Tekoäly tulee osaksi yritysten ERP-, CRM-, taloushallinto-, tuotanto- ja asiakaspalvelujärjestelmiä. Samalla se muuttaa myös yritysten kyberturvallisuutta.
Tekoälyn ja kyberturvallisuuden suhdetta voi tarkastella neljästä näkökulmasta:
- Tekoälyjärjestelmä ja sen käyttämät tiedot täytyy suojata.
- Henkilötietoja on käsiteltävä tietosuojasääntöjen mukaisesti.
- Tekoälyä voidaan käyttää yrityksen puolustamiseen.
- Myös hyökkääjät voivat hyödyntää tekoälyä.
Kyberturvallisuus ei siis ole tekoälyratkaisun erillinen tekninen lisäominaisuus. Se on edellytys sille, että tekoälyn tuottamiin havaintoihin, suosituksiin ja toimenpiteisiin voidaan luottaa.
Tekoälyn oma tietoturva
Yrityksen tekoälyratkaisu voi käsitellä esimerkiksi asiakastietoja, tarjouksia, sopimuksia, henkilöstötietoja, tuotantotietoja ja talouden tunnuslukuja.
Tekoäly voi myös saada pääsyn useisiin yritysjärjestelmiin. AI-agentti saattaa esimerkiksi lukea sähköposteja, etsiä tietoja ERP- ja CRM-järjestelmistä, laatia vastauksia tai käynnistää työvaiheita.
Mitä enemmän tietoja ja toimintaoikeuksia tekoälylle annetaan, sitä tärkeämpää on määritellä:
- mitä tietoja tekoäly saa käyttää
- mihin järjestelmiin se saa muodostaa yhteyden
- kenellä on oikeus käyttää tekoälyratkaisua
- mitä tekoäly saa tehdä itsenäisesti
- mitkä toimenpiteet edellyttävät ihmisen hyväksyntää
- miten tekoälyn toimintaa seurataan.
Lue tarkemmin: Yrityksen tekoälyn pelisäännöt ja hallintamalli – käytännön opas turvalliseen käyttöön
Tekoälylle kannattaa antaa vain tehtävän kannalta tarpeelliset tiedot ja käyttöoikeudet. Tätä voidaan verrata työntekijän käyttöoikeuksiin: kaikille ei anneta pääsyä kaikkeen.
Tekoälyjärjestelmään voi kohdistua myös sille ominaisia vaikuttamisyrityksiä. Esimerkiksi sähköpostissa, verkkosivulla tai asiakirjassa voi olla ohjeita, joiden tarkoituksena on johtaa tekoälyä harhaan, saada se paljastamaan tietoja tai suorittamaan väärä toimenpide. Siksi tekoälyn käsittelemään sisältöön ei voida suhtautua automaattisesti luotettavana.
Traficomin Kyberturvallisuuskeskus korostaa tekoälyn käyttöönotossa muun muassa tiedonhallintaa, käyttöoikeuksia, järjestelmäyhteyksiä ja riskienhallintaa.
Tietoturva ja tietosuoja eivät ole sama asia
Tietoturvalla suojataan järjestelmiä ja tietoja esimerkiksi luvattomalta käytöltä, muuttamiselta, katoamiselta ja häiriöiltä.
Tietosuojalla puolestaan huolehditaan siitä, että ihmisiä koskevia henkilötietoja käsitellään lainmukaisesti, läpinäkyvästi ja vain perusteltuun tarkoitukseen.
Henkilötietoja voivat olla esimerkiksi:
- asiakkaan nimi ja yhteystiedot
- työntekijän tiedot
- sähköpostiviestit
- asiakaspalvelukeskustelut
- käyttäjätunnukset ja lokitiedot
- ihmiseen yhdistettävät arviot ja käyttäytymistiedot.
Jos yrityksen tekoälyratkaisu käsittelee tällaisia tietoja, yrityksen on huomioitava EU:n yleinen tietosuoja-asetus eli GDPR myös tekoälyn käytössä.
Yrityksen kannattaa selvittää ainakin:
- mitä henkilötietoja tekoälylle välitetään
- ovatko kaikki tiedot tehtävän kannalta tarpeellisia
- mihin tarkoitukseen niitä käytetään
- käytetäänkö syötettyjä tietoja palveluntarjoajan mallien kouluttamiseen
- missä tiedot käsitellään ja säilytetään
- kuinka pitkään tiedot säilyvät
- ketkä pääsevät tietoihin käsiksi
- miten tietojen poistaminen ja muut rekisteröidyn oikeudet toteutetaan.
Erityistä harkintaa tarvitaan, jos tekoäly arvioi työntekijöitä, asiakkaita tai muita ihmisiä taikka osallistuu heihin merkittävästi vaikuttavaan päätöksentekoon.
Käytännön periaate on yksinkertainen: luottamuksellisia yritystietoja tai henkilötietoja ei pidä syöttää tekoälypalveluun ennen kuin yritys tietää, miten palvelu käsittelee niitä.
EU:n tekoälyasetus vaikuttaa myös suomalaisiin yrityksiin
GDPR:n lisäksi yritysten on huomioitava EU:n tekoälyasetus eli AI Act.
Tekoälyasetus perustuu järjestelmien riskien arviointiin. Velvollisuudet riippuvat muun muassa siitä, mihin tekoälyä käytetään ja kuinka merkittäviä vaikutuksia sen toiminnalla voi olla ihmisiin.
Kaikki tekoälyn käyttö ei ole korkean riskin toimintaa. Tavallinen tekstin luonnostelu tai tiedon tiivistäminen on eri asia kuin tekoälyn käyttäminen esimerkiksi työnhakijoiden arviointiin, henkilöstöä koskeviin päätöksiin tai ihmisiin merkittävästi vaikuttavaan automaattiseen päätöksentekoon.
EU:n tekoälyasetus tuli voimaan vuonna 2024 ja sen velvoitteita on alettu soveltaa vaiheittain. Suuri osa asetuksesta tulee sovellettavaksi 2. elokuuta 2026, mutta osa säännöistä tuli voimaan jo aikaisemmin ja joidenkin korkean riskin järjestelmien velvoitteet myöhemmin.
Yrityksen ei tarvitse opetella koko asetusta ulkoa. Sen pitäisi kuitenkin tunnistaa:
- mitä tekoälyjärjestelmiä yrityksessä käytetään
- mihin tarkoituksiin niitä käytetään
- mitä tietoja ne käsittelevät
- vaikuttavatko ne ihmisiä koskeviin päätöksiin
- kuka vastaa niiden käytöstä ja valvonnasta
- osaavatko työntekijät käyttää niitä turvallisesti.
Suomessa tietosuoja-asioita valvoo Tietosuojavaltuutetun toimisto. Kyberturvallisuuteen liittyvää tietoa, ohjeita ja tilannekuvaa tarjoaa Traficomin Kyberturvallisuuskeskus. Kyberturvallisuuskeskus myös kehittää ja valvoo viestintäverkkojen ja -palvelujen toimintavarmuutta ja turvallisuutta.
Defensiivinen tekoäly auttaa yritystä puolustautumaan
Defensiivisellä tekoälyllä tarkoitetaan tekoälyn käyttämistä järjestelmien, tietojen ja toiminnan suojaamiseen.
Tekoäly voi esimerkiksi:
- seurata kirjautumisia ja käyttöoikeuksien käyttöä
- tunnistaa normaalista poikkeavaa toimintaa
- analysoida suuria määriä lokitietoja
- havaita epäilyttäviä sähköposteja
- etsiä ohjelmistojen haavoittuvuuksia
- yhdistää eri järjestelmistä tulevia varoituksia
- auttaa tietoturvatapahtuman selvittämisessä
- priorisoida tilanteet, joihin pitäisi reagoida ensimmäisenä.
Tekoälyn vahvuutena on suurten tietomäärien nopea käsittely. Se voi löytää tapahtumien välisiä yhteyksiä ja poikkeamia, jotka jäisivät ihmiseltä helposti huomaamatta.
Tekoälypohjaiset tietoturvaratkaisut voivat auttaa organisaatioita uhkien havaitsemisessa, analysoinnissa ja torjunnassa, mutta niidenkin toimintaan liittyy rajoituksia ja virheellisten havaintojen mahdollisuus.
Tekoäly ei kuitenkaan korvaa kyberturvallisuuden perustaa. Yritys tarvitsee edelleen esimerkiksi:
- ajantasaiset ohjelmistot
- monivaiheisen tunnistautumisen
- hallitut käyttöoikeudet
- toimivat ja testatut varmuuskopiot
- suojatut päätelaitteet
- henkilöstön ohjeistuksen
- suunnitelman häiriötilanteita varten.
Heikosti suojattua järjestelmää ei voida tehdä turvalliseksi pelkästään lisäämällä siihen tekoälyä.
Tekoäly on myös hyökkääjän työkalu
Myös verkkorikolliset ja muut hyökkääjät voivat käyttää tekoälyä.
Tekoälyn avulla voidaan tuottaa nopeasti:
- uskottavia huijausviestejä
- eri kielille mukautettuja tietojenkalasteluviestejä
- yrityksen toimintaan sovitettuja yhteydenottoja
- väärennettyä ääntä, kuvaa ja videota
- haitallisen ohjelmakoodin eri versioita
- suuria määriä automatisoituja hyökkäysyrityksiä.
Hyökkääjä voi kerätä verkosta tietoa yrityksestä, sen henkilöstöstä ja yhteistyökumppaneista. Tekoäly auttaa muotoilemaan viestin, joka näyttää tulevan tutulta asiakkaalta, toimitusjohtajalta, tilitoimistolta tai järjestelmätoimittajalta.
Tekoälyllä tuotettu huijausviesti voi olla kieliopillisesti virheetön ja sisältää oikeita nimiä, tehtävänimikkeitä ja yrityksen toimintaa koskevia tietoja. Siksi kirjoitusvirheiden puuttuminen ei enää kerro viestin luotettavuudesta.
Tekoälyn arvioidaan parantavan hyökkäysten tehokkuutta erityisesti tiedon keräämisessä, kohdentamisessa, huijaussisältöjen tuottamisessa ja hyökkäysten automatisoinnissa. Samalla tekoälyä voidaan käyttää myös näiden hyökkäysten tunnistamiseen.
Yrityksessä kannattaa sopia erillinen varmistustapa ainakin tilanteisiin, joissa pyydetään:
- muuttamaan pankkitilin numero
- maksamaan poikkeava tai kiireellinen lasku
- luovuttamaan salasanoja tai tunnuksia
- avaamaan odottamaton tiedosto tai linkki
- lähettämään luottamuksellisia tietoja
- muuttamaan käyttöoikeuksia.
Varmistus voidaan tehdä esimerkiksi soittamalla tunnettuun puhelinnumeroon. Epäilyttävässä viestissä ilmoitettua numeroa ei pidä käyttää varmistamiseen.
Tekoäly muuttaa hyökkäysten ja puolustuksen nopeutta
Tekoäly nopeuttaa sekä hyökkäysten valmistelua että uhkien tunnistamista. Tulevaisuudessa yhä suurempi osa kyberturvallisuudesta perustuu automaattiseen ja lähes reaaliaikaiseen havainnointiin.
Yrityksen ei kuitenkaan tarvitse rakentaa raskasta tietoturvaorganisaatiota päästäkseen alkuun.
Tärkeintä on tunnistaa:
- yrityksen tärkeimmät tiedot ja järjestelmät
- toiminnan kannalta kriittiset järjestelmäyhteydet
- tekoälylle annettavat tiedot ja käyttöoikeudet
- tilanteet, joissa tarvitaan ihmisen hyväksyntä
- tapa toimia epäillyssä tietoturvahäiriössä
- vastuu järjestelmien seurannasta ja palautumisesta.
Erityisesti pienessä yrityksessä on tärkeää tietää, kuka reagoi, jos sähköposti, verkkokauppa, CRM, taloushallinto tai muu keskeinen järjestelmä lakkaa toimimasta.
Tekoäly ei poista ihmisen vastuuta
Hyvä periaate yritysjärjestelmissä on:
Tekoäly havaitsee → tekoäly arvioi → tekoäly ehdottaa → ihminen päättää → järjestelmä toteuttaa → toimintaa seurataan.
Joissakin tarkasti rajatuissa tilanteissa tekoäly voi myös estää tapahtuman automaattisesti. Se voi esimerkiksi pysäyttää epäilyttävän kirjautumisyrityksen tai siirtää mahdollisen huijausviestin tarkastettavaksi.
Mitä suurempi vaikutus toimenpiteellä on yrityksen toimintaan, asiakkaisiin, henkilöstöön, rahaan tai henkilötietoihin, sitä tärkeämpää on säilyttää ihmisen valvonta.
Tekoäly voi parantaa yrityksen kyberturvallisuutta merkittävästi. Samalla se tuo uusia suojattavia järjestelmiä, tietovarantoja, yhteyksiä ja käyttöoikeuksia.
Siksi tekoälyn hyödyntämistä, tietosuojaa ja kyberturvallisuutta ei kannata suunnitella erillään toisistaan.
Tätä aihetta syvennetään myöhemmin Polaris AI-Cyber -kokonaisuudessa, jossa tarkastellaan pk-yrityksen kyberturvallisuutta käytännönläheisesti. Tulevia aiheita voivat olla esimerkiksi:
- CRM-järjestelmän tietoturva
- käyttäjätunnusten ja käyttöoikeuksien hallinta
- entisten työntekijöiden oikeuksien poistaminen
- pilvipalvelujen turvallinen käyttö
- varmuuskopiot ja palautuminen
- tietojenkalastelu ja sähköpostiturvallisuus
- alihankkijoiden ja kumppaneiden pääsyoikeudet
- tekoälypalvelujen turvallinen käyttö yrityksessä
Katso myös:
Kulunvalvonta ja tekoäly – turvallisuutta, tilannetietoa ja sujuvampaa toimintaa Miten vältät AI-ERP-hankkeen epäonnistumisen?
Katso myös kyberturvallisuuden peruskäsitteistä kertova artikkelia: Tekoäly – yrityksen kyberturvallisuus puolustaja