शैडो एआई और ब्राउज़र सुरक्षा: कर्मचारियों द्वारा एआई टूल का उपयोग करते समय डेटा की सुरक्षा

आपकी मार्केटिंग टीम ने अभी-अभी पता लगाया है कि 40% कर्मचारी नियमित कार्य समय के दौरान अनधिकृत AI टूल्स में ग्राहक डेटा पेस्ट कर रहे हैं—वही ब्राउज़र जिसका उपयोग वे स्वीकृत SaaS ऐप्स के लिए करते हैं। इसमें किसी मैलवेयर का इस्तेमाल नहीं हुआ। सुरक्षा घेरा नहीं तोड़ा गया। एक विश्लेषक ने Salesforce ग्राहक सूची की प्रतिलिपि बनाई, उसे सेगमेंटेशन के लिए सुझाव प्राप्त करने हेतु एक सार्वजनिक चैटबॉट में पेस्ट किया, आउटपुट डाउनलोड किया और फ़ाइल को अपने व्यक्तिगत क्लाउड स्टोरेज में सिंक कर लिया। ब्राउज़र ही कार्यक्षेत्र, प्रवेश द्वार और डेटा लीक का माध्यम—सब एक साथ था।

शैडो एआई—आईटी की निगरानी या नियंत्रण के बिना एआई उपकरणों का अनधिकृत उपयोग—सीआईएसओ के सामने आने वाली सबसे गंभीर डेटा सुरक्षा समस्याओं में से एक बन गया है, और यह सब ब्राउज़र के माध्यम से होता है।

शैडो एआई परिदृश्य जिससे हर सीआईएसओ को डरना चाहिए

यहां बताया गया है कि एक सामान्य शैडो एआई घटना कैसी दिखती है—और पुराने नियंत्रणों के साथ इसे पकड़ना इतना मुश्किल क्यों है।

एक मध्यम आकार की फिनटेक कंपनी में कार्यरत एक प्रोडक्ट मैनेजर, कंपनी के सीआरएम से ग्राहक शिकायत डेटा कॉपी करता है, एक नया ब्राउज़र टैब खोलता है और तिमाही समीक्षा के लिए ट्रेंड विश्लेषण तैयार करने हेतु इसे एक निःशुल्क एआई चैटबॉट में पेस्ट करता है। चैटबॉट की सेवा शर्तों के अनुसार, प्रदाता मॉडल प्रशिक्षण के लिए इनपुट का उपयोग कर सकता है। डेटा में नाम, खाता संख्या और लेनदेन विवरण शामिल हैं। प्रोडक्ट मैनेजर एआई द्वारा तैयार सारांश डाउनलोड करता है, इसे तीन सहकर्मियों को ईमेल करता है और इसकी एक प्रति अपने व्यक्तिगत गूगल ड्राइव फ़ोल्डर में सहेजता है।

कोई फ़ायरवॉल सक्रिय नहीं हुआ। किसी एंडपॉइंट एजेंट ने पेस्ट को चिह्नित नहीं किया। ईमेल अटैचमेंट पर नज़र रखने वाली DLP नीति ब्राउज़र आधारित क्लिपबोर्ड गतिविधियों की जाँच नहीं करती है। CASB को Google ड्राइव सिंक दिखाई देता है, लेकिन उसे यह जानकारी नहीं है कि दस मिनट पहले चैटबॉट टैब में क्या पेस्ट किया गया था।

यह कोई काल्पनिक बात नहीं है। मेनलो सिक्योरिटी की 2025 की रिपोर्ट में पाया गया कि एक ही महीने में GenAI टूल्स में 155,005 कॉपी और 313,120 पेस्ट करने के प्रयास दर्ज किए गए, जिससे पता चलता है कि कर्मचारी नियमित रूप से ब्राउज़र क्लिपबोर्ड के माध्यम से संवेदनशील डेटा को AI टूल्स में स्थानांतरित करते हैं। मार्च-मई 2025 में 302 साइबर सुरक्षा विशेषज्ञों के गार्टनर सर्वेक्षण से पता चला कि 69% संगठनों को संदेह है या उनके पास इस बात के सबूत हैं कि कर्मचारी प्रतिबंधित सार्वजनिक GenAI टूल्स का उपयोग कर रहे हैं।

ब्राउज़र वह जगह है जहाँ से डेटा निकलता है, इसलिए ब्राउज़र ही वह जगह है जहाँ आपको नियंत्रण लागू करना होगा।

शैडो एआई के खिलाफ पुराने सुरक्षा दृष्टिकोण क्यों विफल होते हैं?

परंपरागत सुरक्षा प्रणालियाँ डेटाबेस में संग्रहीत डेटा, सर्वरों के बीच स्थानांतरित डेटा और प्रबंधित एंडपॉइंट्स के माध्यम से एक्सेस किए गए डेटा की सुरक्षा के लिए बनाई गई थीं। शैडो एआई इन सभी मान्यताओं को तोड़ देता है।

परिधि आधारित वेब फ़िल्टरिंग डोमेन को देखती है, डेटा को नहीं। एक पुरानी प्रणाली secure web gateway हम URL श्रेणी के आधार पर chat.openai.com को ब्लॉक कर सकते हैं, लेकिन कर्मचारी आसानी से एंटरप्राइज़ वातावरण में मौजूद 6,500 से अधिक GenAI डोमेन और 3,000 ऐप्स में से किसी एक पर स्विच कर जाते हैं (मेनलो सिक्योरिटी, 2025)। एक डोमेन को ब्लॉक करना एक तरह से 'व्हैक ए मोल' गेम खेलने जैसा है। सभी डोमेन को ब्लॉक करने से उत्पादकता बुरी तरह प्रभावित होती है और उपयोगकर्ता अपने निजी उपकरणों का उपयोग करने के लिए मजबूर हो जाते हैं।

एंडपॉइंट डीएलपी फाइलों पर नजर रखता है, क्लिपबोर्ड की गतिविधियों पर नहीं। जब कोई सेल्स इंजीनियर किसी स्वीकृत सीआरएम से पाइपलाइन स्प्रेडशीट की कॉपी बनाता है और उसकी सामग्री को ब्राउज़र आधारित एआई टूल में पेस्ट करता है, तो फाइल सेव, यूएसबी राइट और ईमेल अटैचमेंट की निगरानी करने वाला एंडपॉइंट डीएलपी कुछ भी नहीं देख पाता—क्योंकि कोई फाइल बनाई ही नहीं गई। डेटा ब्राउज़र के टेक्स्ट फील्ड से बाहर निकला, एक ऐसा तरीका जिसकी जांच अधिकांश पुराने डीएलपी एजेंट नहीं करते।

इनलाइन प्रॉक्सी कवरेज के बिना CASB में कुछ कमियां रह जाती हैं। API आधारित CASB Salesforce या Microsoft 365 जैसे स्वीकृत SaaS ऐप्स में गतिविधि का ऑडिट कर सकता है, लेकिन यह उस फ्री-टियर चैटबॉट को नहीं देख पाता जिसे कर्मचारी ब्राउज़र टैब के माध्यम से एक्सेस करता है। फॉरवर्ड प्रॉक्सी या इनलाइन निरीक्षण के बिना, शैडो AI सेशन अदृश्य रहता है।

केवल प्रशिक्षण देने से अनुपालन का दिखावा ही होता है। जो संगठन केवल जागरूकता प्रशिक्षण, चेतावनी ईमेल या लिखित नीतियों पर निर्भर रहते हैं, वे डेटा लीक को रोकने में लगातार विफल रहते हैं—क्योंकि नीति को लागू करने के लिए कोई तकनीकी साधन मौजूद नहीं होते। आईबीएम के 2025 के डेटा ब्रीच से यह कमी स्पष्ट होती है: एआई से संबंधित ब्रीच की रिपोर्ट करने वाले 97% संगठनों में एआई एक्सेस कंट्रोल का उचित अभाव था।

इन सभी असफल प्रयासों में एक समान बात यह है कि इनमें कर्मचारियों द्वारा एआई टूल्स को वास्तविक समय में भेजे जा रहे डेटा की ब्राउज़र स्तर पर प्रत्यक्ष दृश्यता का अभाव है।

क्या बदला: ब्राउज़र ही एंटरप्राइज़ वर्कस्पेस बन गया

तीन बदलावों के एक साथ आने से ब्राउज़र डेटा सुरक्षा के लिए नई अग्रिम पंक्ति बन गया है।

पहला बदलाव: AI उपकरण ब्राउज़र-आधारित हैं। ChatGPT, Claude, Gemini और दर्जनों अन्य AI उपकरण पूरी तरह से ब्राउज़र में चलते हैं। पारंपरिक SaaS ऐप्स के विपरीत, जिनमें SSO एकीकरण और प्रोविज़निंग की आवश्यकता होती है, अधिकांश AI चैटबॉट के लिए केवल एक निःशुल्क ईमेल साइनअप की आवश्यकता होती है—या फिर किसी खाते की आवश्यकता ही नहीं होती। एक HR विश्लेषक कर्मचारी प्रदर्शन समीक्षाओं को चैटबॉट में पेस्ट कर सकता है और कुछ ही सेकंड में सारांश प्राप्त कर सकता है, यह सब एक प्रबंधित लैपटॉप पर एक मानक क्रोम सत्र के भीतर ही संभव है।

शिफ्ट 2: डेटा का स्थानांतरण कॉपी-पेस्ट है, न कि फ़ाइल ट्रांसफर। आईबीएम के शैडो एआई सर्वेक्षण (फरवरी 2026) के अनुसार, 80% अमेरिकी कार्यालय कर्मचारी अपने कार्यों में एआई का उपयोग करते हैं, फिर भी केवल 22% ही नियोक्ता द्वारा प्रदान किए गए उपकरणों पर पूरी तरह निर्भर हैं। बाकी लोग व्यक्तिगत खातों, निःशुल्क सेवाओं और ब्राउज़र एक्सटेंशन का उपयोग कर रहे हैं। डेटा क्लिपबोर्ड प्रक्रियाओं - कॉपी, पेस्ट, ड्रैग एंड ड्रॉप - के माध्यम से स्थानांतरित होता है, जो फ़ाइल-केंद्रित डेटा सुरक्षा निगरानी (डीएलपी) को पूरी तरह से दरकिनार कर देता है।

तीसरा चरण: अनियंत्रित डिवाइस और ठेकेदार की पहुंच से जोखिम बढ़ जाता है। एक ठेकेदार अपने निजी लैपटॉप से ​​रिवर्स प्रॉक्सी के ज़रिए Salesforce एक्सेस करके ग्राहक रिकॉर्ड कॉपी कर सकता है, किसी सार्वजनिक AI टूल में नया टैब खोल सकता है और डेटा पेस्ट कर सकता है—यह सब एक ही ब्राउज़र सेशन में हो सकता है। जांच के लिए कोई एंडपॉइंट एजेंट नहीं है, लागू करने के लिए कोई MDM प्रोफ़ाइल नहीं है, और अगर वे घर के वाई-फ़ाई कनेक्शन पर हैं तो नेटवर्क स्तर पर कोई नियंत्रण नहीं है। ब्राउज़र सेशन ही एकमात्र नियंत्रण बिंदु है जो डिवाइस की स्थिति की परवाह किए बिना लागू होता है।

फ्रेमवर्क क्या कहते हैं: GenAI डेटा जोखिम पर NIST और OWASP

इस विषय के लिए दोनों प्रमुख ढाँचे—NIST AI 600 1 और OWASP Top 10 for LLMs—GenAI इंटरैक्शन के माध्यम से डेटा एक्सपोज़र को एक महत्वपूर्ण जोखिम के रूप में पहचानते हैं जिसके लिए केवल प्रक्रियात्मक ही नहीं, बल्कि तकनीकी नियंत्रणों की भी आवश्यकता होती है।

26 जुलाई, 2024 को जारी NIST AI 600 1 जनरेटिव AI प्रोफ़ाइल जनरेटिव AI से जुड़े या इसके कारण और भी गंभीर होने वाले 12 जोखिमों की पहचान करती है और जोखिम प्रबंधन के लिए 200 से अधिक सुझाए गए उपाय प्रदान करती है। इनमें से, डेटा गोपनीयता को एक विशिष्ट जोखिम के रूप में सूचीबद्ध किया गया है: जनरेटिव AI सिस्टम के उपयोग और प्रशिक्षण से व्यक्तिगत डेटा का रिसाव, अनधिकृत उपयोग या गुमनामी का खुलासा हो सकता है। प्रोफ़ाइल का गवर्न फ़ंक्शन—जिसे मूलभूत माना जाता है—संगठनों को जनरेटिव AI के विकास और तैनाती के लिए स्पष्ट नीतियां और दिशानिर्देश स्थापित करने की आवश्यकता है, जिससे नैतिक और जिम्मेदार उपयोग सुनिश्चित हो सके। सुरक्षा टीमों के लिए, इसका अर्थ है कि नीति के साथ-साथ इसे लागू करने वाले तकनीकी नियंत्रण भी होने चाहिए, विशेष रूप से उस बिंदु पर जहां कर्मचारी जनरेटिव AI के साथ इंटरैक्ट करते हैं: ब्राउज़र।

एप्लिकेशन सुरक्षा के संदर्भ में, OWASP टॉप 10 फॉर एलएलएम (2025) संवेदनशील सूचना प्रकटीकरण (LLM02:2025) को एक गंभीर जोखिम के रूप में वर्गीकृत करता है, जिसमें यह बताया गया है कि संवेदनशील सूचना में व्यक्तिगत पहचान योग्य जानकारी (PII), वित्तीय विवरण, स्वास्थ्य रिकॉर्ड, गोपनीय व्यावसायिक डेटा, सुरक्षा क्रेडेंशियल और कानूनी दस्तावेज शामिल हैं। यह जोखिम द्विदिशात्मक है: जब कर्मचारी सामग्री पेस्ट करते हैं तो डेटा एलएलएम में प्रवेश करता है, और यदि मॉडल ने प्रशिक्षण डेटा को याद कर लिया है या यदि कोई आरएजी सिस्टम अनधिकृत रिकॉर्ड प्राप्त करता है तो डेटा बाहर भी जा सकता है। एलएलएम, विशेष रूप से जब अनुप्रयोगों में एम्बेडेड होते हैं, तो उनके आउटपुट के माध्यम से संवेदनशील डेटा, मालिकाना एल्गोरिदम या गोपनीय विवरणों के उजागर होने का जोखिम होता है, जिसके परिणामस्वरूप अनधिकृत डेटा एक्सेस, गोपनीयता उल्लंघन और बौद्धिक संपदा का उल्लंघन हो सकता है।

NIST और OWASP मिलकर यह तर्क देते हैं कि संगठन GenAI डेटा के खुलासे को केवल नीतिगत समस्या के रूप में नहीं देख सकते। ब्राउज़र, जहाँ कर्मचारी इन उपकरणों के साथ इंटरैक्ट करते हैं, वह स्थान है जहाँ दोनों ढाँचों को संतुष्ट करने के लिए तकनीकी नियंत्रणों को लागू किया जाना चाहिए।

सुरक्षा टीमों को अब क्या करना चाहिए: शैडो एआई के लिए ब्राउज़र-स्तरीय नियंत्रण

शैडो एआई से निपटने के लिए ब्राउज़र स्तर पर कई स्तरों वाले नियंत्रणों की आवश्यकता होती है, जहाँ से डेटा वास्तव में संगठन से बाहर जाता है। यहाँ एक चरणबद्ध दृष्टिकोण प्रस्तुत किया गया है जो कारगर तरीकों पर आधारित है।

चरण 1: एआई के उपयोग की खोज और वर्गीकरण (सप्ताह 1-2)

नीति लागू करने से पहले, आपको पारदर्शिता की आवश्यकता होती है। एक तैनात करें secure web gateway AI-आधारित URL वर्गीकरण का उपयोग करके उन सभी GenAI डोमेन की पहचान करें जिन तक कर्मचारी पहुँच रहे हैं। SWG लॉग को CASB शैडो IT डिस्कवरी के साथ सहसंबंधित करके एक सूची तैयार करें: कौन से AI उपकरण उपयोग में हैं, उनका उपयोग कौन कर रहा है, कितनी बार और किस प्रकार के उपकरणों से।

एक व्यावहारिक परिदृश्य: एक स्वास्थ्य सेवा प्रदाता की सुरक्षा टीम को पता चलता है कि 12 अनधिकृत एआई उपकरण क्लिनिकल कोऑर्डिनेटरों से क्लिपबोर्ड डेटा प्राप्त कर रहे हैं, जो रोगी केस नोट्स का सारांश तैयार कर रहे हैं ताकि त्वरित ट्राइएज दस्तावेज़ीकरण किया जा सके। एसडब्ल्यूजी स्तर पर पता लगाए बिना, यह गतिविधि अदृश्य थी क्योंकि ये उपकरण ब्राउज़र आधारित हैं और इन्हें किसी सॉफ़्टवेयर इंस्टॉलेशन की आवश्यकता नहीं है।

चरण 2: ब्राउज़र पर इनलाइन डीएलपी लागू करना (सप्ताह 3-4)

एक बार जब आपको पता चल जाए कि कौन से एआई उपकरण उपयोग में हैं, तो उन्हें लागू करें। data loss prevention ऐसी नीतियां जो डेटा के AI सेवा तक पहुंचने से पहले, इंटरैक्शन के बिंदु पर ही सामग्री का निरीक्षण करती हैं। क्लाउड SWG या SSE प्लेटफ़ॉर्म के माध्यम से तैनात इनलाइन DLP, GenAI URL पर पेस्ट ऑपरेशन, फ़ॉर्म फ़ील्ड सबमिशन और फ़ाइल अपलोड का निरीक्षण कर सकती है। नीतिगत कार्रवाइयां क्रमिक होनी चाहिए:

किसी भी एआई टूल पर विनियमित डेटा (व्यक्तिगत पहचान जानकारी, सार्वजनिक स्वास्थ्य जानकारी, पीसीआई) के अपलोड को ब्लॉक करें।

सोर्स कोड या आंतरिक दस्तावेज़ों को पेस्ट करने का प्रयास कर रहे उपयोगकर्ताओं को वास्तविक समय में एक पॉपअप के माध्यम से जोखिम के बारे में समझाते हुए और एक अनुमोदित विकल्प प्रदान करते हुए प्रशिक्षित करें।

सामान्य प्रश्नों की अनुमति दें जिनमें कोई संवेदनशील सामग्री न हो।

उदाहरण: एक लॉजिस्टिक्स कंपनी का इंजीनियर ग्राहक पतों सहित शिपिंग मैनिफेस्ट को एक AI समराइज़ेशन टूल में पेस्ट करता है। इनलाइन DLP व्यक्तिगत पहचान योग्य जानकारी (PII) पैटर्न का पता लगाता है, पेस्ट को ब्लॉक करता है और एक सूचना प्रदर्शित करता है: "इस सामग्री में ग्राहक पते शामिल हैं। कृपया स्वीकृत एंटरप्राइज़ AI वर्कस्पेस का उपयोग करें।" इंजीनियर को दंडित नहीं किया जाता, बल्कि उसे सही दिशा में निर्देशित किया जाता है—और डेटा कभी भी संगठन से बाहर नहीं जाता।

चरण 3: उच्च जोखिम वाले एआई सत्रों को अलग करना (सप्ताह 4-6)

ऐसे एआई टूल्स के लिए जिन्हें पूरी तरह से ब्लॉक नहीं किया जा सकता—क्योंकि व्यावसायिक इकाइयाँ उन पर निर्भर करती हैं remote browser isolation (RBI) सेशन को क्लाउड पर होस्ट किए गए कंटेनर पर रेंडर करता है। कर्मचारी सामान्य रूप से एआई टूल को देख और उसके साथ इंटरैक्ट कर सकता है, लेकिन क्लिपबोर्ड ऑपरेशन, डाउनलोड और अपलोड को बारीक स्तर पर नियंत्रित किया जा सकता है। RBI "पढ़ें लेकिन लीक न करें" की नीति को सक्षम बनाता है: कर्मचारी एआई द्वारा जनरेट की गई सामग्री का उपयोग कर सकते हैं, लेकिन वे संवेदनशील डेटा को टूल में पेस्ट नहीं कर सकते या एआई आउटपुट को अनियंत्रित एंडपॉइंट्स पर डाउनलोड नहीं कर सकते।

मान लीजिए कि किसी वित्तीय सेवा फर्म में विलय एवं अधिग्रहण (M&A) टीम को सार्वजनिक दस्तावेजों का सारांश तैयार करने के लिए एक AI अनुसंधान उपकरण की आवश्यकता है। RBI उन्हें इस उपकरण का स्वतंत्र रूप से उपयोग करने की अनुमति देता है, जबकि आंतरिक सौदे की शर्तों को पेस्ट करने या मालिकाना विश्लेषण वाले AI द्वारा तैयार किए गए सारांशों को डाउनलोड करने पर रोक लगाता है। सत्र समाप्त होने पर, कंटेनर नष्ट हो जाता है और एंडपॉइंट पर कोई डेटा नहीं रहता।

चरण 4: संचालन और पुनरावृति (निरंतर)

एक एआई गवर्नेंस बोर्ड स्थापित करें जो एसडब्ल्यूजी और डीएलपी टेलीमेट्री की मासिक समीक्षा करे। यह ट्रैक करें कि कौन से नए एआई उपकरण सामने आते हैं, कौन से नीति उल्लंघन सबसे अधिक बार होते हैं, और क्या स्वीकृत विकल्प उपयोगकर्ताओं की आवश्यकताओं को पूरा कर रहे हैं। जैसे-जैसे परिदृश्य विकसित होता है, नीतियों को समायोजित करें—क्योंकि जेनएआई सेवाओं की संख्या घटने के बजाय बढ़ रही है।

अत्यावश्यकता: प्रतीक्षा करने से जोखिम क्यों बढ़ता है

हर महीने की देरी से जोखिम तीन तरह से बढ़ जाता है।

वित्तीय: शैडो एआई उल्लंघनों से ग्राहकों की व्यक्तिगत पहचान योग्य जानकारी (PII) के लीक होने का अनुपात बहुत अधिक है, जो वैश्विक औसत 53% की तुलना में 65% है (आईबीएम, 2025)। इससे प्रति रिकॉर्ड लागत और नियामक दंड में वृद्धि होती है। जब लीक हुआ डेटा वह डेटा होता है जिसकी नियामकों को सबसे अधिक परवाह होती है, तो वित्तीय जोखिम प्रारंभिक घटना प्रतिक्रिया से कहीं अधिक बढ़ जाता है।

नियामक प्रावधान: GDPR, CCPA और HIPAA सभी संगठनों को व्यक्तिगत डेटा प्रोसेसिंग पर नियंत्रण बनाए रखने के लिए बाध्य करते हैं। जब कोई कर्मचारी किसी ऐसे AI टूल में रोगी रिकॉर्ड पेस्ट करता है जिसकी जाँच नहीं हुई है और जो किसी ऐसे अधिकार क्षेत्र में होस्ट किया गया है जहाँ पर्याप्तता समझौता नहीं है, तो संगठन नियंत्रक होता है और उसी की जिम्मेदारी होती है। यूरोपीय संघ का AI अधिनियम GenAI के उपयोग के लिए पारदर्शिता और जोखिम मूल्यांकन संबंधी अतिरिक्त दायित्व जोड़ता है, जिन्हें शैडो AI परिभाषा के अनुसार पूरा नहीं कर सकता।

परिचालन संबंधी: मेनलो सिक्योरिटी की एक रिपोर्ट में एक ही वर्ष में उद्यमों में शैडो जनरेटिव एआई के उपयोग में 68% की वृद्धि दर्ज की गई है। जो संगठन आज ब्राउज़र स्तर के नियंत्रणों को टालते हैं, उन्हें अंततः प्रवर्तन अपरिहार्य होने पर एक बड़े और अधिक मजबूत शैडो एआई प्रभाव का सामना करना पड़ेगा—और उन हजारों कर्मचारियों को पुनः प्रशिक्षित करना जिन्होंने एआई को अपने दैनिक कार्यों में एकीकृत कर लिया है, व्यवहार को शुरू में ही नियंत्रित करने की तुलना में कहीं अधिक कठिन है।

Skyhigh Security SSE प्लेटफ़ॉर्म SWG, CASB, DLP, RBI और ZTNA को एक ही पॉलिसी इंजन के अंतर्गत एकीकृत करता है—जिससे शैडो AI का पता लगाना, ब्राउज़र स्तर पर डेटा सुरक्षा लागू करना और प्रबंधित और अप्रबंधित उपकरणों पर AI के उपयोग को एक ही कंसोल से नियंत्रित करना संभव हो जाता है। यह एकीकरण महत्वपूर्ण है क्योंकि AI कोपायलट और टूल्स से उत्पन्न सुरक्षा जोखिम कई प्रवर्तन बिंदुओं तक फैले होते हैं, और खंडित नियंत्रणों से ऐसी कमियाँ रह जाती हैं जिन्हें कर्मचारी—अनजाने में या अनजाने में—ढूंढ लेंगे।