Därför kan mindre datainsamling öka företagens säkerhet

Organisationer som samlar in och lagrar stora mängder personuppgifter kan skapa fler möjligheter för uppgifterna att exponeras, enligt en artikel i TechRadar Pro Perspectives av Ajay Patel, som i källan beskrivs som chef för World ID på Tools for Humanity (TFH). Artikeln hänvisar till nyliga intrång och rapporterad försäljning av data som exempel på riskerna.

Den uppger att dataintrång hos tre stora flygplatser i Storbritannien exponerade information om nära nio miljoner människor. Revolut råkade lämna ut kunduppgifter till bedragare som utgav sig för att vara myndighetspersoner, medan hackare uppges ha erbjudit skannade kopior av nära 153 miljoner amerikanska och kanadensiska körkort till försäljning på darknet.

Identitetskontroller kan innebära att namn, födelsedatum, adresser, skannade dokument och ansiktsbilder samlas in. Uppgifterna kan sedan lagras eller kopieras mellan leverantörer och system. Artikeln hävdar att mer lagrad data skapar fler platser där den kan exponeras och användas för bedrägerier, identitetsförfalskning eller social manipulation.

Artikeln förespråkar dataminimering: tjänster bör bara begära den information som behövs för en kontroll vid ett visst tillfälle. En åldersbegränsad tjänst kan till exempel behöva bekräftelse på att någon uppfyller en minimiålder, medan en myndighetstjänst kan behöva bevis på bosättning. Enligt artikeln kan sådana kontroller göras utan att hela personens datamängd hämtas eller lagras.

Den beskriver också nollkunskapskryptografi som en möjlig metod. Personer kan lagra digitala intyg i en app och skapa bevis på sina egna enheter. En tjänst kan verifiera uppgifter som ålder, nationalitet eller dokumentägande utan att få de underliggande identitetsuppgifterna. Artikeln säger att nollkunskapsbevis inte är en fullständig lösning och ser dem som en del av en bredare övergång till kryptografisk verifiering.

Patel menar att mindre lagring av återanvändbara identitetsuppgifter kan begränsa vad angripare får tag på vid ett intrång och hjälpa organisationer att förbereda sig för AI-relaterade risker och möjliga framtida framsteg inom dekryptering. Åsikterna är författarens och behöver inte återspegla TechRadar Pro:s eller Future plc:s ståndpunkt.