VIDEO Ce date să NU introduceți în AI. Parole diferite pentru fiecare cont, fără date de naștere sau alte informații personale - avertisment DNSC la Maratonul digitalizării

Diana Alisa Pașavel, expert în cadrul Directoratului Național de Securitate Cibernetică (DNSC), recomandă la Maratonul digitalizării. România conectată, organizat de Profit.ro și având ca partener exclusiv compania Metaminds. evitarea furnizării de date sensibile, utilizarea unor parole diferite pentru fiecare cont și verificarea atentă a mesajelor care solicită acțiuni urgente.

Evenimentul este transmis în direct atât pe toate platformele Profit.ro, cât și la postul de televiziune Prima News

Odată cu extinderea utilizării inteligenței artificiale, crește și riscul ca angajații companiilor sau utilizatorii individuali să transmită informații confidențiale unor servicii externe, fără să cunoască exact modul în care acestea vor fi prelucrate.

Diana Alisa Pașavel, expert în cadrul DNSC, atrage atenția că utilizarea instrumentelor AI trebuie însoțită de o evaluare a informațiilor pe care utilizatorii sunt dispuși să le ofere companiilor care administrează aceste servicii.

„Avem un filtru foarte simplu pe care putem să-l aplicăm toți. Aș da datele respective unei alte companii? Dacă răspunsul este nu, nu le urc în niciun AI. Pentru că asta fac, le dau unei alte companii, îi dau acces la datele respective”, a explicat Pașavel, la Maratonul Digitalizării organizat de Profit.ro.

Aceasta a arătat că adoptarea oficială a inteligenței artificiale în companii nu reflectă neapărat utilizarea reală a tehnologiei de către angajați. Chiar dacă o organizație nu a implementat un sistem AI, salariații pot folosi individual asemenea instrumente pentru a-și simplifica munca, inclusiv prin introducerea unor informații de serviciu.

Ce date putem introduce în inteligența artificială

Recomandarea DNSC este ca informațiile personale să fie protejate și, atunci când utilizarea lor este necesară, să fie anonimizate înainte de introducerea într-un instrument AI.

Date precum CNP-ul, informațiile bancare, datele de identificare ale altor persoane sau informațiile confidențiale ale companiilor nu ar trebui furnizate unor servicii publice de inteligență artificială fără garanții clare privind protecția și utilizarea lor.

„Datele personale trebuie cu siguranță protejate și anonimizate. Eu pot să îi dau AI-ului anumite date, să mă ajute să compun un mail, de exemplu. Dar nu o să îi dau numele dumneavoastră, ca să vă răspundă dumneavoastră în numele meu, o să îi spun: spune doamnei X”, a explicat Pașavel.

O altă problemă este controlul asupra datelor după transmiterea lor. Utilizatorul nu are acces direct la infrastructura furnizorului pentru a verifica eliminarea completă a informațiilor. Posibilitățile de ștergere și utilizarea datelor pentru antrenarea modelelor diferă însă de la un serviciu AI la altul și depind de setările și politicile acestuia.

Pentru organizațiile care lucrează cu informații sensibile, o alternativă este utilizarea unor sisteme AI locale, în care compania poate controla mai strict datele și accesul la ele.

CITEȘTE ȘI VIDEO De ce lipsește un ecosistem integrat de servicii publice digitale, când există tehnologie, experți și finanțare. Ovidiu Ghiman, CEO Metaminds: Succesul digitalizării nu ar trebui evaluat în funcție de numărul de aplicații sau de bugetele cheltuite,

Această variantă presupune însă și responsabilități suplimentare privind securizarea infrastructurii și limitarea accesului la angajații autorizați.

Cum recunoaștem tentativele de fraudă: atacatorii creează un sentiment de urgență

Dincolo de riscurile asociate inteligenței artificiale, una dintre cele mai frecvente amenințări pentru utilizatorii obișnuiți rămâne phishingul, prin care atacatorii încearcă să obțină parole, informații personale sau acces la conturi.

Pașavel avertizează că aceste tentative sunt tot mai greu de recunoscut. Dacă în trecut mesajele frauduloase puteau fi identificate relativ ușor după greșelile gramaticale sau adresele suspecte, instrumentele moderne permit realizarea unor mesaje mult mai convingătoare.

„Phishingul s-a schimbat față de ultimii ani, în care erau greșeli gramaticale evidente și ne puteam da seama mult mai ușor că este phishing. Acum nu mai e același lucru, dar tot putem să avem o gândire critică și, cumva, principalul instrument pe care îl folosesc atacatorii este urgența”, a explicat reprezentanta DNSC.

Mesajele care solicită o plată imediată, accesarea urgentă a unui link sau transmiterea rapidă a unor informații trebuie verificate înainte de a fi urmate instrucțiunile. „Ei creează un sentiment că trebuie să acționăm acum. Ar fi mai precaut să ne luăm câteva secunde și să verificăm dacă chiar este real”, a spus Pașavel.

Un risc suplimentar îl reprezintă materialele deepfake, realizate cu ajutorul inteligenței artificiale, care pot imita imaginea sau vocea unor persoane reale. Potrivit expertei DNSC, progresele tehnologice fac ca aceste materiale să fie tot mai greu de identificat prin simpla observare a unor neconcordanțe între voce și mișcarea buzelor.

Parole diferite pentru fiecare cont, fără date de naștere sau alte informații personale

O altă recomandare privește modul în care utilizatorii își gestionează parolele. Aceeași parolă nu ar trebui folosită pentru mai multe conturi, deoarece compromiterea unuia dintre acestea poate permite accesul și la celelalte servicii.

De asemenea, parolele nu ar trebui să includă informații personale ușor de descoperit, precum data nașterii, anul căsătoriei sau anul nașterii copiilor.

„Recomandarea este în primul rând să fie parole diferite, nu le reciclăm. Apoi să fie parole complexe, care să nu aibă nicio legătură cu viața noastră personală”, a declarat Pașavel.

Pentru că memorarea unui număr mare de parole este dificilă, DNSC recomandă utilizarea unui manager de parole. Acesta permite păstrarea unor parole distincte și complexe pentru fiecare cont, fără ca utilizatorul să fie nevoit să le memoreze individual.

„Le punem într-un password manager, un manager de parole. El le va ține minte, le va asocia cu fiecare cont. Ele vor fi diferite pentru fiecare cont în parte, iar noi ne logăm o singură dată în password manager cu o parolă complexă și, de preferat, cu autentificare în mai mulți factori”, a explicat reprezentanta DNSC.

Managerul de parole poate fi utilizat atât pe telefon, cât și pe laptop, astfel încât parolele să fie disponibile pe dispozitivele utilizatorului.

Autentificarea în mai mulți factori adaugă un nivel suplimentar de protecție, prin solicitarea unei verificări în afara parolei, inclusiv prin telefon.

Simulările de atac pot ajuta angajații să recunoască fraudele

În cazul companiilor și instituțiilor publice, DNSC recomandă organizarea unor exerciții prin care angajații să învețe să identifice mesajele frauduloase și tentativele de manipulare. O organizație poate simula trimiterea unor mesaje de phishing pentru a observa cum reacționează angajații, iar rezultatele trebuie folosite pentru instruire, nu pentru sancționarea celor care greșesc.

Pașavel a arătat că DNSC publică și ghiduri de securitate cibernetică, adaptate atât publicului general, cât și unor sectoare de activitate, și participă la exerciții și simulări.

În cazul unui atac reușit, utilizatorii și organizațiile trebuie să reacționeze cât mai rapid, să limiteze efectele și să raporteze incidentul către DNSC, inclusiv prin platforma națională de raportare a incidentelor de securitate cibernetică.