Viime kuussa Yhdistyneen kuningaskunnan hallitus esitteli uusia sääntelytoimia tekoälymallien ja ohjelmistojen kyberturvallisuuden parantamiseksi. Näiden muutosten tarkoituksena on vahvistaa digitaalisia järjestelmiä hakkerointia ja sabotointia vastaan sekä edistää luottamusta tekoälyn käyttöön eri toimialoilla – luottamusta, jota tarvitaan kipeästi.
Kun kyberrikollisuuden kustannusten ennustetaan nousevan jo 13,82 biljoonaan dollariin vuoteen 2028 mennessä – ja kustannukset voivat kasvaa vieläkin nopeammin, kun uuden sukupolven kyberrikolliset saavat käyttöönsä yhä kehittyneempää tekoälyä – luottamus teknologiaan on ymmärrettävästi alkanut heikentyä.
Vaikka nämä uudet toimenpiteet merkitsevät merkittävää edistystä nykyisten kyberturvallisuushaasteiden ratkaisemisessa, sääntelykehysten tulevaisuuden mukautuvuuteen ja tehokkuuteen liittyy edelleen kysymyksiä ja huolenaiheita erityisesti kehittäjäyhteisössä.
Yhdistyneen kuningaskunnan ja Yhdysvaltojen kehittäjille hiljattain tehdyssä kyselyssä yhteensä 72 % vastaajista sanoi, etteivät yksityisyyden suojaamiseksi laaditut säädökset sovellu tulevaisuuteen, ja 56 % uskoi, että dynaamiset sääntelyrakenteet – joiden on tarkoitus mukautua teknologian kehitykseen – voivat muodostaa todellisen uhan. Erityisen huolestuttava näkökohta on tekoälyjärjestelmiin liittyvä tietoturvariski, sillä järjestelmät tarvitsevat koulutukseen valtavia tietoaineistoja, jotka sisältävät usein arkaluonteisia henkilötietoja.
Tämän vuoksi muuttuvat tai epäjohdonmukaiset säädökset voivat aiheuttaa haavoittuvuuksia tai aukkoja siinä, miten näitä arkaluonteisia tietoja suojataan, mikä lisää tietomurtojen tai väärinkäytösten riskiä.
Sääntelyn kehittyessä tekoälyn koulutuksessa käytettävien henkilötietojen turvallisuuden ja yksityisyyden varmistamisesta näyttää tulevan yhä vaikeampaa, mikä voi johtaa vakaviin seurauksiin sekä yksilöille että organisaatioille.
Sama kysely osoitti myös, että 30 % kehittäjistä uskoo sääntelyviranomaisten keskuudessa olevan yleistä tietämättömyyttä, sillä viranomaisilla ei ole tarvittavia taitoja ymmärtää teknologiaa, jota niiden tehtävänä on säännellä.
Mukautuvien ja tehokkaiden sääntelykehysten suunnittelu
Kun osaaminen ja tietämys ovat kyseenalaisia ja tekoäly sekä kyberturvallisuusuhat kehittyvät nopeasti, mitä sääntelyviranomaisten tulisi tarkalleen ottaen ottaa huomioon luodessaan sekä mukautuvia että tehokkaita sääntelykehyksiä?
Oman näkemykseni mukaan sääntelyviranomaisten tulisi ensinnäkin tuntea kaikki mahdolliset yksityisyyttä parantavat teknologiat (PETs). Vaikka joitakin PET-teknologioita hyödynnetään jo tietomurtojen riskin minimoimiseksi, toiset kehittyvät parhaillaan, ja niillä on valtava potentiaali arkaluonteisten tietojen suojaamisessa ja yksityisyyden turvaamisessa. Kunkin teknologian etujen ja rajoitusten tunteminen auttaa niiden joustavassa käyttöönotossa sen sijaan, että yritettäisiin luoda yksi kaikenkattava toimintaperiaate kerralla. Esimerkkejä ovat:
- Todennusteknologiat: Monivaiheinen todennus (MFA) – jonka kehittäjät yleensä integroivat todennusjärjestelmiin tarjotakseen ylimääräisen suojauskerroksen – on käytössä sovelluksissa verkkopankkipalveluista yritysohjelmistoihin. Biometrinen todennus on toinen nykyään käytössä oleva edistynyt ja turvallinen menetelmä, joka hyödyntää yksilöllisiä fyysisiä ominaisuuksia, kuten sormenjälkiä tai kasvojentunnistusta. Tulevaisuutta ajatellen myös yhdistettyjen identiteettimekanismien, kuten FIDO:n (Fast Identity Online) tai OpenID Connectin, käyttöönotto näyttää lupaavalta. Nämä mekanismit eivät ainoastaan paranna turvallisuutta, vaan myös sujuvoittavat käyttäjien todennusprosesseja eri alustoilla ja tarjoavat yhtenäisen ja turvallisen lähestymistavan identiteetinhallintaan.
- Päästä päähän -salaus (E2EE): Tämä teknologia tarjoaa vahvan suojan varmistamalla, että tiedot salataan lähettäjältä vastaanottajalle, mikä estää luvattoman käytön jopa palveluntarjoajilta. E2EE:n käyttöönotto voi kuitenkin olla monimutkaista ja resursseja vaativaa, sillä se edellyttää usein huomattavaa laskentatehoa ja kehittynyttä avaintenhallintaa. Koska E2EE estää palveluntarjoajia käyttämästä tietoja, se voi myös vaikeuttaa niiden mahdollisuuksia auttaa tietojen palauttamisessa tai vastata tietoja koskeviin viranomaispyyntöihin. Tämä voi muodostua ongelmaksi rikostutkinnan tai tietojen palauttamisen yhteydessä.
- Täysin homomorfinen salaus (FHE): Vaikka FHE:n katsotaan olevan vielä varhaisessa vaiheessa täyden potentiaalinsa saavuttamisessa, siinä on edistytty merkittävästi viime vuosina. Kyseessä on salaustyyppi, joka mahdollistaa tietojen käsittelyn ilman salauksen purkamista. Se yhdistää erinomaisesti tekoälyn ja tietoturvan, sillä organisaatiot voivat hyödyntää teknologian tarjoamaa voimaa vaarantamatta käyttäjien yksityisyyttä koskevia odotuksia. Esimerkiksi rahoituslaitokset voivat käyttää FHE:tä petosten havaitsemiseen tarkoitettujen tekoälymallien luottamukselliseen kouluttamiseen eri pankkien välillä ilman henkilötietojen paljastamista; terveydenhuollon palveluntarjoajat voivat puolestaan tehdä ennakoivaa diagnostiikkaa paljastamatta potilaidensa yksityisiä tietoja.
- Monen osapuolen laskenta (MPC): Tämä teknologia täydentää FHE:tä tarjoamalla loppukäyttäjälle mahdollisuuden purkaa salattujen tietojen salaus sen jälkeen, kun on tarkistettu, että hänellä on oikeus käyttää kyseisiä tietoja. MPC mahdollistaa nimettyjen tahojen muodostaman päätösvaltaisen joukon osallistumisen yhteistyöprotokollaan, joka saavuttaa yhteisymmärryksen käyttöoikeuksien hallinnasta ennen tietojen uudelleensalausta protokollan julkisella salausavaimella loppukäyttäjän julkisella salausavaimella, mikä antaa loppukäyttäjälle pääsyn selväkielisiin tietoihin. Jokaisella päätösvaltaisen joukon taholla on hallussaan vain osa protokollan yksityisestä salauksenpurkuavaimesta, eikä se siksi pysty purkamaan tietojen salausta yksin. Lisäksi selväkielisiä tietoja ei koskaan anneta kenenkään muun kuin loppukäyttäjän itsensä saataville. ,
Yhteistyöhön perustuva politiikan suunnittelu
Kun sääntelyviranomaisilla on hyvä – ja ajantasainen – käsitys PET-teknologioista, joita on paljon muitakin, seuraava vaihe on varmistaa, etteivät päättäjät tukahduta teknologista kehitystä samalla, kun he suojaavat kyberuhkilta.
Monipuolisten ja tehokkaiden tietosuojakäytäntöjen laatimiseksi siten, että ne kehittyvät teknologisen kehityksen rinnalla, on tärkeää muistaa, etteivät ne toimi tyhjiössä. Niiden ei odoteta olevan ainoiden tahojen vastuulla. Sen sijaan päättäjien tulisi työskennellä yhdessä teknologian kehittäjien kanssa – ja kehittäjien puolestaan tulisi alkaa suunnitella teknologiaansa nykyiset viitekehykset huomioiden sen sijaan, että he odottaisivat uusien viitekehysten mukautuvan niihin.
Jatkuvan oppimisen sisällyttäminen organisaation toimintaan on myös ratkaisevan tärkeää. Samoin työntekijöille tulisi antaa mahdollisuus osallistua alan tapahtumiin ja konferensseihin, jotta he pysyvät ajan tasalla uusimmasta kehityksestä ja voivat tavata asiantuntijoita. Aina kun mahdollista, meidän tulisi tehdä yhteistyötä alan kanssa esimerkiksi kutsumalla teknologiayritysten edustajia pitämään sisäisiä seminaareja tai esittelyjä.
Uskon vahvasti, että kaikki edellä mainittu tulisi ottaa huomioon, kun integroimme yhä monimutkaisempia järjestelmiä, kuten tekoälyä, IoT:tä ja kehittynyttä data-analytiikkaa, osaksi jokapäiväistä elämäämme ja kyberuhkien mahdollisuus kasvaa.
Kun säännöksistä tehdään tulevaisuudenkestäviä, voimme varmistaa, ettemme jatkuvasti yritä pysyä kyberrikollisten perässä, vaan suojaamme digitaalista infrastruktuuriamme ennakoivasti. Omaksumalla dynaamisen ja mukautuvan sääntelykehyksen voimme suojata arkaluonteisia tietoja paremmin, turvata käyttäjien yksityisyyden ja ylläpitää yleisön luottamusta digitaalisiin teknologioihin.
Tilaa uutiskirjeemme ja saat uusimmat näkemykset, trendit ja strategiat teknologiasi suojaamiseen ja innovaatioiden edistämiseen.
