Bina infrastruktur alat pengesahan untuk ganti NRIC boleh ambil masa lama

Ekosistem digital Singapura akan menjadi lebih selamat apabila nombor kad pengenalan (NRIC) tidak lagi digunakan untuk mengesahkan pengguna.

Namun untuk membina infrastruktur alat pengesahan lain yang lebih kukuh, ia boleh mengambil masa beberapa bulan – setahun atau lebih – kata pakar keselamatan siber.

Sementara itu, rakyat Singapura boleh menghadapi risiko penipuan dan kecurian identiti semasa organisasi membaik pulih sistem mereka, dan dinasihatkan supaya sentiasa berwaspada dan menggunakan langkah keselamatan tambahan, tambah mereka.

Susulan bantahan orang ramai selepas Penguasa Pengawalan Perakaunan dan Korporat (Acra) mendedahkan nombor NRIC pada portal carian barunya pada 9 Disember, pihak pemerintah memohon maaf atas keprihatinan yang timbul dan mengumumkan peralihan dasar di mana nombor NRIC tidak seharusnya dianggap sebagai maklumat sensitif.

Tambahan pula, nombor NRIC bertujuan mengenal pasti individu, bukan untuk disalahgunakan sebagai pengesahan, mengakses maklumat khas atau melakukan transaksi khas, kata pihak pemerintah.

Organisasi sebaliknya harus mengesahkan pengguna melalui kata laluan, token keselamatan atau data biometrik.

Pakar menyatakan bahawa nombor NRIC digunakan secara meluas di Singapura merentasi industri seperti kewangan, telekomunikasi, insurans dan penjagaan kesihatan untuk tujuan pengenalan dan pengesahan.

Pengenalan menyatakan siapa seseorang itu, manakala pengesahan membuktikan identiti seseorang.

Pensyarah undang-undang Universiti Sains Kemasyarakatan Singapura (SUSS), Encik Ben Chester Cheong, berkata: “Sebagai contoh, menggunakan (nombor) NRIC anda untuk mendaftar di kaunter hadapan klinik atau untuk mencari polisi insurans anda adalah pengenalan, (ia) sekadar mengisytiharkan siapa anda.

“Walau bagaimanapun, membuat perubahan pada polisi insurans anda, mengakses rekod perubatan atau menjalankan transaksi kewangan memerlukan pengesahan yang betul untuk membuktikan bahawa anda adalah orang yang dimaksudkan.”

Encik Cheong menambah kaedah pengesahan pula berbeza mengikut sektor dan kegunaannya.

“Sesetengah bank mungkin menambah biometrik suara untuk keselamatan tambahan. Dalam sektor kesihatan, hospital mungkin melaksanakan portal pesakit yang selamat untuk mengakses rekod perubatan dengan menggunakan pengesahan dua faktor,” ujar Encik Cheong.

Dr Ori Sasson, pengarah Simulation Software & Technology, syarikat yang memberi penyelesaian perusahaan untuk sektor awam, berkata organisasi juga boleh mengesahkan pengguna melalui aplikasi Singpass yang lebih selamat dengan menggunakan pilihan pengecaman wajah.

“Menggunakan Singpass untuk pengesahan adalah cara yang baik kerana pemerintah telah melabur banyak dalam mewujudkan kaedah pengesahan yang selamat,” katanya.

Pakar mengatakan bahawa peralihan daripada nombor NRIC untuk pengesahan, kepada kaedah yang lebih selamat adalah pendekatan yang wajar dalam era digital ini.

“Alat pengesahan moden menawarkan beberapa kelebihan. Ia biasanya lebih sukar untuk dikompromi, boleh diubah jika digodam dan memberikan laluan audit yang lebih jelas.

“Ia juga membolehkan langkah keselamatan yang lebih canggih,” kata Encik Cheong.

Meskipun begitu, menyediakan infrastruktur sepenuhnya untuk kaedah pengesahan sedemikian mungkin memerlukan usaha yang memakan masa dan kos, dengan pakar menganggarkan garis masa tiga hingga enam bulan untuk organisasi yang lebih besar seperti bank utama, syarikat telekomunikasi dan penjagaan kesihatan.

Organisasi yang lebih kecil yang bergantung pada nombor NRIC sebagai bentuk pengesahan boleh mengambil masa yang lebih lama untuk menyesuaikan diri, bergantung pada kerumitan perubahan, semakan pematuhan peraturan dan keupayaan vendor.

Dr Sasson berkata: “Kos itu termasuk menaik taraf sistem teknologi maklumat (IT), melatih kakitangan dan mendidik pelanggan.

“Walaupun sistem OTP (kata laluan sekali guna) atau PIN (nombor pengenalan peribadi) mungkin agak mudah, melaksanakan pengesahan biometrik memerlukan perkakasan, pelesenan perisian dan platform baru.

“Mungkin juga terdapat kos berulang untuk penyelenggaraan, sokongan pelanggan dan penilaian keselamatan yang berterusan.”

Sehingga organisasi berhijrah sepenuhnya daripada bergantung pada nombor NRIC, sesetengah pakar bimbang bahawa tempoh peralihan boleh dieksploitasi oleh penipu.