Artikkelit

Pahimmillaan tekoälyagentit voivat päästä käsiksi organisaation tietoihin työntekijän käyttöoikeuksilla.

Työntekijät käyttävät yhä enemmän tekoälyä työtehtävissään, mutta työnantajat eivät välttämättä tiedä, mitä tekoälytyökaluja organisaatiossa todellisuudessa käytetään. Applen laitteiden hallintaan ja tietoturvaan erikoistuneen Jamfin EMEIA-alueen tietoturvastrategiasta vastaavan Adam Boyntonin mukaan tämä muodostaa merkittävän tietoturvariskin, sillä tekoäly voi päästä käsiksi organisaation tietoihin ja järjestelmiin ilman, että sen käyttöä pystytään valvomaan.

Boyntonin mukaan organisaatiot keskittyvät usein tunnettujen tekoälypalveluiden, kuten chatbottien, hallintaan. Samalla ne saattavat jättää huomiotta tekoälyominaisuudet, joita on sisällytetty tavallisiin työssä käytettäviin sovelluksiin. Tällöin tekoäly voi tulla osaksi organisaation IT-ympäristöä ilman erillistä päätöstä sen käyttöönotosta.

– Useimmat organisaatiot valvovat niitä tekoälytyökaluja, joiden käytöstä ne tietävät. Suurempi riski voi kuitenkin piillä tekoälyssä, joka toimii osana muita sovelluksia. Tekoälyagentti voi käyttää samoja käyttöoikeuksia kuin työntekijä ja päästä käsiksi samoihin tietoihin. Työnantaja ei välttämättä edes tiedä tällaisen tekoälyn olemassaolosta, Boynton sanoo.

Ei pelkkä kannettavien ongelma

Boyntonin mukaan organisaatiot aliarvioivat usein sen, kuinka laajasti tekoälyä on jo otettu käyttöön ennen kuin sen hallinnasta on edes ehditty sopia. Tekoälyn käyttöä koskevat ohjeistukset ja valvonta keskittyvät tavallisesti organisaation virallisesti hankkimiin työkaluihin, vaikka ne muodostavat vain osan todellisesta käytöstä.

Ongelmaa pahentaa se, etteivät perinteiset tietoturvaratkaisut välttämättä tunnista kaikkea tekoälyn käyttöä. Esimerkiksi suoraan työntekijän laitteella toimivaa, salattua tai sovelluksen ohjelmakoodiin sisällytettyä tekoälyä ei aina pystytä havaitsemaan verkkoliikennettä valvovilla ratkaisuilla.

– Organisaatiot olettavat usein, että niiden nykyiset tietoturvaratkaisut tunnistavat tekoälyn käytön. Näin ei kuitenkaan välttämättä ole. Jos tekoäly toimii suoraan työntekijän laitteella tai osana sovellusta, sen käyttö voi jäädä kokonaan havaitsematta. Siksi työntekijöiden laitteiden valvonnalla on keskeinen merkitys, Boynton kertoo.

Erityisen ongelmallisena hän pitää sitä, että tekoälyn tietoturvaan liittyvät käytännöt keskittyvät usein kannettaviin tietokoneisiin. Työntekijöiden älypuhelimilla voi kuitenkin olla pääsy samoihin organisaation tietoihin ja järjestelmiin, vaikka niiden käyttöä ei valvottaisi yhtä kattavasti.

– Lähes kaikki näkemäni tekoälyn hallintamallit keskittyvät tietokoneisiin. Samalla työntekijän taskussa olevalla puhelimella voi olla täsmälleen samat käyttöoikeudet, mutta sitä eivät välttämättä koske samat tietoturvakontrollit.”

Kieltäminen ei toimi

Asiantuntijan mukaan tekoälyn käytön kieltäminen ei ole ratkaisu tietoturvaongelmiin. Tiukat rajoitukset voivat päinvastoin johtaa siihen, että työntekijät käyttävät tekoälyä henkilökohtaisilla laitteillaan tai käyttäjätunnuksillaan, jolloin työnantajan mahdollisuudet valvoa käyttöä heikkenevät entisestään.

Hänen mukaansa organisaatioiden pitäisi pyrkiä hallittuun tekoälyn käyttöön, jossa työntekijöille annetaan mahdollisuus hyödyntää uusia työkaluja selkeästi määriteltyjen sääntöjen puitteissa.

– Tekoälyn kieltäminen ei välttämättä lopeta sen käyttöä, vaan siirtää sen henkilökohtaisille laitteille ja tileille, joihin työnantajalla ei ole minkäänlaista näkyvyyttä. Hyvä hallintamalli mahdollistaa tekoälyn turvallisen käytön sen sijaan, että sitä yritettäisiin kokonaan estää, Boynton sanoo.

Hän kehottaa organisaatioita selvittämään mahdollisimman pian, mitä tekoälyratkaisuja niissä todella käytetään, ja nimeämään henkilön, joka vastaa kokonaiskuvan ylläpitämisestä.

Asiantuntijan mukaan ajantasainen luettelo käytössä olevista tekoälyratkaisuista on käytännössä edellytys sille, että organisaatio pystyy arvioimaan tekoälyn käyttöön liittyviä riskejä ja vastaamaan sääntelyn asettamiin vaatimuksiin.

Varmistus tärkeässä roolissa

Tekoälyn yleistyminen tuo organisaatioille myös uudenlaisia huijausriskejä. Boynton nostaa esiin erityisesti tekoälyllä toteutetun äänen kloonaamisen, jonka avulla rikolliset voivat esiintyä esimerkiksi yrityksen johtajana tai työntekijänä.

Uskottavan äänen jäljittelyyn voi riittää vain muutaman sekunnin mittainen ääninäyte, joka voidaan saada esimerkiksi julkisesta videosta. Boyntonin mukaan organisaatioiden kannattaa varautua erityisesti kahdenlaisiin huijauksiin. Ensimmäisessä rikollinen esiintyy puhelimessa yrityksen johtajana ja vaatii taloushallinnolta kiireellistä maksua. Toisessa rikollinen pyrkii huijaamaan IT-tukea palauttamaan käyttäjätunnuksen tai salasanan esiintymällä tuttuna työntekijänä.

– Ajatus siitä, että tuttu ääni todistaa soittajan henkilöllisyyden, on vanhentunut. Monet organisaatiot eivät kuitenkaan ole muuttaneet toimintatapojaan tämän mukaisesti. Uskottavan äänen kloonaamiseen tarvittava teknologia on nykyään niin edullista ja helposti saatavilla, ettei kyse ole enää vain erityisen kehittyneiden hyökkääjien käytössä olevasta menetelmästä.

Boyntonin mukaan tehokkain tapa suojautua tällaisilta huijauksilta ei välttämättä ole uusi teknologia, vaan organisaation toimintatapojen muuttaminen. Esimerkiksi rahansiirrot ja käyttöoikeuksien muutokset pitäisi aina varmistaa erillistä, luotettavaa yhteydenottokanavaa pitkin.

– Organisaatioiden on ymmärrettävä, ettei tuttu ääni puhelimessa enää riitä henkilöllisyyden varmistamiseen. Erityisesti rahansiirtoihin ja järjestelmien käyttöoikeuksiin liittyvät pyynnöt on tarkistettava erikseen. Samalla on huolehdittava myös älypuhelinten tietoturvasta, sillä juuri niihin monet huijauspuhelut tulevat, Boynton päättää.

Kuva: Pixabay

Hei! Luitko jo tämän?

Tässä on BYDin uusi sähkökatumaasturi Euroopan markkinoille: Supernopea lataus päihittää useimmat kilpailijat

Tagit: tekoäly  tietoturva    Takaisin