Puhelun varmennuksen (joskus myös puhelintunnistautuminen) tarkoituksena on yksinkertaisesti selvittää, onko soittaja todella se henkilö, joka hän väittää olevansa. Kyse on siis soittajan henkilöllisyyden varmentamisesta huijausten ja identiteettivarkauksien ehkäisemiseksi.
Puhelun varmennusmenetelmät ovat muuttuneet ja ennen kaikkea kehittyneet huomattavasti vuosien varrella. Käymme ensin läpi muutamia perinteisiä tunnistautumismenetelmiä, minkä jälkeen tutustumme siihen, miten nykyaikainen eID-pohjainen puhelun varmennus toimii.
Perinteiset soittajan tunnistautumismenetelmät
Perinteisesti yritykset ja virastot ovat voineet käyttää muun muassa seuraavia menetelmiä soittajan henkilöllisyyden varmentamiseen:
- Turvakysymykset: Vastaukset kysymyksiin, kuten “Missä kaupungissa synnyit?”, ovat helppoja muistaa, mutta usein myös helppoja arvata tai saada selville. Joissakin tapauksissa huijarit pääsevät tällaisista tarkistuksista läpi jopa yhdeksän kertaa kymmenestä.
- PIN-koodi tai muut tunnuskoodit: Soittaja syöttää ennalta määritetyn koodin puhelimen näppäimistöllä. Menetelmä on kuitenkin altis tietojenkalastelulle ja sosiaaliselle manipuloinnille.
- Henkilötunnus tai sen osa: Ongelma on siinä, että tämän tietäminen ei vielä osoita, että henkilö on todella se, joka hän väittää olevansa. Henkilötunnuksia paljastuu helposti arkisissa tilanteissa tai tietomurtojen yhteydessä.
- Kertakäyttöiset pääsykoodit (OTP): Soittajalle lähetetään kertakäyttöinen koodi puhelimeen tai sähköpostiin. Tämä on staattisia salasanoja parempi ratkaisu, mutta ei suojaa SIM-korttihuijauksilta tai tietojenkalastelulta.
- Soittajan numeron vertaaminen järjestelmän tietoihin ANI-tunnistuksen avulla: ANI-tunnistus tarkoittaa sitä, että järjestelmä tunnistaa saapuvan puhelun numeron automaattisesti ja vertaa sitä asiakastietoihin. Tämä ei juuri auta tilanteissa, joissa puhelu tulee varastetusta puhelimesta tai näyttää tulevan eri numerosta kuin mistä se todellisuudessa tulee. Lisäksi soittajalla voi olla uusi puhelinnumero.
- Ääneen perustuva biometrinen tunnistus: Menetelmä pyrkii tunnistamaan soittajan äänen automaattisesti ja yhdistämään sen olemassa olevaan asiakastietoon. Nykyinen tekoälypohjainen äänen kloonaus on kuitenkin tehnyt tästä tavasta huomattavasti aiempaa epäluotettavamman.
Jokaisella näistä perinteisistä menetelmistä on omat vahvuutensa ja heikkoutensa. Osa on helppo ottaa käyttöön, mutta ne ovat tietoturvaltaan heikompia. Osa taas tarjoaa paremman suojan, mutta saattaa tehdä asioinnista hitaampaa ja hankalampaa.
Tarjolla on kuitenkin parempi vaihtoehto.
Puhelun varmennus on yleistymässä
Yhä useammat yritykset siirtyvät sähköiseen tunnisteeseen pohjautuvaan soittajan vahvaan tunnistautumiseen eli puhelun varmennukseen.
Sen sijaan, että asiakkaalta kysyttäisiin ennalta määritettyjä kysymyksiä tai siirrettäisiin koodeja eri kanavien kautta, käyttäjä voi todistaa henkilöllisyytensä samalla sähköisellä tunnistautumismenetelmällä, jota hän jo käyttää muissakin yhteyksissä. Tunnistautuminen tapahtuu lisäksi hänen omalla laitteellaan erillään puhelusta.
Tämä tekee eID-pohjaisesta puhelun varmennuksesta sekä perinteisiä menetelmiä turvallisempaa että käyttäjäystävällisempää.
Puhelun aikana tapahtuva tunnistautuminen voidaan käynnistää kahdella eri tavalla: joko asiakaspalvelujärjestelmä käynnistää sen automaattisesti tai asiakaspalvelija käynnistää sen puhelun aikana.
- Järjestelmä voi tehdä tämän esimerkiksi nykyisille asiakkaille automaattisesti tai sen jälkeen, kun soittaja on antanut tunnisteen IVR-valikossa (eli puhevalikossa). Tämä voi tapahtua jo puhelujonossa.
- Jos vastuu tunnistautumisen aloittamisesta on asiakaspalvelijalla, hän voi itse arvioida tarpeen ja valita sopivan hetken CIBA-prosessin aloittamiselle. CIBA on tunnistautumismenetelmä, jossa palvelu lähettää tunnistautumispyynnön taustakanavan kautta, ja käyttäjä hyväksyy sen omassa eID-sovelluksessaan.
Tämän jälkeen prosessi etenee molemmissa tapauksissa käytännössä samalla tavalla.
Katsotaan seuraavaksi, mitä sen jälkeen tarkalleen tapahtuu.
Puhelun varmennuksen kolme osapuolta
Jokaisessa eID:hen perustuvassa soittajan tunnistautumisessa on mukana kolme osapuolta:
- Asiakaspalvelu: puhelukeskuksen asiakaspalvelija tai järjestelmä, joka käynnistää tunnistautumispyynnön
- Soittaja: henkilö, joka tunnistautuu sähköisellä eID-tunnisteella
- Valtuutuspalvelin: välikerros, joka hoitaa itse tunnistautumisen teknisen toteutuksen
Mitä asiakaspalvelija näkee?
Asiakaspalvelijalle prosessi on varsin yksinkertainen.
Käytännössä hänen tarvitsee vain syöttää soittajan tunniste, jotta CIBA-prosessi voidaan käynnistää. Kun soittaja on tunnistautunut onnistuneesti, asiakaspalvelija näkee näytöllään soittajan henkilöllisyyden varmennetuksi – siinä kaikki! Asiakaspalvelija voi tämän jälkeen jatkaa asiakkaan auttamista normaalisti.
Mitä soittajan tulee tehdä?
Soittajan puolella vaiheita on hieman enemmän, mutta puhelun varmennus ei juuri poikkea tutusta verkkopankin tai muun verkkoasioinnin sähköisestä tunnistautumisesta.
Ensimmäiseksi soittaja saa eID-ratkaisusta riippuen puhelimeensa ilmoituksen, jossa häntä pyydetään aloittamaan tunnistautuminen. Tässä vaiheessa häneltä voidaan myös kysyä, soittiko hän todella kyseiseen yritykseen. Tämä auttaa ehkäisemään puheluihin kohdistuvia petoksia ja antaa soittajalle mahdollisuuden keskeyttää prosessi tarvittaessa.
Jos soittaja hyväksyy pyynnön, loppu on tuttua: hän tunnistautuu normaalisti tunnistautumissovelluksensa kautta, jonka jälkeen hän voi jatkaa keskustelua asiakaspalvelijan kanssa.
Mitä tapahtuu taustalla?
Lyhyesti sanottuna: paljon.
Valtuutuspalvelin hoitaa suurimman osan prosessista ja välittää pyyntöjä sekä ilmoituksia kahden muun osapuolen välillä.
Prosessi etenee suurin piirtein näin:
- Kun asiakaspalvelija käynnistää tunnistautumisen omassa järjestelmässään, valtuutuspalvelin vastaanottaa tunnistautumispyynnön, joka sisältää muun muassa soittajan tunnisteen
- Palvelin vastaa yksilöllisellä tunnisteella, jonka avulla pyyntö vahvistetaan ja sitä voidaan seurata
- Palvelin välittää pyynnön soittajan laitteelle ja pyytää tätä tunnistautumaan
-
Kun soittaja on tunnistautunut, palvelin välittää tiedon asiakaspalvelijan järjestelmään erityisten tunnisteiden tai todisteiden muodossa, jotka vahvistavat soittajan henkilöllisyyden
Kuinka yrityksesi voi ottaa puhelun varmennuksen käyttöön?
Jos yrityksesi haluaa ottaa käyttöön eID-pohjaisen soittajan sähköisen tunnistautumisen, tarvitset muutaman perusasian:
- Yhteensopivan asiakaspalvelu- tai puhelinjärjestelmän: järjestelmän täytyy tukea CIBA-prosesseja
- Asiakastunnisteet: tarvitset tavan yhdistää soittajan yksilölliseen tunnisteeseen, jonka perusteella tunnistautuminen voidaan käynnistää
- eID-välityspalvelu: monissa maissa eID-varmennus edellyttää sertifioitua välityspalvelua, kuten Iduraa, joka huolehtii oikeudellisesta ja teknisestä toteutuksesta.
Puhelun varmennus on kehittynyt paljon turvakysymysten alkuajoista. Sähköiset eID-ratkaisut tarjoavat nykyisin luotettavamman tavan tunnistautua.
Eikä sekään haittaa, että sähköinen tunnistautuminen on Pohjoismaissa jo lähes kaikkien käytössä. Lisäksi tarvittavat älylaitteet löytyvät jo valmiiksi asiakkaidesi taskusta.
