A pandémia sok új megoldásra kényszerítette rá az üzleti élet szereplőit. Ezek között voltak létező szolgáltatások is, amelyeket addig csak korlátozottan használtak. A személyes kontaktusok hiánya miatt azonban ezek nélkülözhetetlenné váltak – mint a távoli azonosítás.
◼︎ EU állásfoglalások a távoli azonosításról
Elemzést közölt idén az Állami Számvevőszék „Az e-közigazgatás helye a digitális állam stratégiai pillérben” címmel, amely áttekinti a 2018-ig, illetve az azóta megvalósult elektronikus ügyintézési lehetőségeket. A szerzők már a bevezetőben rámutatnak, hogy „a digitális állam megteremtése csak akkor lehetséges, ha minden állampolgár számára elérhető és kezelhető alkalmazások képezik az alapját. A mesterséges intelligencia alapú automatizáció, az elektronikus térben elvégzett, videótechnológián alapuló képazonosítás, a hangazonosításra épülő hangvezérlés, az intelligens dokumentumkezelő rendszerek, hitelesítési folyamatok csak ebben az esetben lehetnek hatékonyak. A személyes ügyintézést preferálók ugyanis gyakran nem rendelkeznek megfelelő ismeretekkel, vagy nem tudják használni az összetettebb alkalmazásokat.” Az ÁSZ ugyanakkor ismételten felhívja a figyelmet (egy tavalyi elemzés után), hogy az elektronikus ügyintézés terjedésével együtt a biztonsági kockázatok felerősödésével is számolni kell.
Látja az EU a problémát, és foglalkozik is vele
Az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) külön jelentést publikált az azonosítás biztonsági aspektusairól, külön kiemelve, hogy „a távoli ügyfél-azonosítás alapvető fontosságú a digitális szolgáltatások iránti bizalom megteremtésében”. Az ENISA jelentésében közölt meghatározás szerint az ügyfél-azonosítás „az a folyamat, amelynek során a szolgáltató befogadja és igazolja (validálja) az ügyfél adatait, és ellenőrzi, hogy a befogadott és igazolt adatok valóban az ügyfélhez tartoznak”.
Habár a távoli ügyfél-azonosítást főként az államigazgatáshoz kötjük, minden olyan területen alkalmazható, ahol alapvető fontosságú a természetes vagy jogi személy azonosságának megállapítása: pénzügyi szolgáltatások, e-kereskedelem, távközlés, személyszállítás, HR, online szerencsejáték. A pandémia alatt egyértelművé vált, hogy szükség van körültekintően szabályozott távoliazonosítás-folyamatokra és megbízható digitális identitásokra, amelyekre a privát és kormányzati szektor egyaránt támaszkodhat.
| A távoli azonosítás öt lépése
1. A folyamat indítása (előfeltételek ellenőrzése) „A folyamat végigvezetéshez a kérelmezőnek be kell mutatnia: egy megbízható bizonyítékot arról, hogy az ügyfél fizikailag jelen van az azonosításon (ez általában helyszíni arcfotó vagy -videó); egy államilag kibocsátott iratot, amely az azonosságát igazolja, és alkalmas arra, hogy a szolgáltató ellenőrizze. Az azonosításhoz nagyfokú egyezés szükséges a fotó vagy videó és az iraton vagy az NFC-chipben tárolt arckép között.” Forrás: ENISA |
Az azonosítási folyamat általában webkamerán vagy mobiltelefonon keresztül történik, ezen keresztül az ügyfelek arcukkal, valamint az állami szervezetek által kiállított dokumentumokkal, azaz személyi igazolvánnyal vagy útlevéllel azonosítják magukat. „A személyazonosság, pontosabban annak felhasználása aranyat ér bűnözői kezekben, akik igen kreatívan kerülik meg az azonosítási rendszereket”, írja az ENISA jelentése, és erre a kockázatra utalt az ÁSZ jelentése is.
Hogyan avatkozhat be a folyamatba egy bűnöző? Úgy, hogy felhasználja valaki más személyazonosságát, egy valódi személyazonossági irat fényképének meghamisításával, és/vagy a bemutatott fotó vagy videó módosításával úgy, hogy az egyezzen a valódi irat fényképével, például szoftveresen (deepfake-eljárásokkal), 3D maszkkal, az eredeti személy videójának bejátszásával stb.
Az ENISA módszerei a csalások ellen
Környezeti elemek vizsgálata: segít a hamis elemek felismerésében, ha az azonosítás során a videótovábbítás magas bitrátával történik (nagy felbontással, magas képkocka-aránnyal) és megfelelő megvilágítással. Lehetőség szerint az ellenőrzés során az olyan metaadatokat is figyelni kell, mint a geolokáció, IP-cím, időpecsét, VPN használata.
Személyi iratok: a legnagyobb biztonságú azonosítási irat az NFC-chippel ellátott személyazonossági kártya.
PAD- (Presentation Act Detection) szoftver használata: az automatizált megoldások alapja az ún. PAD-szoftver, amely mesterséges intelligenciával (gépi tanulással) képes felismerni, ha a kép, videófelvétel természetes személyről készült. Az ellenőrzés során az ügyfelet bizonyos mozdulatok elvégzésére kérik fel, amivel kiküszöbölhető, hogy az illető előre felvett videót továbbítson, továbbá az is látható, ha a képet módosító szoftver rendereli.
Szervezeti kontroll: a technológiai eszközök használata és vizsgálata mellett fontos az is, hogy a távoli azonosítási folyamat iparági szabványok mentén, továbbá egyértelmű és érthető szabályok mentén történjen.
A folyamatok kontrollja: habár ennek fontossága magától értetődő, meg kell említeni a rendszerek és folyamatok rendszeres tesztelését. Fontos rögzíteni, hogy pontosan mit kérünk az ügyféltől a távoli azonosítási folyamat során, az így kapott adatokat tárolni későbbi elemzésre (a GDPR-előírásoknak megfelelően), valamint azt is, hogy mi a teendő, ha a bizonyítás nem sikerült vagy nem elegendő mértékben.
Magyarországon a helyzet jó, de javítható
Itthon a távoli azonosítást nagymértékben egyszerűsíti az állami Ügyfélkapu, miután a személy azonosságának megállapítása és digitális ügyintézési jogosultsága előzőleg megtörtént. De még itt is van tennivaló.
2022. január 1-től az Ügyfélkapu egyik alapvető szolgáltatása, a Központi Azonosítási Ügynök (KAÜ), ügyfél-átvilágítási célokra is használható. Februárban a FinTechZone szervezésében szakemberek segítségével webináriumon tekintették át a főbb kérdéseket és problémákat. Ezek között szerepel, hogy a magas fokú biztonságot nyújtó kétfaktoros hitelesítés nem érhető el a KAÜ-s azonosításnál (ennek lehetőségét azóta megteremtették – a szerk.), viszont van megoldás. A szakértők szerint az egyik az e-személyis azonosítás, a másik pedig az arcképes azonosítás, amely egyszeri videós, élő ügyintézővel támogatott regisztrációt követően a későbbiekben önkiszolgáló módon használható, okmány felmutatásával, arcképkészítéssel és mimikaműveletes (például kacsintásos) élőségvizsgálattal működik.
