‘Spraakherkenning levert securityproblemen op’

Steeds meer apps worden geleverd met spraak­her­ken­ning aan boord. Die trend is inmiddels ook zichtbaar bij enter­pri­se­soft­ware. Praten tegen een ERP- of voor­raad­sys­teem wordt straks heel gewoon. Dat levert echter forse risico’s op, die zich niet zo gemak­ke­lijk laten oplossen.

Hiervoor waar­schuwt Erik Remmel­zwaal, directeur bij DearBytes. Meer en meer aanbie­ders van enter­pri­se­soft­ware voegen spraak­her­ken­ning toe aan hun appli­ca­ties. Denk aan banken die voice recog­ni­tion toepassen bij de klan­ten­ser­vice. Klanten moeten onder meer hun reke­ning­nummer doorgeven aan een computer en aangeven waarvoor zij bellen. Of kijk naar pakket­be­drijven die klanten via spraak­her­ken­ning helpen bij het volgen van hun zending. Deze manier van werken levert voor deze bedrijven een aanzien­lijke produc­ti­vi­teits­ver­be­te­ring op. Daar staat volgens Remmel­zwaal echter tegenover dat deze onder­ne­mingen door het gebruik van voice recog­ni­tion met een aantal risico’s te maken krijgt.

1. Onbekendheid over software

Vrijwel geen enkele leve­ran­cier van bedrijfs­ap­pli­ca­ties ontwik­kelt zelf een ‘engine’ voor spraak­her­ken­ning. In de regel wordt hiervoor opens­our­ce­soft­ware gebruikt. Dit is een snelle en effi­ci­ënte manier van werken.

Daar zit echter ook een keerzijde aan, omdat gebrui­kers hiermee niet weten hoe de software precies in elkaar zit. Gaat het hier inderdaad enkel en alleen om software die spraak omzet in commando’s en zoek­op­drachten? Of vinden er ook andere verwer­kingen plaats? En zo ja, welke zijn dit dan precies? En welke risico’s leveren die extra functies op hun beurt weer op?

Zolang orga­ni­sa­ties niet weten welke functies een bepaalde engine of software heeft, is het onmo­ge­lijk om te weten of het gebruik ervan veilig is. Zo kan het zijn dat cyber­cri­mi­nelen infil­treren in opens­our­ce­pro­jecten. Aangezien er vaak sprake is van slechte of incom­plete docu­men­tatie, moeten bedrijven de complete broncode onder­zoeken op afwij­kingen. Daar hebben zij vaak geen tijd voor en ook geen kennis voor beschikbaar.

2. Governance- en compliancevraagstuk

Orga­ni­sa­ties weten niet wat er precies met de data gebeurt die bij het gebruik van de engine voor spraak­her­ken­ning worden gege­ne­reerd. Zo is vaak nog ondui­de­lijk of data beschik­baar zijn voor het opens­our­ce­pro­ject en of de leve­ran­cier van de enter­pri­se­soft­ware inzage heeft in deze gegevens.

Het is dus cruciaal dat de gebrui­kers­or­ga­ni­satie zelf kan bepalen waar deze data worden opge­slagen. Zij moeten daarom weten wat de aanbieder heeft gedaan om te voorkomen dat deze infor­matie in handen valt van onbe­voegden zoals cyber­cri­mi­nelen of concurrenten.

Door het gebruik van systemen voor spraak­her­ken­ning ontstaat dus al snel een gover­nance- en compli­an­ce­pro­bleem. Een orga­ni­satie die geen goede grip heeft op zijn data en processen kan al snel in problemen komen met toezicht­hou­ders. Met alle risico’s van dien als het gaat om vergun­ningen en certificeringen.

Riskant

“Het simpelweg toevoegen van spraak­her­ken­ning aan enter­pri­se­soft­ware is riskant”, meent Remmel­zwaal. “Het is van cruciaal belang dat de gebrui­kers­or­ga­ni­satie een zeer goed beeld heeft van de maat­re­gelen die zijn soft­wa­re­le­ve­ran­cier heeft genomen om te voorkomen dat data in verkeerde handen vallen.”

“Maar ook in het kader van de Europese priva­cy­wet­ge­ving (GDPR) en compli­an­ce­vraag­stukken moeten orga­ni­sa­ties goed naar dit probleem kijken”, vervolgt de directeur. “Gebeurt dit niet, dan is de kans groot dat de produc­ti­vi­teits­winst al heel snel volledig teniet wordt gedaan door problemen met klanten, part­ner­be­drijven en toezichthouders.”