ISO 27001 ja AI-puhelinpalvelu — tietoturvajärjestelmä

ISO 27001 ei tee AI-puhelinpalvelusta turvallista automaattisesti. Sertifikaatti seinällä ei salaa dataa, rajaa käyttöoikeuksia tai estä huonoa promptia. Se voi silti olla erittäin hyödyllinen, jos sitä käytetään oikein: tietoturvan johtamisen runkona.

AI-puhelinpalvelussa tietoturva ei ole yksi asetus. Mukana on puhedataa, transkriptioita, asiakastietoja, integraatioita, alikäsittelijöitä, lokitusta ja ihmisiä, joilla on pääsy järjestelmiin. ISO 27001 auttaa kysymään oikeat kysymykset ja pitämään vastaukset elossa myös käyttöönoton jälkeen.

Tässä oppaassa käydään läpi, miten ISO 27001 liittyy AI-puhelinpalveluun käytännössä. Ei sertifikaattimystiikkaa. Hallintamalli, riskit ja kontrollit.

Aloita käyttötapauksesta ja riskistä

ISO 27001:n kannalta ensimmäinen kysymys on: mitä suojataan ja miksi? AI-puhelinpalvelussa vastaus riippuu käyttötapauksesta. Ajanvaraus, tilauksen tilan tarkistus, terveydenhuollon esitiedot ja rahoitusalan asiakasneuvonta eivät ole sama riski.

Riskinarvioinnissa katso ainakin:

• käsitteleekö puhelu henkilötietoja tai erityisiä henkilötietoja
• tallennetaanko ääni, transkriptio tai yhteenveto
• hakeeko AI tietoja CRM:stä tai muista järjestelmistä
• voiko AI tehdä asiakkaaseen vaikuttavia päätöksiä
• mitä tapahtuu, jos AI antaa väärän vastauksen
• mitä tapahtuu, jos puheludata vuotaa
• kuinka helposti puhelu siirtyy ihmiselle

Riskin pitää vaikuttaa toteutukseen. Jos kaikki käyttötapaukset saavat saman kontrollitason, riskinarvio on luultavasti tehty PowerPointia varten. Se ei ole harvinaista. Ei myöskään hyödyllistä.

Pääsynhallinta on ensimmäinen arjen kontrolli

AI-puhelinpalvelussa dataa haluaa nähdä moni: asiakaspalvelu, esihenkilöt, kehittäjät, toimittajan tuki ja joskus johto. ISO 27001:n näkökulmasta pääsynhallinta pitää suunnitella rooleina, ei henkilökohtaisina poikkeuksina.

Käytännön vähimmäistaso:

• admin-käyttäjille MFA
• roolipohjainen pääsy puheluihin, transkriptioihin ja asetuksiin
• erillinen pääsy tuotantoon ja testiin
• käyttöoikeuksien säännöllinen tarkistus
• pääsyn poisto työsuhteen tai toimittajasuhteen päättyessä
• lokitus siitä, kuka katsoi arkaluonteista puheludataa

Erityisen tärkeää on rajata toimittajan pääsy. Tukea varten tarvitaan joskus näkyvyys ongelmaan. Se ei tarkoita pysyvää pääsyä kaikkeen asiakasdataan.

Toimittajat ja alikäsittelijät

Puhe-AI käyttää usein useita palveluita: puheentunnistus, puhesynteesi, kielimalli, puhelinoperaattori, hosting, analytiikka ja integraatiot. ISO 27001:n hallintamalli pakottaa katsomaan toimitusketjua, mikä on hyvä. Tässä kohtaa moni yllättyy siitä, kuinka pitkä ketju oikeasti on.

Tarkista toimittajista:

• missä data käsitellään ja säilytetään
• onko alikäsittelijälista saatavilla
• käytetäänkö asiakasdataa mallien kouluttamiseen
• miten häiriöistä ja tietoturvapoikkeamista ilmoitetaan
• miten pääsy asiakkaan tietoihin rajataan
• mitä tapahtuu sopimuksen päättyessä
• onko toimittajalla oma ISO 27001, SOC 2 tai vastaava näyttö

Sertifikaatti ei korvaa sopimusta. Sopimus ei korvaa teknistä toteutusta. Tarvitset yleensä molemmat, sekä jonkinlaisen todisteen siitä, että lupaukset eivät jääneet myyntipuheeksi.

Lokitus, monitorointi ja poikkeamat

ISO 27001:n arvo näkyy silloin, kun jotain tapahtuu. AI-puhelinpalvelussa pitää pystyä havaitsemaan poikkeamat ja selvittämään ne ilman, että kaikki menevät Slackissa hiljaisiksi.

Seuraa ainakin:

• epäonnistuneet kirjautumiset ja admin-toimet
• pääsy tallenteisiin ja transkriptioihin
• poikkeavat integraatiokutsut
• AI:n kiellettyihin tehtäviin liittyvät yritykset
• korkeat virhe- tai eskalointimäärät
• tietopyynnöt ja poistot
• toimittajan häiriöt

Poikkeamaprosessi pitää määritellä ennen poikkeamaa. Kuka tutkii? Kuka päättää ilmoitetaanko asiakkaalle? Kuka viestii? Kuka sulkee riskin? Jos vastaus syntyy vasta kriisin aikana, se syntyy yleensä huonompana.

Muutosten hallinta

AI-puhelinpalvelu elää. Tietopohjaan lisätään ohjeita, promptia muutetaan, integraatioita avataan ja automaation vastuuta kasvatetaan. Jokainen muutos voi muuttaa riskiä.

ISO 27001:n hengessä muutokselle tarvitaan kevyt mutta oikea prosessi:

• mikä muuttuu
• miksi se muuttuu
• vaikuttaako muutos henkilötietoihin tai päätöksiin
• pitääkö riskinarvio päivittää
• kuka hyväksyy muutoksen
• miten muutos testataan
• miten palataan takaisin, jos jokin hajoaa

Tämä ei tarkoita, että jokainen pilkku vaatii komitean. Se tarkoittaa, että tuotannon AI-ohjeistusta ei muuteta sokkona perjantaina kello 16. Tätä voisi pitää muutenkin hyvänä elämänohjeena.

Mitä ostajan kannattaa kysyä?

Jos ostat AI-puhelinpalvelua, ISO 27001 -keskustelun voi tiivistää käytännön kysymyksiin:

• Onko palvelulla dokumentoitu riskinarvio?
• Miten asiakkaan puheludata suojataan?
• Kuka pääsee tallenteisiin ja transkriptioihin?
• Mitä lokeja syntyy ja kuinka kauan niitä säilytetään?
• Mitä alikäsittelijöitä käytetään?
• Käytetäänkö dataa mallien koulutukseen?
• Miten tietoturvapoikkeama käsitellään?
• Miten muutokset hyväksytään ja testataan?

Hyvä toimittaja vastaa näihin konkreettisesti. Huono toimittaja kertoo, että kaikki on enterprise-tasoa. Enterprise-taso on kiva sana. Se ei vielä kerro mitään.

Yhteenveto

ISO 27001 auttaa AI-puhelinpalvelussa, kun sitä käytetään tietoturvan hallintajärjestelmänä eikä myyntileimana. Aloita käyttötapauksen riskistä, rajaa pääsyt, tarkista toimittajat, määritä lokitus ja poikkeamaprosessi sekä hallitse muutoksia.

AI-puhelinpalvelun tietoturva on jatkuvaa työtä. Sertifikaatti voi tukea sitä, mutta järjestelmä pitää silti rakentaa oikein. Aisteri auttaa suunnittelemaan puhe-AI:n tietoturvamallin niin, että käyttöönotto kestää myös tietoturvakysymykset. Ota yhteyttä: visa.valkonen@aisteri.fi.