Varför identifiering inte är samma som verifiering

Handläggarna på callcentret behöver veta vem som finns på andra sidan linjen.

Därför ber företag vanligtvis den som ringer att identifiera sig.

För att göra detta kan en person bli ombedd att uppge sitt personnummer eller att svara på en säkerhetsfråga.

Problemet är att även om många av dessa metoder kan hjälpa till att identifiera personen, är de sällan tillräckliga för att verifiera identiteten.

För att förstå varför, låt oss ta en närmare titt på skillnaden mellan identifiering och verifiering.

Vad är identifiering?

Identifiering handlar om att matcha en person med en befintlig kund.

Den besvarar frågan: "Vilken kund är detta?"

I ett callcenter kan en handläggare be den som ringer om en identifierare som gör det möjligt att ta fram kundens uppgifter: en e-postadress, de fyra sista siffrorna i ett kreditkort, ett kund-ID och så vidare.

Detta fungerar för att snabbt hitta rätt kund, men säkerställer inte för handläggaren om att den som ringer faktiskt är den kunden. Det beror på att information som används för identifiering, inklusive svar på säkerhetsfrågor, kan höras, delas av misstag eller stjälas.

Därför kan vem som helst använda till exempel ditt personnummer för att utge sig för att vara du i ett samtal.

Det är ofta precis så identitetsbedrägerier fungerar.

Och det är just därför som verifiering är så viktigt.

Vad är verifiering?

Verifiering innebär att man bekräftar att den som ringer faktiskt är den identifierade kunden.

Processen förlitar sig på metoder som är mindre känsliga för exponering, till exempel engångslösenord eller röstbiometri.

Den som ringer måste bevisa att de är den de utger sig för att vara, utöver att bara känna till rätt uppgifter om kunden.

Ett av de mest tillförlitliga sätten att göra detta är att låta den som ringer autentisera sig med sin nationella e-legitimation via en app på sin enhet.

Jämfört med andra verifieringsmetoder ger e-legitimationsbaserad autentisering av kund den bästa kombinationen av säkerhet, motståndskraft mot bedrägerier och användarupplevelse.

Varför förväxlas de ofta?

De två begreppen blandas ofta ihop eftersom kunskapsbaserad autentisering historiskt sett har ansetts som ett acceptabelt sätt att verifiera någons identitet.

Därför finns det fortfarande företag som förlitar sig på säkerhetsfrågor eller nationella ID för att verifiera den som ringer.

Men tiderna förändras, och kunskapsbaserad autentisering i sig själv är inte längre tillförlitlig som den enda metod för verifiering. I praktiken kombineras den ofta med andra verifieringsmetoder i det som kallas multifaktorautentisering.

Här är ett enkelt test: Kan någon annan enkelt uppge samma information istället för den faktiska kunden? Om svaret är ja, handlar det om identifiering. Men om steget också kräver något som kunden har eller är, handlar det om verifiering.

Varför skillnaden är viktig

Om din organisation fortfarande behandlar identifiering som verifiering riskerar du att ge vem som helst med rätt information tillgång till någon annans konto och känsliga uppgifter.

Bedrägerier är redan på en rekordhög nivå och AI förvärrar situationen ytterligare. Därför blir det allt svårare att försvara att låta identifiering ersätta verifiering.

Lösningen är inte att helt sluta använda nationella ID-kort eller andra kundidentifierare. De är fortfarande användbara för att matcha den som ringer med rätt kunduppgifter.

Men du bör alltid komplettera identifieringen med ett extra verifieringssteg.

Inte nog med att sådana åtgärder ofta krävs enligt lag, du är också skyldig dina kunder att införa säkra metoder för att verifiera en uppringares identitet, till exempel med autentisering av kund med e-legitimation.

Hur passar "autentisering" in i bilden?

"Verifiering" och "autentisering" används ofta som synonymer för att beskriva steget där man bekräftar någons identitet.

Om man vill vara noggrann så finns det en liten skillnad mellan de två: Verifiering är oftast en engångshändelse som sker när en kund först registrerar ett konto. Autentisering är ett återkommande steg som sker varje gång en användare loggar in för att få tillgång till en tjänst.

Men i samband med ett telefonsamtal är skillnaden mest semantisk: Handläggaren kommer alltid att behöva bekräfta vem det är som ringer, oavsett om du kallar det verifiering eller autentisering.

Den viktiga slutsatsen är att identifiering av en kund inte automatiskt är detsamma som verifiering (eller autentisering). Verifiering kräver mer robusta och säkra metoder.