Swedbank considera la identidad una primera línea de defensa

Swedbank está ampliando la automatización y reforzando el control de las identidades humanas y no humanas a medida que usuarios, sistemas y agentes de IA acceden a más servicios, según Pär Kidman, responsable de Identity and Access Management (IAM) del banco.

Kidman lleva casi tres años en el cargo y supervisa gobernanza, riesgos, cumplimiento, estrategia tecnológica, presupuesto, hoja de ruta y un equipo de más de 30 personas. Declaró a Techtidningen que la identidad es esencial para las operaciones bancarias diarias y constituye una amplia superficie de ataque.

El banco trabaja para automatizar las revisiones de acceso con datos de recursos humanos e implantar el control de acceso basado en roles (RBAC) en áreas con tareas similares. También aplica los principios de zero trust, least privilege y zero standing privilege. Con métodos just-in-time, los permisos elevados se conceden cuando hacen falta y se retiran al terminar la tarea.

Swedbank ha empezado a inventariar los agentes de IA existentes y previstos, así como capacidades relacionadas. Su consejo de IA debate la incorporación de agentes, los criterios para ponerlos en producción y los controles de seguridad. Kidman afirma que un agente desarrollado internamente debe seguir el mismo ciclo de desarrollo que otras aplicaciones, con análisis de código, análisis de vulnerabilidades y pruebas de penetración.

Como los agentes pueden funcionar durante poco tiempo o permanecer activos más tiempo, el banco estudia revisar las políticas que rigen su acceso en vez de depender únicamente de aprobaciones para cada agente. Entre las otras medidas debatidas figuran policy as code y una puerta de enlace que compruebe la autenticación, la autorización y las instrucciones del agente, incluidos los intentos de prompt injection. Kidman afirma que cada identidad de agente debe tener un responsable humano, una justificación clara del acceso y responsabilidades trazables.