Skydda verksamheten när hoten blir intelligentare

En begäran kommer från vd:n. Rösten låter rätt, sammanhanget är trovärdigt och ärendet brådskar. Men räcker det för att godkänna en betalning, dela känslig information eller ge någon tillgång till era system?

Med deepfakes, röstkloning och falska identiteter kan angripare utge sig för att vara chefer, kollegor, kunder eller leverantörer. Denna impersonering utnyttjar tilliten som får det dagliga arbetet att fungera. När en identitet kan imiteras behöver känsliga beslut stödjas av verifiering som håller även när bild och röst verkar övertygande.

Social engineering handlar om att påverka människor att agera på angriparens villkor. AI kan användas för att anpassa språk, budskap och förevändningar efter mottagarens roll och situation. Ett angrepp kan börja med ett till synes oskyldigt meddelande och utvecklas till en begäran som känns både rimlig och angelägen.

Därför behöver skyddet omfatta mer än förmågan att upptäcka stavfel och misstänkta länkar. Tydliga rutiner för betalningar, informationsdelning och behörigheter behöver kombineras med relevanta tekniska skydd och praktisk träning. Medarbetare måste kunna verifiera en begäran och ifrågasätta avsändaren, även när den verkar komma från högsta ledningen.

Vilseledande information, eller misinformation, kan spridas oavsiktligt. Desinformation skapas eller sprids med avsikt att vilseleda. AI kan bidra till båda, från felaktiga sammanfattningar till fabricerade dokument, falska nyheter och manipulerade ljud- och videoklipp.

För verksamheten kan konsekvenserna bli felaktiga affärsbeslut, ryktesskador eller en kris som bygger på något som aldrig har hänt. Vad gör ni om ett deepfake-klipp visar en chef uttala sig om bolaget? Eller om en AI-genererad rapport bygger på källor som inte finns?

Skyddet börjar med tydliga krav på källkontroll och verifiering. Det behöver också finnas beredskap för att snabbt bedöma, bemöta och hantera falsk information om den egna organisationen.

En AI-assistent som läser dokument, söker information eller hanterar mejl möter innehåll som ni inte alltid kontrollerar. Genom så kallad prompt injection kan en angripare försöka få systemet att följa dolda eller vilseledande instruktioner i det innehållet.

Risken blir särskilt viktig när AI får behörighet att hämta känsliga uppgifter, skicka meddelanden eller ändra information i andra system. Då måste ni bedöma vad lösningen kan nå, vilka handlingar den får utföra och när mänskligt godkännande krävs.

Säker AI-användning kräver genomtänkta behörigheter, testning och uppföljning av hela lösningen. Säkerhetsinstruktioner till modellen behöver kompletteras med kontroller i systemen runt omkring.

När medarbetare använder AI-tjänster utanför organisationens godkända miljöer kan information hamna i tjänster som ni inte har bedömt eller kontroll över. Denna skugg-AI kan omfatta allt från mötesassistenter till webbläsartillägg och verktyg för dokumentanalys.

För att minska exponeringen behöver ni förstå vilka tjänster som används, vilken information de får tillgång till och vilka integrationer som har godkänts. Medarbetarna behöver samtidigt användbara alternativ och begripliga regler. Säkerhetsarbetet blir starkare när det fungerar i den faktiska arbetsdagen.

Vad händer om ekonomiteamet får ett trovärdigt betalningsuppdrag från en falsk vd? Om en AI-agent lämnar ut information? Eller om ett manipulerat videoklipp börjar spridas om verksamheten?

En scenarioövning visar om ansvar, kontaktvägar och beslutsrutiner fungerar under press. Den hjälper er att identifiera brister innan ett verkligt angrepp gör det. Ju fler arbetsflöden som använder AI, desto viktigare blir det att ha förberett hur ni upptäcker, begränsar och hanterar en incident.

Shadow AI uppstår när medarbetare på eget initiativ skaffar AI-tjänster och andra SaaS-appar utanför organisationens godkända miljö. Verktygen kan verka harmlösa och effektiva, men deras villkor, datalagring, säkerhetsnivå och underleverantörer har ofta inte granskats.

När dokument, kunduppgifter eller kod klistras in, laddas upp eller kopplas till en sådan tjänst kan data, personuppgifter, källkod och affärshemligheter lämna er kontroll. Informationen kan lagras i andra länder, användas för att utveckla tjänsten eller bli tillgänglig för fler än medarbetaren förstår.

För att minska risken behöver ni skapa insyn i vilka appar som används, bedöma leverantörer och integrationer samt tydliggöra vilken information som aldrig får delas. Samtidigt behöver medarbetarna godkända alternativ som löser deras verkliga behov, annars fortsätter användningen i det dolda.