Por Dr. Mohamed Lazzouni
Este artigo foi publicado originalmente no SC Media .
Os dados biométricos tornaram-se o padrão preferido para verificação de identidade. A Amazon recentemente ganhou destaque ao lançar senhas biométricas que permitem aos usuários acessar contas e serviços simplesmente mostrando o rosto. Isso elimina a necessidade de memorizar senhas complexas.
Além disso, a biometria é praticamente impossível de subverter, especialmente agora que muitas vezes vem acompanhada de liveness detection Capacidades que permitem distinguir entre uma imagem e o rosto de uma pessoa real, ajudando assim a impedir a ação de impostores.
A biometria promete melhorar a segurança e aprimorar drasticamente a experiência do usuário. De acordo com uma de nossas pesquisas recentes, mais da metade dos consumidores prefere se cadastrar em um novo produto ou serviço usando biometria, e essa facilidade de verificação aumenta a probabilidade de continuarem usando o produto ou serviço.
Apesar dos benefícios, as organizações devem considerar alguns fatores importantes para uma implementação biométrica bem-sucedida:
- Ofereça opções de adesão/recusa: Dê aos usuários controle sobre o uso de seus dados biométricos e ofereça alternativas para aqueles que não desejam fornecê -los . Vários estudos sugerem que os americanos estão bastante dispostos a usar a biometria. No entanto, seus níveis de confiança e conforto dependem muito do contexto em que a biometria é implementada. Embora os consumidores geralmente confiem mais na biometria em serviços financeiros , eles confiam menos em seu uso por grandes empresas de tecnologia e mídias sociais. Eticamente, podemos deixar todos os usuários confortáveis oferecendo procedimentos claros de adesão/recusa, que dão aos usuários controle total sobre como seus dados biométricos são usados. Se uma pessoa não deseja fornecer seus dados biométricos, as organizações devem sempre oferecer um meio alternativo para verificar a identidade. Na grande maioria dos casos, o desejo de conveniência prevalecerá e a maioria das pessoas escolherá o método biométrico. Um excelente exemplo disso: aeroportos em todo o país observaram que, ao usar a biometria, conseguem embarcar passageiros em voos em uma fração do tempo que leva com documentos de identificação padrão.
- Evite vieses: Escolha algoritmos treinados em conjuntos de dados globais diversos para minimizar vieses. Nas últimas semanas, muitas notícias têm abordado o tema de viés em biometria . Ao analisar as opções biométricas disponíveis no mercado, frequentemente observa-se uma grande discrepância na capacidade dos algoritmos de alcançar neutralidade e equidade demográfica, tratando todos os indivíduos de forma justa. Portanto, para eliminar vieses baseados em idade, sexo ou raça, certifique-se de que o algoritmo escolhido tenha sido treinado em conjuntos de dados extremamente diversos de todo o mundo.
- Faça investimentos sensatos: os produtos SaaS permitem uma implementação acessível para empresas de todos os portes. Aproveite a infraestrutura existente sempre que possível: do ponto de vista técnico, apenas grandes empresas consolidadas podiam implementar biometria no passado devido ao alto investimento inicial de tempo e trabalho necessário. Hoje, organizações menores têm a oportunidade de implementar soluções biométricas baseadas em SaaS, ideais para empresas de qualquer porte e com funcionalidade imediata. Além disso, em aplicações de controle de acesso físico (garantindo que indivíduos autorizados possam acessar uma instalação), há uma ótima notícia: em muitos casos, as organizações não precisam adicionar nova infraestrutura (como câmeras ou leitores) nem substituir a infraestrutura existente. Elas podem aproveitar os equipamentos que já possuem, juntamente com a tendência de "traga seu próprio dispositivo" (BYOD). A biometria combinada com o BYOD oferece automaticamente os níveis de segurança superiores associados à autenticação multifator (MFA) . Em resumo, ao avaliar soluções biométricas, é importante sempre considerar quanto dinheiro, tempo e recursos a empresa tem disponíveis para colocar um aplicativo em funcionamento. Evite ao máximo a substituição completa de toda a infraestrutura existente, pois isso gera desperdício.
- Pratique a transparência: explique claramente os protocolos de coleta, transferência, retenção e exclusão de dados biométricos. Utilize técnicas de criptografia e anonimização. Nunca armazene dados biométricos juntamente com informações pessoais identificáveis (PII). Além disso, ao implementar a biometria, as organizações devem ser totalmente transparentes em relação à forma como os dados são coletados, transferidos para processamento e armazenados; e como e quando são descartados. Especificamente, as organizações devem destacar as proteções adicionais implementadas e a extensão (se houver) do compartilhamento de dados biométricos com terceiros.
Como as equipes devem coletar e armazenar todos os dados biométricos?
Em relação à coleta, existem técnicas que as equipes de segurança podem usar para garantir que os dados biométricos (uma impressão digital como senha) nunca saiam do dispositivo que os captura. Quanto à transferência, utilize criptografia tradicional para os dados em trânsito e as organizações que lidam com os dados devem sempre seguir as melhores práticas, como o uso de uma VPN.
No que diz respeito à retenção de dados, as organizações estão adotando diversas abordagens inovadoras, incluindo a "biometria cancelável", em que uma imagem biométrica distorcida, derivada da original, é usada para autenticação. Por exemplo, em vez de cadastrar o usuário com uma impressão digital verdadeira (ou outra biometria), a impressão digital é intencionalmente distorcida de forma repetível e uma nova impressão é utilizada. Se, por algum motivo, a impressão digital antiga for "roubada", é possível emitir uma "nova" impressão digital simplesmente alterando os parâmetros do processo de distorção.
Além disso, existe uma nova técnica que decompõe os modelos biométricos em bits anonimizados. Essa abordagem torna praticamente impossível para um hacker acessar modelos biométricos completos, mesmo na rara eventualidade de um hacker conseguir acessar a rede. Outras proteções para dados biométricos armazenados incluem a exclusão de dados em intervalos regulares e o armazenamento de dados biométricos sempre que houver informações de identificação pessoal (PII), de modo que, na improvável hipótese de os dados biométricos serem acessados por um hacker, eles não terão valor algum.
Embora as vantagens e os benefícios da biometria sejam vastos, há importantes questões éticas e técnicas a serem consideradas antes da implementação. Procedimentos de consentimento claros e concisos, a eliminação de vieses, investimentos sensatos e a definição completa de protocolos de segurança e proteção de dados são essenciais para o sucesso de qualquer iniciativa biométrica.
