Cybercrime in het AI-tijdperk

Een beveiligingsteam krijgt dagelijks grote aantallen meldingen, vaak vooral ruis. AI helpt het verschil te zien. Het systeem leert hoe een netwerk zich normaal gedraagt en slaat alarm bij afwijkingen: een account dat midden in de nacht grote hoeveelheden bestanden ophaalt, een leverancier die ineens in systemen komt waar hij niets te zoeken heeft. Bij een duidelijke aanval kan AI binnen seconden ingrijpen, door een account te blokkeren of een apparaat los te koppelen. In de AI-first beveiliging is AI de eerste lijn: AI waakt, sorteert en zoekt sporen uit, de analist oordeelt bij twijfel en beslist over de grote stappen. De volgende stap zijn verdedigende agents die een aanval zelfstandig volgen en terugdringen, terwijl de mens meekijkt.

Met AI verandert de samenstelling van het werk in de beveiliging. Bestaande rollen krijgen nieuwe taken en er komen specialismen bij: de red teamer die de eigen AI-systemen aanvalt om zwakke plekken te vinden voordat een crimineel dat doet, de specialist die beoordeelt welke AI-toepassingen veilig genoeg zijn om in te zetten, en mensen die toezicht houden op verdedigende agents en bepalen wat zo'n agent zelf mag blokkeren. De analist verandert mee: AI neemt het sorteren en uitzoeken over, de analist kiest, oordeelt en grijpt in. Ook buiten IT komen er taken bij: bij de financiële afdeling, die nagemaakte betaalopdrachten moet herkennen, en bij HR, dat moet weten of een sollicitant echt bestaat.

Digitale veiligheid is een bestuursvraag geworden. Regels voor netwerk- en informatiebeveiliging maken bestuurders van veel organisaties verantwoordelijk voor het beheersen van cyberrisico's: ze moeten er zelf kennis van hebben en toezien op de uitvoering. Met AI die zelfstandig handelt, krijgt die verantwoordelijkheid een nieuwe dimensie. In een AI-first organisatie, die bij elk proces eerst kijkt wat AI kan doen, beslist het bestuur ook over de bevoegdheden van systemen die sneller reageren dan mensen: welke gegevens ze zien en wat ze zelf mogen doen. Een verdedigende agent kan een account afsluiten terwijl een medewerker aan een spoedlevering werkt. Digitale veiligheid raakt zo rechtstreeks aan dienstverlening en continuïteit, en wordt een deel van de strategie.

Veel aanvallen beginnen bij een mens: een klik, een telefoontje, een betaling onder tijdsdruk. Daarom bepaalt cultuur zoveel. Een medewerker die een verkeerde klik meteen meldt, geeft het beveiligingsteam de kans om in te grijpen voordat de schade groot is; schaamte en zwijgen geven de aanvaller tijd. Een meldcultuur zonder schuldvraag maakt van elke medewerker een sensor. Die rol wordt groter nu AI aanvallen persoonlijker maakt: een bericht dat verwijst naar het project van gisteren, of de stem van de eigen leider aan de telefoon. Techniek neemt een deel van de last over, zoals inloggen met een passkey die op een nagemaakte website niet werkt. Het oordeel van een alerte collega blijft het laatste vangnet.

Een aanval wordt in het ene land bedacht, in een tweede uitgevoerd en in een derde verzilverd. Geen organisatie en geen land houdt dat alleen tegen. De weerbare organisatie is daarom deel van een ecosysteem dat over grenzen heen werkt: informatiedelingscentra per sector, computercrisisteams die wereldwijd met elkaar verbonden zijn, en beveiligingsbedrijven en onderzoekers die nieuwe werkwijzen van criminelen snel met elkaar delen. Europol en Interpol brengen politie, justitie en bedrijven samen in operaties die criminele diensten offline halen. Via een internationaal initiatief van politie en bedrijven krijgen slachtoffers van gijzelsoftware gratis sleutels om hun bestanden terug te halen. Hoe weerbaar een organisatie is, hangt steeds meer af van de kwaliteit van haar ecosysteem.