Künstliche Intelligenz (KI) verändert, wie Unternehmen Identitäten verifizieren und Betrug erkennen.
Sie kann Sicherheitsteams außerdem dabei helfen, schneller über Zugriffe zu entscheiden, indem sie Signale bewertet, die herkömmliche Authentifizierungsmethoden möglicherweise übersehen.
Gleichzeitig können Angreifer mit KI überzeugende Deepfakes erstellen und synthetische Identitäten erzeugen, die diese Kontrollen umgehen sollen.
Vor Kurzem habe ich mich per E-Mail mit B. Scott Swann, dem CEO von ROC, darüber unterhalten, was dieser Wandel für die Identitätssicherheit bedeutet und wie Sicherheitsteams mit KI-gestützten Technologien umgehen sollten. Vor seinem Wechsel zu ROC war Swann mehr als 20 Jahre beim FBI tätig. Als Leiter einer Abteilung half er bei der Entwicklung des Next Generation Identification (NGI)-Systems des FBI.
Swanns Erfahrung unterstreicht einen wichtigen Punkt für Sicherheitsverantwortliche. KI kann neue Wege zur Feststellung einer Identität eröffnen, doch Zuverlässigkeit und Sicherheit bleiben unverzichtbar für den Aufbau von Systemen, denen Unternehmen vertrauen können.
KI stärkt und erschwert die Identitätsverifizierung
Herkömmliche Identitätssysteme stützten sich häufig auf statische Zugangsdaten wie Passwörter, Ausweise und PINs. Swann erklärte, dass KI zusätzliche Signale und Kontext einbeziehen kann, um Unternehmen dabei zu helfen, zu bestimmen, ob eine Zugriffsanfrage vertrauenswürdig ist.
Das kann die Betrugserkennung und Authentifizierung verbessern und zugleich den Prozess für legitime Nutzer weniger störend gestalten. Außerdem kann es Sicherheitsteams helfen, verdächtige Aktivitäten früher zu erkennen.
Diese Fähigkeiten bringen jedoch auch neue Risiken mit sich. Angreifer können KI nutzen, um Deepfakes und synthetische Identitäten zu erzeugen, durch die betrügerische Aktivitäten schwerer von legitimen Verhaltensweisen zu unterscheiden sind.
Für Sicherheitsteams bedeutet die Bewertung einer KI-gestützten Identitätsplattform, dass sie über die reinen Fähigkeiten der Technologie hinausblicken müssen. Laut Swann müssen Unternehmen verstehen, wie die Technologie abgesichert und gesteuert wird. Sie sollten feststellen, wie ihre Leistungsfähigkeit bewertet wird, wenn sich Bedrohungen weiterentwickeln.
Biometrie erfordert einen anderen Sicherheitsansatz
KI-gestützte biometrische Verfahren erfordern von Unternehmen ein anderes Denken darüber, wie Identitätsdaten geschützt werden.
„Ein Passwort oder ein Zugangsnachweis kann geändert werden, wenn er kompromittiert wurde. Biometrische Informationen sind jedoch an eine Person gebunden und müssen während ihres gesamten Lebenszyklus umfassend geschützt werden“, sagte Swann mir.
Vor dem Einsatz biometrischer Technologie sollten Unternehmen deren Genauigkeit und Widerstandsfähigkeit gegen Spoofing prüfen. Außerdem sollten sie feststellen, ob sie außerhalb kontrollierter Umgebungen zuverlässig funktioniert.
Swann wies darauf hin, dass die Leistung je nach Standort und Lichtverhältnissen variieren kann. Unterschiede zwischen Nutzergruppen und Einsatzumgebungen können die Ergebnisse ebenfalls beeinflussen.
Dadurch ist Biometrie als Teil einer mehrschichtigen Identitätsstrategie am effektivsten und nicht als alleinige Kontrollmaßnahme. Kontextbezogene Signale können zusätzliche Informationen über einen Zugriffsversuch liefern, während Überwachung dabei helfen kann, verdächtige Aktivitäten nach der Authentifizierung zu erkennen.
Sicherheitsteams brauchen Belege, bevor sie Anbietern von KI-Identitätslösungen vertrauen
Teams benötigen belastbare Belege dafür, dass sie KI-gestützten Identitätsplattformen vertrauen können, bevor sie diese zur Kontrolle des Zugriffs auf sensible Ressourcen einsetzen.
Swann empfahl, von Anbietern unabhängige Leistungsdaten zu verlangen, statt sich auf kontrollierte Demonstrationen zu verlassen. Bei biometrischen Technologien können CISOs auf die Teilnahme an Evaluierungen des National Institute of Standards and Technology (NIST) achten, etwa an der Evaluierung von Gesichtserkennungstechnologien und der Evaluierung latenter Fingerabdrucktechnologien.
Diese Ergebnisse sollten im Hinblick auf den vorgesehenen Anwendungsfall der Organisation und akzeptable Fehlerraten bewertet werden.
Sicherheitsverantwortliche sollten außerdem feststellen, welche Daten die Plattform erfasst. Sie müssen wissen, wo diese Informationen verarbeitet und gespeichert werden und wer darauf zugreifen kann. Bei der Anbieterbewertung sollte untersucht werden, wie Schwachstellen behoben werden. Außerdem sollte berücksichtigt werden, wie die Plattform aktualisiert und getestet wird, wenn sich die Bedingungen ändern.
Die zugrunde liegende Technologielieferkette erfordert eine ebenso gründliche Prüfung. Unternehmen sollten wissen, wer die Technologie entwickelt hat, und alle Abhängigkeiten von Drittanbietern identifizieren. Laut Swann sollten Organisationen, die die nationale Sicherheit oder kritische Infrastrukturen unterstützen, außerdem berücksichtigen, wo die Identitätstechnologie entwickelt und gesteuert wird.
Menschliche Aufsicht bleibt wichtig
KI kann Unternehmen helfen, schneller über Identitäten zu entscheiden, doch Swann betonte, wie wichtig eine angemessene menschliche Aufsicht ist.
„Das Ziel sollte darin bestehen, die menschliche Entscheidungsfindung zu verbessern“, sagte er.
Unternehmen sollten klare Grenzen dafür festlegen, wann KI selbstständig handeln darf. Richtlinien sollten außerdem definieren, wann eine zusätzliche Verifizierung erforderlich ist und wann eine Entscheidung von einem Menschen überprüft werden muss.
Diese Aufsicht wird in Umgebungen mit höherem Risiko besonders wichtig. Eine falsche Entscheidung könnte unbefugten Zugriff auf sensible Systeme gewähren oder einen legitimen Nutzer von kritischen Ressourcen ausschließen.
Identität als grundlegende Sicherheitsinfrastruktur betrachten
Eine Lehre, die kommerzielle Unternehmen laut Swann aus staatlichen Identitätsprogrammen ziehen können, besteht darin, Identität als grundlegende Sicherheitsinfrastruktur und nicht als punktuelle Lösung zu betrachten.
Unternehmen müssen darauf vertrauen können, dass die richtigen Personen zum richtigen Zeitpunkt auf die richtigen Ressourcen zugreifen. Unabhängige Tests können helfen, diesen Prozess zu validieren, während revisionssichere Entscheidungen Transparenz darüber schaffen, wie Zugriffe gewährt oder verweigert werden.
Für Sicherheitsteams, die KI-gestützte Identitätstechnologien bewerten, sollte der Fokus über die KI selbst hinausgehen. Sie sollten berücksichtigen, wie sich die Technologie in ihre umfassendere Sicherheitsarchitektur einfügt, ohne unnötige Komplexität oder Abhängigkeit von einem Anbieter zu schaffen.
KI kann verändern, wie Unternehmen Identitäten verifizieren. Die grundlegende Anforderung bleibt jedoch dieselbe, denn Sicherheitsteams benötigen weiterhin Identitätssysteme, die verlässliche und vertrauenswürdige Entscheidungen treffen.
Mit zunehmender Verbreitung von KI sollten Unternehmen außerdem bedenken, dass neue Identitäten und Vertrauensbeziehungen im gesamten Unternehmen zusätzliche Angriffswege schaffen können.