Chatbots en security: wat zijn de issues?

Chatbots vormen een aantrekkelijk communicatiemiddel met voordelen voor zowel retailer als consument. Het werken en communiceren via apps wordt gemeengoed, dus overstappen op chatbots voelt voor veel consumenten als een logische stap. Voor de winkelier is het een handig hulpmiddel om niet langer druk te zijn met veelal standaard communicatie. Nieuwe kanalen betekenen echter ook nieuwe risico’s.

Tekst: Bart Bruijnesteijn

Interactie is steeds beter te automatiseren, dankzij ontwikkelingen in kunstmatige intelligentie. Diensten als Siri en Alexa vergroten bovendien de verwachting dat interactie in spreektaal gemeengoed wordt. Toch moeten gebruikers en aanbieders wennen aan de nieuwe communicatievorm, en juist daarin schuilen de risico’s. Chatbots zijn een relatief nieuw verschijnsel en tijdens ontdekkingstochten zijn IT-afdelingen het meest kwetsbaar.

Bedreigingen en kwetsbaarheden

In principe zijn er twee gevaren: bedreigingen en kwetsbaarheden. In het eerste geval wordt een systeem bewust aangevallen op een manier die de beveiliging ervan omzeilt. Hier kun je je tegen beschermen, maar het is nooit helemaal te voorkomen. Mensen die binnen willen komen, komen binnen. Ontmoedigen werkt wel.

Bij kwetsbaarheden gaat het om gaten in het systeem die worden benut. Hiertegen zijn uiteraard wel maatregelen te nemen, het is in ieder geval een stuk makkelijker. Internetbeveiliging is complex, maar in principe komt het neer op voorkomen dat communicatie kan worden onderschept, veranderd, nagemaakt en gelezen. De gebruikte HTTPS-protocollen voor andere communicatie zijn ook voor chatbots te gebruiken. De technologie achter chatbots is immers niet nieuw; ze wordt alleen aangevuld met kunstmatige intelligentie.

Aandachtspunten

Chatbots in gebruik nemen vraagt om verschillende aandachtspunten als het gaat om security. Het eerste is de beveiliging van bestaande kanalen controleren. Een eigen chatbot ontwikkelen kan binnen de eigen veilige omgeving, maar velen zullen ervoor kiezen om bestaande, publieke tools te integreren in het eigen netwerk. Een kanaal als Facebook Messenger is daarvoor ideaal, maar dan heb je wel te maken met de mate van beveiliging van dat sprecifieke communicatiemiddel. Het staat in direct contact met verschillende netwerklijnen die opeens open worden gezet naar de buitenwereld. Afscherming daarvan is dus cruciaal.

Een tweede aandachtspunt is phishing-pogingen uit naam van de retailer ontkrachten. Er zijn tal van chatbot-mogelijkheden inmiddels. Maak duidelijk aan gebruikers welke kanalen officieel zijn, zodat men niet per ongeluk de interactie aangaat met iemand die de retailers naam gebruikt maar verder niets met het bedrijf te maken heeft. Het claimen van dit soort domeinen is een slimme, extra stap om misbruik te voorkomen.

Verder is het slim om verschillende niveaus aan te brengen. Een voorraadstatus doorgeven is een relatief onschuldig verzoek en zou in principe iedereen mogen doen. Een orderstatus opvragen vereist al meer informatie van een gebruiker, waardoor verificatie van de aanvrager nodig is. Authenticatie van gebruikers moet hoog op de agenda staan.

Ten slotte is communicatiebeheer van belang. Een bot kan automatisch berichten versturen en zal in contact staan met verschillende systemen om er informatie uit te halen. Er is helder inzicht nodig in welke gegevens gedeeld worden, zowel ter bescherming van gevoelige gegevens als met het oog op privacywetgeving.

Het beste is om vast te houden aan de principes van beveiliging: houd de kennis hoog, zorg voor heldere, goed werkende security-processen, gebruik bewezen technologie en haal hulp in huis die ervaring heeft met het implementeren van deze tools om te leren van best practices.

Bart Bruijnesteijn werkt bij CyberArk, in de functie van ‘Presales Manager - UK & North Europe’