Veridion vill göra företagsdata till ett säkerhetsverktyg

För Veridion handlar det om att gå bortom den traditionella företagsdatabasen. I stället för att betrakta ett företag som en statisk post i ett register bygger bolaget en så kallad knowledge graph där information om företag, verksamheter, platser, ägarförhållanden och relationer mellan bolag kopplas samman och uppdateras löpande. Under presentationen i Ljubljana beskrev Alexandra Tofan, som arbetar med tillväxt på Veridion och tidigare har lett företagets deployment engineering-team, hur modellen ska ge en mer aktuell bild av vad ett företag faktiskt gör och hur det är kopplat till omvärlden. Med Alexandra Tofan på scenen fanns Alexandru-Alin Tofan, dataingenjör på Veridion, som bland annat presenterade delar av den tekniska infrastrukturen bakom datainsamlingen.

Företaget bakom registret är inte alltid samma företag i verkligheten

Veridion uppger att deras datamängd omfattar hundratals miljoner företag globalt och hundratals attribut per bolag. Poängen är inte bara mängden data, utan att kombinera information från många olika typer av källor för att skapa en bild som kontinuerligt kan förändras. Företagswebbplatser, register, sociala medier, nyhetskällor och andra öppna informationskällor används tillsammans, samtidigt som olika datapunkter förses med konfidensnivåer. Veridion beskriver själv modellen som en digital representation av företagsvärlden snarare än en traditionell företagsdatabas.

Ur ett säkerhetsperspektiv blir skillnaden viktig. En statisk företagsprofil kan exempelvis visa var ett företag är registrerat, men säger betydligt mindre om var verksamheten faktiskt bedrivs, vilka bolag som ingår i samma struktur eller vilka andra företag det är beroende av. Veridion försöker därför koppla samman juridiska enheter med faktiska verksamheter och platser. Företagets nuvarande tjänster för tredjepartsrisk bygger just på den typen av kopplingar, där information om bland annat ägarstruktur, verksamhetsplatser och digital närvaro kombineras för att identifiera exponeringar som inte alltid syns i traditionella register.

Det öppnar också för att använda samma data i säkerhetsarbete. En förändrad adress, en ny ägare eller en förändrad verksamhetsinriktning behöver inte i sig innebära att något är fel, men kan tillsammans med andra signaler bli relevant för en riskbedömning. Historiska data gör dessutom att förändringar kan följas över tid, snarare än att organisationen bara ser den senaste versionen av ett företagsprofil.

Upptäcker förändringar – även när webbplatsen blivit hackad

Ett av exemplen från presentationen handlade just om förändringar på företagswebbplatser. Alexandru-Alin Tofan berättade om ett test där Veridions system jämförde webbplatser över tid och upptäckte bland annat förändrade priser, kontaktuppgifter och adresser. I ett fall hade en webbplats blivit hackad under en helg, vilket kunde identifieras genom skillnaden mellan tidigare och senare versioner av sidan.

Det illustrerar en större poäng med Veridions modell: en förändring i en extern informationskälla kan i sig vara en signal. För en säkerhetsorganisation kan det handla om att upptäcka att en leverantör plötsligt förändrat sin verksamhet, att en webbplats ser annorlunda ut eller att information om en organisation inte längre stämmer överens med tidigare uppgifter. Veridion arbetar med en stor mängd företagswebbplatser och beskriver en modell där olika källor kan uppdateras med olika intervall beroende på hur snabbt informationen förväntas förändras.

Det är samtidigt inte en modell där Veridion hävdar att varje signal automatiskt är korrekt eller att systemet kan ersätta mänsklig bedömning. Under presentationen betonade Alexandra Tofan snarare vikten av att samla så många relevanta signaler som möjligt och sedan använda dem för att förstå vad som faktiskt händer.

Leverantörskedjan går att kartlägga på djupet

Ett annat område där säkerhetsperspektivet blir tydligt är leverantörskedjor. Traditionell kartläggning bygger ofta på att ett företag frågar sina leverantörer vilka deras egna leverantörer är och sedan fortsätter nedåt i kedjan. Problemet är att informationen blir beroende av vad varje aktör känner till och väljer att rapportera.

Veridion försöker i stället identifiera relationerna genom att analysera de signaler som finns tillgängliga om företagen och deras verksamhet. I ett av exemplen som Alexandra Tofan presenterade kunde Veridion identifiera mer än 5 000 möjliga leverantörer till en enskild fabrik. Alla relationer hade inte samma säkerhet, men de kunde graderas utifrån hur starkt olika datapunkter stödde kopplingen.

Det är relevant för säkerhetsarbetet eftersom riskerna i en leverantörskedja sällan stannar vid den leverantör som organisationen har ett direkt avtal med. Två till synes oberoende leverantörer kan exempelvis vara beroende av samma underleverantör eller ha samma moderbolag. Veridion lyfter just dolda beroenden och koncentrationsrisker som ett användningsområde för sin företagsdata.

Data kan också användas för att hitta bedrägerimönster

Under presentationen beskrev Alexandra Tofan hur den historiska informationen kan användas för att identifiera avvikelser som annars kan vara svåra att se. Ett företag som plötsligt ändrar sin verksamhetsbeskrivning på ett sätt som inte går ihop med tidigare information kan exempelvis bli intressant att undersöka närmare. Samma sak gäller förändringar i ägarstruktur, verksamhetsplatser eller andra delar av företagets profil.

Veridion har också använt sin data för att leta efter mönster i samband med journalistiska granskningar av företag med kopplingar till kreditrelaterade skandaler. Alexandra Tofan berättade att företaget kunde identifiera gemensamma signaler bland de aktuella bolagen och därefter söka efter samma mönster hos andra företag. Resultatet blev ytterligare bolag som kunde vara värda att undersöka.

Det är ett exempel på hur företagsdata kan flyttas från att vara ett administrativt underlag till att bli en del av ett underrättelse- och riskarbete. För säkerhetsfunktioner handlar det då mindre om att bara veta vem en motpart är och mer om att förstå hur motpartens verksamhet förändras över tid och vilka kopplingar som finns runt den.

Målet är mindre mänskligt arbete – inte mindre mänsklig kontroll

Bakom den stora mängden data finns en omfattande automatisering. Alexandru-Alin Tofan beskrev hur Veridion gått från periodiska, stora uppdateringar till en mer strömmande modell där enskilda processer kan uppdatera delar av kunskapsgrafen när nya uppgifter blir tillgängliga. Systemet kan exempelvis hämta innehåll från en webbplats, bearbeta det och kontrollera informationen mot redan existerande data.

Samtidigt är begränsningen tydlig: det går inte att automatisera bort behovet av mänsklig analys. Alexandra Tofan pekade själv på att Veridion kan samla och strukturera stora mängder information, men att det inte finns någon lösning som kan upptäcka och förstå allt som händer i världen. Ambitionen är i stället att få fram så mycket relevant information som möjligt med så liten manuell arbetsinsats som möjligt.

Det är också den punkt där Veridions modell blir intressant ur ett säkerhetsperspektiv. När företagsrelationer, leverantörskedjor och förändringar kan följas kontinuerligt kan säkerhetsarbetet i högre grad gå från punktinsatser och periodiska kontroller till löpande bevakning. Veridion beskriver själva sin tredjepartsriskmodell som ett kontinuerligt arbete där förändringar i ägarskap, verksamhet, sanktionsexponering och andra riskindikatorer kan följas över tid.

I en värld där en leverantör, en underleverantör eller en affärspartner kan förändras betydligt snabbare än ett traditionellt register hinner uppdateras blir frågan därför inte bara vem organisationen gör affärer med, utan vad som har förändrats sedan den senaste kontrollen.