Swedbank ser identitet som första försvarslinje

Swedbank utökar automatiseringen och skärper kontrollen över mänskliga och icke-mänskliga identiteter i takt med att användare, system och AI-agenter får åtkomst till fler tjänster. Det uppger Pär Kidman, bankens chef för Identity and Access Management (IAM).

Kidman har haft rollen i snart tre år och ansvarar för styrning, risk, regelefterlevnad, teknikstrategi, budget, färdplan och ett team på drygt 30 personer. Han säger till Techtidningen att identitet både är nödvändig för den dagliga bankverksamheten och utgör en stor angreppsyta.

Banken arbetar med att automatisera åtkomstgranskningar med hjälp av HR-data och införa rollbaserad åtkomstkontroll (RBAC) i delar av organisationen där arbetsuppgifterna liknar varandra. Den tillämpar också principerna zero trust, least privilege och zero standing privilege. Med just-in-time-metoder ges förhöjd åtkomst när den behövs och tas bort när uppgiften är klar.

Swedbank har börjat kartlägga befintliga och planerade AI-agenter och relaterade förmågor. Bankens AI-råd diskuterar onboarding, kriterier för produktionssättning och säkerhetskontroller. Kidman säger att en agent som utvecklas internt bör följa samma utvecklingslivscykel som andra applikationer, inklusive kodskanning, sårbarhetsskanning och penetrationstestning.

Eftersom agenter kan köras kortvarigt eller finnas kvar längre överväger banken att granska policyerna som styr agenters åtkomst i stället för att enbart förlita sig på godkännanden för varje agent. Andra åtgärder som diskuteras är policy as code och en gateway som kontrollerar agentens autentisering, behörighet och instruktioner, inklusive försök till prompt injection. Kidman säger att varje agentidentitet behöver en mänsklig ägare, ett tydligt åtkomstskäl och spårbart ansvar.