, लोगों से पूछना) इनमें से हर एक को ढूंढ पाता।
name,owner,purpose,data_it_touches,tools_and_permissions,acts_as,reads_untrusted_content,vendor_and_region,decision,reason,review_date,found_via
meeting-notes-bot,Sales Ops lead,Call summaries into CRM,customer names; deal values,calendar.read; crm.notes.write,own identity on behalf of host,yes (call audio),SaaS vendor; check contract,approve with conditions,needs data retention limit,next quarter,OAuth grants
आपका काम तब पूरा होगा जब
कठिन सवाल
उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।
Q1एक टीम कहती है, "हम सिर्फ़ मुफ़्त वाला वर्शन इस्तेमाल करते हैं, इसलिए कोई कॉन्ट्रैक्ट नहीं है और कोई जोखिम भी नहीं है।" आप क्या जवाब देंगे?दिखाएं
कॉन्ट्रैक्ट न होने का मतलब अक्सर ज़्यादा जोखिम होता है, कम नहीं: इस बात का कोई वादा नहीं होता कि डेटा कितने समय तक रखा जाता है, क्या उसका इस्तेमाल ट्रेनिंग के लिए होता है, या वह कहाँ स्टोर किया जाता है। जोखिम कीमत पर नहीं, बल्कि शामिल डेटा और एक्सेस पर निर्भर करता है। इसे दर्ज करें, टूल की शर्तें जांचें, और अगर कंपनी का डेटा जा रहा है तो एक मंज़ूरशुदा विकल्प दें।
Q2एजेंट इन्वेंट्री में "अविश्वसनीय सामग्री पढ़ता है" एक उपयोगी कॉलम क्यों है?दिखाएं
क्योंकि यह आपको बताता है कि क्या कोई बाहरी व्यक्ति एजेंट के सामने शब्द रख सकता है: ईमेल, वेब पेज, टिकट्स, शेयर किए गए दस्तावेज़। प्राइवेट डेटा और चीज़ों को बाहर भेजने के रास्ते के साथ मिलकर, यह जानलेवा तिकड़ी बन जाता है। यह कॉलम आपको उन एजेंट्स को तेज़ी से पहचानने में मदद करता है जिन्हें सख्त टूल्स, मंज़ूरियों और निगरानी की सबसे ज़्यादा ज़रूरत होती है।
अक्सर पूछे जाने वाले सवाल
क्या Shadow AI हमेशा सिक्योरिटी की समस्या होता है?
हमेशा नहीं। कई टूल्स उस डेटा के हिसाब से हानिरहित होते हैं जिसके लिए लोग उन्हें इस्तेमाल करते हैं। समस्या यह है कि कंपनी को इसकी जानकारी नहीं होती। एक बार जब कोई टूल किसी ओनर और डेटा नियम के साथ इन्वेंट्री में आ जाता है, तो वह Shadow AI नहीं रहता, चाहे आप उसे मंज़ूरी दें या न दें।
पर्सनल फ़ोन्स और होम नेटवर्क के बारे में क्या?
तकनीकी खोज कभी भी सब कुछ नहीं देख पाएगी। इसीलिए मंज़ूरशुदा विकल्प और साफ़ नियम मायने रखते हैं: जिन लोगों के पास एक अच्छा मंज़ूरशुदा टूल होता है, उनके पास किसी अनजान टूल का इस्तेमाल करने की कम वजह होती है। सर्वे और आम बातचीत से बची हुई कमियां पूरी हो जाती हैं।
इन्वेंट्री में किसी एजेंट का ओनर किसे होना चाहिए?
उसका इस्तेमाल करने वाली बिज़नेस टीम का कोई नामज़द व्यक्ति, सिर्फ़ IT या सिक्योरिटी टीम नहीं। उन्हें पता होता है कि वह टूल किस काम के लिए है और वे रिव्यू के समय इस सवाल का जवाब दे सकते हैं कि "क्या हमें अभी भी इसकी ज़रूरत है?" सिक्योरिटी टीम पूरी प्रक्रिया की ज़िम्मेदार होती है, हर एजेंट की नहीं।
एजेंट इन्वेंट्री आम सॉफ़्टवेयर इन्वेंट्री से कैसे अलग है?
यह उन चीज़ों को जोड़ती है जो किसी एजेंट का ब्लास्ट रेडियस (नुकसान का दायरा) तय करती हैं: उसके पास कौन-से टूल्स हैं, वह किस डेटा तक पहुँच सकता है, वह किसकी पहचान के साथ काम करता है, और क्या वह अविश्वसनीय सामग्री पढ़ता है। एक आम सॉफ़्टवेयर लिस्ट आमतौर पर नाम, वर्शन और लाइसेंस पर ही खत्म हो जाती है।
पाठ का टेस्ट
5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।