Bank harus serius dalam mengukur dan memitigasi risiko terkait AI

Dalam angsuran ketiga dari seri saya teknologi perbankan Dan aturankami menyelidiki masalah-masalah penting penipuan, dunia maya, dan risiko keamanan lainnya di era kecerdasan buatan dan teknologi modern.

Sekitar satu dekade yang lalu, CEO sebuah bank kecil mengatakan kepada saya bahwa mereka melindungi institusi mereka dari a serangan virus siber dengan mencetak semua catatan setiap malam. Meskipun hal ini mungkin merupakan strategi yang efektif di masa lalu, dunia saat ini adalah hal yang berbeda. Kuda teknologi telah lama meninggalkan dunia, dan bisnis serta kehidupan pribadi kita saling terkait dengan dunia digital. AI, dengan potensi besar dan risiko yang melekat, merupakan kekuatan terbaru dan terkuat yang membentuk lanskap ini

Berdasarkan landasan teknologi dan konektivitas yang ada, AI berpotensi meningkatkan kemampuan industri perbankan secara signifikan. Namun, teknologi yang sama juga meningkatkan risiko pelanggaran keamanan dan aktivitas penipuan. Kita telah melihat tahap awal ancaman yang disebabkan oleh AI, dan risiko ini kemungkinan akan meningkat di masa depan.

Ancaman serangan siber yang paling efektif datang dari musuh pemerintah dan organisasi kriminal swasta. Musuh-musuh pemerintah kita, termasuk negara-negara dengan kemampuan siber yang signifikan, terus menyempurnakan taktik mereka dalam bidang ini. Musuh-musuh ini mempunyai “pasukan siber” yang sangat besar, yang didanai dan dikendalikan oleh pemerintah mereka, yang menggunakan ancaman terus-menerus tingkat lanjut, atau APT, dalam serangan terhadap negara yang menargetkan infrastruktur penting, termasuk lembaga keuangan.

Motivasi serangan ini telah berkembang. Meskipun keuntungan finansial pernah menjadi motif utama, terutama bagi beberapa negara, negara-negara lain kini semakin fokus pada serangan “destruktif” yang bertujuan mengganggu layanan penting dan menyebabkan kerugian ekonomi. Pergeseran ini mencerminkan lanskap geopolitik yang lebih luas, dimana operasi siber telah menjadi komponen penting dalam strategi nasional. Negara-negara besar seperti Amerika Serikat, Tiongkok, dan Rusia menggunakan taktik siber untuk mencapai tujuan kebijakan luar negeri mereka. Misalnya, tuduhan spionase dunia maya dan pencurian kekayaan intelektual telah menjadi faktor utama dalam persaingan yang sedang berlangsung antara AS dan Tiongkok.

Di bidang kejahatan, ancaman serangan siber menjadi semakin canggih dan persisten. Risiko yang disebabkan oleh AI, khususnya di sektor ritel dan kartu kredit, sangatlah besar. Dengan memfasilitasi pembobolan data melalui teknik phishing yang lebih canggih dan menciptakan identitas sintetis, AI dapat mengumpulkan dan memanipulasi cukup banyak informasi pelanggan nyata untuk mengelabui alat verifikasi ID bank. Bahkan saat ini, para penjahat mengeksploitasi kerentanan ini untuk membuka rekening palsu, memanfaatkan kredit dan kemudian menutup rekening, sehingga menyebabkan bank menderita kerugian yang sangat besar.

Bank, pemerintah, dan perusahaan teknologi harus memprioritaskan pengembangan atau akuisisi alat berbasis AI untuk memerangi meningkatnya ancaman kejahatan dunia maya dan penipuan. Meskipun banyak orang di industri ini terus mengandalkan autentikasi berlapis sebagai garis pertahanan pertama, semakin jelas bahwa alat pertahanan bertenaga AI yang kuat akan sangat penting untuk melawan serangan canggih yang didukung AI.

Terdapat kekhawatiran yang semakin besar bahwa peraturan pemerintah dapat menghambat pengembangan dan penggunaan produk AI di industri perbankan. Meskipun penting untuk mengatasi potensi bahaya AI, seperti risiko diskriminasi dan operasionalisasi, hal yang sama pentingnya adalah menghindari membuang bayi bersama air mandi. Dengan hanya berfokus pada risiko, regulator mungkin secara tidak sengaja menghambat inovasi dan membatasi manfaat AI bagi sektor perbankan.

Departemen Keuangan baru-baru ini meminta masukan mengenai penggunaan, peluang dan risiko AI di sektor keuangan, menawarkan peluang penting bagi industri ini untuk mendidik regulator dan pembuat kebijakan. Dengan menyoroti manfaat alat yang didukung AI dalam melawan ancaman dunia maya dan meningkatkan efisiensi operasional, bank dapat membantu memastikan bahwa peraturan mencapai keseimbangan antara pengurangan risiko dan mendorong inovasi.

Penggunaan AI secara luas tidak bisa dihindari, terlepas dari upaya regulasinya. Baik pelaku bisnis maupun penjahat sah akan menggunakan AI untuk mendapatkan keuntungan di berbagai bidang, termasuk perbankan. Upaya untuk menghentikan pengembangan dan penggunaan AI juga serupa Upaya sia-sia Raja Canute untuk membendung arus.

Jika regulator terlalu membatasi pendekatan mereka terhadap penggunaan AI oleh bank, hal ini dapat menciptakan ketidakseimbangan yang berbahaya. Organisasi kriminal dan penyerang siber yang disponsori negara mungkin dapat mengeksploitasi teknologi AI dengan lebih efektif, sehingga memperoleh keuntungan yang signifikan dalam perang melawan penipuan dan kejahatan siber. Untuk memberikan peluang bagi bank untuk melawan, pemerintah harus mengizinkan bank menggunakan dan bereksperimen dengan alat AI yang efektif untuk melawan serangan canggih.

Selain itu, sebagian besar inovasi AI, seperti kemajuan teknologi lainnya, tidak akan dikembangkan oleh bank sendiri. Mereka akan dibangun oleh perusahaan kecil dan besar yang berspesialisasi dalam AI dan teknologi terkait lainnya. Kunci bagi bank adalah dengan lancar mengintegrasikan teknologi-teknologi baru yang digerakkan oleh vendor ini ke dalam sistem mereka melalui API dan antarmuka lainnya, memantau secara ketat teknologi-teknologi ini untuk mengidentifikasi dan memitigasi potensi risiko siber, penipuan, atau operasional yang mungkin ditimbulkannya.

Langkah-langkah penting yang harus diambil bank untuk melindungi diri mereka dari ancaman dunia maya yang baru dan lebih gesit adalah dengan menerapkan manajemen risiko pihak ketiga yang kuat, manajemen identitas dan akses, manajemen ancaman dan kerentanan, dan program perlindungan data, melakukan kampanye komunikasi dan kesadaran, serta memastikan teknologi sudah siap. hingga saat ini dengan rilis terbaru.

Terlepas dari apakah teknologi tersebut dikembangkan sendiri atau oleh pihak ketiga, perusahaan memikul tanggung jawab utama untuk memastikan keamanannya. Penting untuk merekrut pemimpin dan staf siber dan teknologi yang kuat untuk mengawasi upaya-upaya ini dan menjaga tingkat keamanan yang tinggi. Dalam hal ini, perlu dicatat bahwa ancaman yang lebih tradisional masih belum hilang – misalnya, karyawan nakal. Mereka tetap menjadi bagian dari serangkaian tantangan dunia maya yang semakin kompleks.

Di bidang ancaman dunia maya, industri jasa keuangan telah bekerja secara efektif dengan lembaga pemerintah untuk meningkatkan pemahaman tentang risiko terkini dan mengembangkan solusi. Pusat Pembagian dan Analisis Informasi, seperti FS-ISAC untuk jasa keuangan dan Dewan Koordinasi Sektor Jasa Keuangan, atau FSSCC, memainkan peran penting dalam memfasilitasi pertukaran informasi dan kolaborasi termasuk intelijen ancaman dan strategi mitigasi.

Bagi pemerintah, Departemen Keuangan memimpin, berkoordinasi dengan lembaga lain seperti Badan Keamanan Nasional, FBI, Badan Keamanan Siber & Infrastruktur, dan lainnya untuk berbagi intelijen ancaman secara real-time. FSSCC, yang mencakup perusahaan jasa keuangan dan regulatornya (melalui Komite Informasi Infrastruktur Keuangan dan Perbankan), mengadakan pertemuan tahunan untuk membahas ancaman yang muncul dan strategi mitigasinya. Ancaman AI semakin menjadi fokus diskusi ini. Dengan bekerja sama, industri dan pemerintah dapat lebih memahami dan mengatasi lanskap dunia maya yang terus berkembang.

Meskipun terdapat kemajuan signifikan dalam mengatasi ancaman siber, cukup mengejutkan bahwa risiko teknologi belum dianggap sebagai vektor risiko utama di semua lembaga keuangan, sebanding dengan risiko kredit, risiko kepatuhan, penipuan, dan risiko siber. Hal ini bukan sekedar masalah peraturan pemerintah namun merupakan masalah mendasar mengenai praktik perbankan yang baik.

Penting untuk mempertimbangkan risiko operasional sehari-hari dan risiko terkait teknologi. Bagi banyak bank, tata kelola di bidang ini masih lemah, dan para CEO mungkin tidak sepenuhnya memahami risiko yang mereka hadapi atau langkah-langkah yang diambil untuk memitigasinya.