Derfor er identifikation ikke er det samme som verifikation

Callcenter-medarbejdere skal vide, hvem der er i den anden ende af linjen.

Derfor beder virksomheder typisk dem, der ringer, om at identificere sig.

I den forbindelse kan man blive bedt om at oplyse sit CPR-nummer eller besvare et sikkerhedsspørgsmål.

Problemet er, at selvom mange af disse metoder kan hjælpe med at identificere personen, er de sjældent tilstrækkelige til at verificere vedkommendes identitet.

For at forstå hvorfor det er sådan, skal vi se nærmere på forskellen mellem identifikation og verifikation.

Hvad er identifikation?

Identifikation handler om at matche en person med en eksisterende kunde.

Så finder du ud af: "Hvilken kunde er dette?"

I et callcenter kan en medarbejder bede den, der ringer, om information, der kan hjælpe med at finde kundens ordre eller sag: en e-mailadresse, de sidste fire cifre i et kreditkortnummer, et kunde-ID-nummer og så videre.

Det er en hurtig måde at finde den rigtige kunde på, men det giver ikke nogen garanti for, at den person, der ringer, faktisk er den pågældende kunde. Det skyldes, at de oplysninger, der er nødvendige for identifikation – herunder svar på sikkerhedsspørgsmål – kan blive overhørt, uforvarende videregivet eller stjålet.

Derfor kan enhver bruge f.eks. dit CPR-nummer til at udgive sig for dig under et opkald.

Det er præcis sådan, identitetssvindel ofte foregår.

Og det er netop derfor, at verifikation er så vigtig.

Hvad er verifikation?

Verifikation vil sige, at man bekræfter, at den, der ringer, faktisk er den identificerede kunde.

Processen bygger på metoder, der er mindre sårbare over for svindel, såsom engangskoder eller stemmebiometri.

Den, der ringer, skal bevise, at vedkommende er den, vedkommende giver sig ud for at være. Det er ikke nok blot at kende de rigtige oplysninger om kunden.

En af de mest sikre måder at gøre det på er at lade den, der ringer, bekræfte sin identitet med sit CPR-nummer via en app på sin enhed.

Sammenlignet med andre verifikationsmetoder giver eID-baseret autentifikation af den, der ringer, den bedste kombination af sikkerhed, beskyttelse mod svindel og brugeroplevelse.

Hvorfor forveksles de ofte?

De to begreber blandes ofte sammen, fordi autentifikation, der er baseret på viden om kunden, tidligere er blevet set som en acceptabel måde at verificere en persons identitet på.

Derfor er der stadig virksomheder, der bruger sikkerhedsspørgsmål eller CPR-numre til at verificere kunder i telefonen.

Men tiderne ændrer sig, og vidensbaseret autentifikation er blevet upålidelig, når man skal verificere. I praksis kombineres den ofte med yderligere verifikationsmetoder i det, der kaldes multifaktor-autentifikation.

Hvis du vil lære at skelne mellem identifikation og verifikation, kan du spørge dig selv: Kunne en anden person let oplyse de samme informationer i stedet for den egentlige kunde? Hvis svaret er ja, har du at gøre med identifikation. Men hvis processen også involverer noget, som kunden har eller er, taler vi om verifikation.

Derfor er forskellen vigtig

Hvis din organisation stadig behandler identifikation som verifikation, risikerer du, at give enhver, der ringer med de rigtige oplysninger, adgang til en andens konto og følsomme data.

Svindel er allerede på et historisk højt niveau, og AI gør det kun værre. Derfor er det i stigende grad uforsvarligt at bruge identifikation i stedet for verifikation.

Løsningen er ikke helt at undlade at bruge CPR-numre eller andre oplysninger til at identificere kunden. De er stadig nyttige til at matche dem, der ringer, med de rigtige kundeoplysninger.

Men du bør altid supplere identifikationen med et ekstra verifikationstrin.

Og det er ikke kun, fordi det kan være påkrævet i henhold til lovgivningen, men du skylder dine kunder at indføre sikre metoder til at verificere dem, der ringer med fx opkaldsverifkation med eID.

Hvor passer »autentifikation« ind i billedet?

"Verifikation" og "autentifikation" bruges ofte i flæng til at beskrive den handling, der sker, når man bekræfter en persons identitet.

Hvis man vil være pedantisk, er der en lille forskel mellem de to: Verifikation er typisk en engangsbegivenhed, der finder sted, når en kunde opretter en konto for første gang. Autentifikation er en tilbagevendende handling, der finder sted, hver gang en bruger logger på for at få adgang til en tjeneste.

Men i forbindelse med et telefonopkald giver det ikke mening at skelne: Medarbejderen skal altid bekræfte, hvem der ringer, uanset om man kalder det verifikation eller autentifikation.

Det vigtigste er, at identifikation af en kunde ikke automatisk er det samme som verifikation (eller autentifikation) af vedkommende. Verifikation kræver en mere sikker tilgang.