Biometria pozostaje jednym z najwygodniejszych i najbezpieczniejszych sposobów uwierzytelniania, ale w erze sztucznej inteligencji przestaje być rozwiązaniem, które można uznać za oczywiście bezpieczne. Rosnące znaczenie deepfake’ów, spoofingu oraz nowych regulacji krajowych i unijnych sprawia, że organizacje korzystające z systemów biometrycznych muszą patrzeć na nie nie tylko przez pryzmat technologii, ale również ryzyka, zgodności i jakości całego procesu zarządzania tożsamością.
Rozwiązania biometryczne od kilku lat stanowią jeden z podstawowych elementów systemów uwierzytelniania. Każdy z nas przynajmniej kilka razy dziennie korzysta z biometrii, logując się za pomocą Face ID czy czytnika linii papilarnych do swojego smartfona. Rozpoznawanie twarzy, odcisków palców czy głosu jest dziś powszechnie wykorzystywane nie tylko przez sektor bankowy, który jest pionierem, jeśli chodzi o uwierzytelnianie użytkowników za pomocą systemów biometrycznych, ale również przez przedsiębiorców z innych branż. Logowanie się za pomocą systemu biometrycznego jest przede wszystkim łatwe, szybkie i wygodne. Osoba, która chce zalogować się do systemu, nie musi martwić się o zapamiętywanie hasła czy posiadanie karty dostępu, wystarczy, że fizycznie znajduje się w miejscu identyfikacji. Choć logowanie biometryczne jest bezpieczniejsze niż tradycyjne logowanie za pomocą hasła, nie niweluje ryzyka oszustwa całkowicie. W erze dynamicznego rozwoju technologii opartych na sztucznej inteligencji, w szczególności narzędzi umożliwiających tworzenie realistycznych obrazów i nagrań dźwiękowych, należy zadać sobie pytanie: czy biometria nadal jest bezpieczna?
Nowe zagrożenia: deepfake, spoofing i ataki oparte na AI
Jeszcze kilka lat temu głównym zagrożeniem było przejęcie haseł, danych do logowania, próby obejścia systemu biometrycznego za pomocą zdjęcia lub mechanicznego skopiowania odcisku linii papilarnych. Dziś systemy biometryczne narażone są na ataki wykorzystujące sztuczną inteligencję, w tym tzw. deepfake oraz spoofing. Zaawansowane modele umożliwiają odwzorowywanie realistycznych obrazów twarzy, a nawet kilkusekundowe nagranie głosu pozwala na skopiowanie głosu danej osoby z uwzględnieniem np. tonu czy szybkości mówienia, co może pozwolić na obejście procedur identyfikacji starszych lub mniej zaawansowanych czytników. To jednak nie oznacza, że wykorzystywanie systemów biometrycznych stało się niebezpieczne. Nowoczesne rozwiązania wykorzystują dodatkowe mechanizmy zabezpieczające, takie jak liveness detection, czyli wykrywanie „żywotności” osoby logującej się czy analiza zachowania (np. sposób poruszania się). Dla organizacji korzystających z rozwiązań biometrycznych oznacza to konieczność monitorowania skuteczności wdrożonych rozwiązań oraz regularnego ich aktualizowania. Obecnie o jakości systemu nie decyduje wyłącznie skuteczność rozpoznawania twarzy czy odcisku palca, ale cały proces zarządzania tożsamością użytkownika, odpowiednie procedury bezpieczeństwa oraz zdolność reagowania na nowe rodzaje zagrożeń.
Biometria a AI Act i krajowe wymogi cyberbezpieczeństwa
W świetle regulacji takich jak AI Act czy ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) rozwiązania biometryczne mogą zostać uznane za systemy wysokiego ryzyka lub podlegać nadzorowi w ramach tzw. łańcucha dostaw. Organizacje korzystające z gotowych produktów oferowanych przez zewnętrznych dostawców powinny stosować podejście oparte na ryzyku, a także kłaść nacisk na nadzór nad dostawcami. Oznacza to, że organizacja nie może uwolnić się od odpowiedzialności za skutki błędu dostawcy. Zapewnienie zgodności z AI Act oraz uKSC nie jest wyłącznie zagadnieniem technologicznym, które można oddelegować do działu IT, lecz elementem szerszego systemu zarządzania ryzykiem w organizacji.
Dane biometryczne jako szczególna kategoria danych osobowych
Warto również podkreślić, że dane biometryczne wykorzystywane do jednoznacznej identyfikacji osoby fizycznej stanowią szczególną kategorię danych osobowych, których przetwarzanie wymaga spełnienia dodatkowych warunków. W praktyce oznacza to, że organizacja planująca wdrożenie systemu biometrycznego powinna uzasadnić, że zastosowanie takiego rozwiązania jest niezbędne dla osiągnięcia zamierzonego celu, uzyskać wyraźną zgodę użytkownika, a także zapewnić, że przechowywane dane będą odpowiednio zabezpieczone. Organy nadzorcze coraz częściej zwracają uwagę nie tylko na poziom zabezpieczeń technicznych, ale również na to, czy administrator właściwie uzasadnił potrzebę stosowania biometrii oraz czy rozważył mniej ingerujące w prywatność rozwiązania.
Bezpieczeństwo zależy nie tylko od technologii, ale od całego modelu wdrożenia
Pomimo pojawiających się wątpliwości co do kwestii bezpieczeństwa i prywatności systemów biometrycznych, przede wszystkim ze względu na fakt, że raz skradzione dane biometryczne są skradzione permanentnie, odpowiednio zaprojektowane systemy biometryczne pozostają jedną z najbezpieczniejszych metod uwierzytelniania. Podkreślić należy, że wiele organizacji przechowuje jedynie cyfrowo przetworzoną próbkę biometryczną, z której zrekonstruowanie oryginalnego wzorca jest niemożliwe. Jednocześnie rozwój sztucznej inteligencji oraz regulacje krajowe oraz unijne powodują konieczność regularnego weryfikowania stosowanych systemów, ich aktualizowania, a w razie potrzeby zmiany dostawcy systemu. Wielu ekspertów podkreśla, że najbezpieczniejszą metodą uwierzytelniania użytkowników pozostaje uwierzytelnianie wieloskładnikowe łączące systemy biometryczne ze standardowymi metodami, takimi jak hasła czy PIN-y. Ostatecznie to nie sama biometria, ale sposób jej wdrożenia, zabezpieczenia i nadzoru decyduje o poziomie bezpieczeństwa całego procesu uwierzytelniania.
Autor: Weronika Rajczak, aplikantka radcowska, Junior Associate w Lawspective.
E-mail: weronika.rajczak@lawspective.pl
