Identiteitscontrole is al een tijdje geleden niet meer beperkt tot het controleren van documenten. Tegenwoordig kan het heel goed gaan om een door AI gestuurde beslissing die is samengesteld uit tientallen signalen – biometrische gegevens, apparaatvingerafdrukken, gedragspatronen, risicoscores van derden – en die is samengevat in één geautomatiseerde goedkeuring. Die ontwikkeling heeft de fraudedetectie scherper gemaakt. Het heeft ook geleid tot een probleem op het gebied van controleerbaarheid waarmee de meeste beveiligingsteams nog niet volledig rekening hebben gehouden.
De meeste organisaties kunnen uitleggen hoe hun identiteitssystemen goed functioneren. Er zijn er veel minder die kunnen aantonen wat het systeem op het moment van de beslissing heeft verwerkt, hoe het die bewijzen heeft gewogen en of het record is sindsdien ongewijzigd gebleven. In dit artikel wordt uitgelegd waarom door AI aangestuurde, gefragmenteerde identiteitsstacks die kloof hebben gecreëerd, waarom logboekregistratie alleen die kloof niet dicht en hoe een bewijslaag eruitziet – een laag die naast uw bestaande beveiligingsmaatregelen staat, en deze niet vervangt.
AI heeft de identiteitscontrole veranderd – maar ook wat je moet aantonen
Vroeger waren beslissingen over identiteit binair: een document was echt of vervalst, en een getrainde beoordelaar nam de beslissing. Dat model geeft niet meer weer hoe verificatie tegenwoordig werkt. Moderne systemen berekenen een betrouwbaarheidsscore uit een reeks probabilistische signalen – levendheidscontroles, betrouwbaarheid van gezichtsherkenning, apparaatcontext, sessietijdstip, gedragsbiometrie – en geen van deze signalen bewijst op zichzelf de identiteit. Ze worden bij elkaar opgeteld, en het systeem keurt de identiteit goed of af op basis van hoe de totale score zich verhoudt tot een drempelwaarde.
Het onderzoek van Gartner over door AI gegenereerde deepfakes laat zien waarom dit op grote schaal van belang is. Het bedrijf verwacht dat binnen een paar jaar, ongeveer drie op de tien ondernemingen zullen ophouden met het vertrouwen op gezichtsbiometrische verificatie als op zichzelf staande controlemaatregel, omdat deepfake-aanvallen het onmogelijk maken om er zeker van te zijn dat het "gezicht" aan de andere kant van de lijn een levend persoon is. Gartner wees ook op een sterke toename van zogenaamde „injection-aanvallen“ – waarbij synthetische media rechtstreeks in het verificatieproces worden ingevoerd in plaats van voor een camera te worden gehouden. Het praktische gevolg is niet alleen dat fraude moeilijker op te sporen is. Het is dat elke geautomatiseerde goedkeuring nu berust op een combinatie van signalen, waardoor het maanden later veel moeilijker wordt om precies te achterhalen waarom een besluit precies zo is genomen.
Hoe meer signalen en systemen er bij het nemen van één enkel besluit betrokken zijn, hoe moeilijker het wordt om achteraf met zekerheid vast te stellen wat er precies is gebeurd.
De controleerbaarheidskloof die schuilgaat in moderne identiteitsstacks
Er zijn maar weinig organisaties die identiteitsverificatie nog via één enkele leverancier laten uitvoeren. Een typische stack bestaat uit een combinatie van een aanbieder van documentverificatie, een biometrische/levendheidscontrole-engine, een feed met apparaatinformatie, een platform voor fraudebeoordeling en een interne coördinatielaag die de outputs samenvoegt tot één goedkeurings- of afwijzingsbeslissing. Elk onderdeel levert zijn eigen resultaat op, in zijn eigen formaat en met zijn eigen bewaartermijn. De verantwoordelijkheid strekt zich uit over die hele keten – en dat geldt ook voor het bewijsmateriaal.
Onderzoek van Deloitte In „Digital Trust“ wordt dit duidelijk benoemd: naarmate digitale ecosystemen steeds meer met elkaar verweven zijn geraakt, is de verantwoordelijkheid voor het handhaven van vertrouwen verdeeld over talrijke interne teams en externe leveranciers, in plaats van bij één enkele verantwoordelijke te berusten. In een identiteitsstack betekent dit dat de logbestanden van geen enkele leverancier het volledige verhaal vertellen – en het afstemmen van vijf gedeeltelijke logbestanden na een incident is iets heel anders dan het opvragen van één volledig overzicht.
Op dit punt schiet operationele logboekregistratie stilletjes tekort ten opzichte van wat toezichthouders verwachten. Logboeken zijn bedoeld voor het oplossen van problemen: ze vertellen je team wat het systeem heeft gedaan. Ze bewijzen op zichzelf niet dat een opgeslagen gegevensrecord niet is gewijzigd sinds het werd vastgelegd – en juist dat onderscheid vormt de basis van de regels voor het bijhouden van gegevens. De De gewijzigde Regel 17a-4 van de SEC, dat betrekking heeft op de administratie van effectenmakelaars en -handelaren, schrijft voor dat bedrijven gebruik moeten maken van ofwel onveranderlijke WORM-opslag ofwel een audittracersysteem – en het audittracersysteem voldoet alleen aan de eisen als een bedrijf de oorspronkelijke versie van elk document dat later is gewijzigd of verwijderd, kan reconstrueren. De toezichthouder vraagt niet alleen wat er in het document staat, maar ook of u kunt aantonen dat het niet is gewijzigd.
Het AI-risicobeheerkader van het NIST wijst vanuit het perspectief van AI-governance op dezelfde lacune en noemt verantwoordelijk en transparant als kernkenmerken van een betrouwbaar AI-systeem – niet alleen in principe verklaarbaar, maar in de praktijk ook aantoonbaar controleerbaar.
De kosten van het ontbreken van dat bewijs komen aan het licht wanneer er iets misgaat. Het onderzoek van IBM naar 2025 schatten dat organisaties gemiddeld ongeveer acht maanden nodig hebben om een inbreuk op te sporen en in te dammen – de kortste periode die in negen jaar onderzoek is gemeten, maar nog steeds lang genoeg om ervoor te zorgen dat elke goedkeuring die je identiteitsstack in die periode heeft gegeven, in een grijs gebied blijft hangen: veilig, of misbruikt? Zonder een onafhankelijk verifieerbaar verslag kan het maanden duren voordat die vraag beantwoord kan worden, als dat al mogelijk is.
Dat is de vraag die je "s nachts wakker zou moeten houden – niet "hebben onze controles gefaald?”, maar: Kunt u aantonen dat dit besluitdocument sinds de goedkeuring niet is gewijzigd? Voor de meeste organisaties is het eerlijke antwoord ‘nee’.
De kloof dichten met verifieerbare besluitverslagen
Fraudepreventie en bewijsintegriteit pakken twee verschillende problemen aan. Uw IDV- en fraudescore-stack geeft op het moment van de transactie antwoord op de vraag: "Is deze identiteit legitiem?" Vrijwel niets daarin geeft zes maanden later antwoord op de vraag: "Kunt u aantonen dat de registratie van die beslissing sindsdien niet is gewijzigd?" Die tweede vraag is precies waarvoor een bewijslaag is bedoeld.
Dit is de functie Truth Enforcer werkt als volgt. Het is een door blockchain ondersteund systeem voor gegevensintegriteit dat is gebaseerd op een model van ‘aanmaken, verzegelen en verifiëren’: het genereert een cryptografische vingerafdruk (hash) van een bestand of record, verankert die vingerafdruk op een specifiek tijdstip in een openbare blockchain en stelt iedereen later in staat om onafhankelijk te verifiëren of het record sindsdien is gewijzigd – zonder de daadwerkelijke inhoud ervan ooit op te slaan of bloot te geven. Het vormt de basis voor elk identiteitsplatform of elke fraudedetectie-engine die de beslissing heeft genomen, en het heeft geen invloed op de detectienauwkeurigheid. Het maakt uw fraudemodel niet slimmer. Het zorgt ervoor dat de record wat uw systemen hebben besloten, en wanneer, op onafhankelijke wijze aantoonbaar - een ‘zero-knowledge’-audittrail die zowel voor een interne auditor, een toezichthouder als de tegenpartij in een rechtszaak standhoudt.
Toets je eigen stack vóór je volgende auditcyclus aan de hand van drie vragen:
- Kunt u alle gegevens achter een identiteitsgoedkeuring van zes maanden geleden reconstrueren?
- Kun je aantonen dat dat document sinds het is aangemaakt niet is gewijzigd?
- Zou een accountant of toezichthouder uw bewijsmateriaal aanvaarden als onafhankelijk verifieerbaar – en niet alleen als intern consistent?
Als er onduidelijkheid bestaat over een antwoord, ligt de tekortkoming niet bij je controlemaatregelen. Het zit hem in je vermogen om de beslissingen te verdedigen die op basis van die maatregelen al zijn genomen.
.
Wil je zien hoe onafhankelijke integriteitscontrole er in de praktijk uitziet?
Probeer het gratis uit – geheel vrijblijvend:
Waarheidscontroleur voor IP-makers: https://truth-verifier.com/landing
Waarheidscontroleur voor journalisten: https://truthverifier.news/landing
Neem contact met ons op om de implementatie van Truth Enforcer in uw organisatie te bespreken: https://www.connecting-software.com/truth-enforcer-sign-up/
Door Francisco Rodrigues, Product Manager
"Ik schrijf over hoe software-integraties zich kunnen aanpassen aan bedrijfsomgevingen en kunnen inspelen op branchespecifieke eisen. Ik wil ondernemingen de weg wijzen om processen te stroomlijnen, knelpunten te elimineren en compliance te garanderen door teams en C-suite executives te voorzien van de juiste tools."
Gerelateerd
Wanneer AI-agenten handelen, is bewijs van belang: het opbouwen van de integriteitslaag voor naleving van de EU-AI-regelgeving
De volgende compliance-crisis begint niet met een cyberaanval – maar met een PDF-bestand
De tweede pijler van digitaal vertrouwen: waarom de integriteit van bewijsmateriaal een logische aanvulling is op de EUDI-wallet