Hoe bevorder je vertrouwen in een tijdperk van misleiding en desinformatie?
Medewerkers, klanten, investeerders en raden van bestuur: allemaal krijgen ze te maken met misleiding en desinformatie. Jarenlang gingen waarschuwingen vooral over deepfakes van CEO’s, gekloonde stemmen waarmee betalingen werden geautoriseerd en frauduleuze e-mails. AI heeft deze tactieken niet veranderd, maar heeft het wel goedkoper gemaakt om ze te produceren. Tegelijkertijd zijn ze moeilijker te herkennen en veel overtuigender geworden in de dagelijkse praktijk.
De nieuwe vertrouwenscrisis
Medewerkers, klanten, investeerders en partners nemen voortdurend beslissingen op basis van wat ze zien, lezen en horen. Als die informatie onjuist, gemanipuleerd of uit de context gehaald is, kan dat leiden tot verwarring of zelfs commerciële schade. Daarom moeten organisaties misinformatie en desinformatie als bedrijfsrisico’s beschouwen.
Misinformatie kan zonder opzet worden verspreid. Desinformatie is juist specifiek bedoeld om te misleiden en is nu gemakkelijker dan ooit op grote schaal te produceren. Een derde risico is malinformatie: ware informatie die vaak opzettelijk uit de context wordt gehaald en vervolgens wordt misbruikt. Dit is misschien wel de meest verraderlijke vorm. Een concurrent, criminele groep of een activistische campagne hoeft niet langer een netwerk te infiltreren om schade aan te richten. Het volstaat om mensen te beïnvloeden door te bepalen wat zij zien en geloven.
Dit probleem weerspiegelt waar individuen al langer mee worstelen. In een omgeving die verzadigd is met door AI-gegenereerde content, moeten organisaties zichzelf nieuwe gewoonten aanleren: even wachten voordat ze reageren, kritisch naar de bron kijken en informatie controleren voordat ze handelen. Het instinct om informatie direct te vertrouwen is daarmee zelf een kwetsbaarheid geworden. Om die aan te pakken is een structurele reactie nodig in plaats van alleen een bewustwordingscampagne.
Het belang van geverifieerd vertrouwen
Traditioneel bekijken organisaties Zero Trust vooral vanuit een least privilege-perspectief. Daarbij krijgen gebruikers alleen toegang tot de applicaties die ze nodig hebben en niets meer. Maar in een door AI gedreven informatieomgeving moet dat principe verder evolueren. Bedrijven kunnen zich niet langer uitsluitend richten op wie toegang aanvraagt. Ze moeten ook onderzoeken welke informatie wordt gebruikt, welke actie wordt ondernomen en of de intentie achter de actie te vertrouwen is.
De volgende stap is om verder te gaan dan authenticatie en ook authenticiteit te onderzoeken. Daarbij moeten vragen worden gesteld als: “Is deze informatie geverifieerd?”, “Is deze afbeelding echt of door AI gegenereerd?” en “Is deze inhoud bewerkt?”. Zero Trust biedt bedrijven een kader om dergelijke vragen te beantwoorden. Het dwingt organisaties om te verifiëren voordat ze handelen, de blootstelling van applicaties en gevoelige informatie te beperken en het risico te verkleinen dat valse, gemanipuleerde of uit de context gehaalde informatie ongecontroleerd door het bedrijf circuleert.
Standaarden zoals de C2PA (Coalition for Content Provenance and Authenticity) laten zien waar deze ontwikkeling naartoe gaat: een toekomst waarin informatie over herkomst en integriteit zijn ingebed in digitale content zelf. Vergelijk het met een hangslotje in een browser, dat aangeeft dat een verbinding beveiligd is. In zo’n model hoeft een bedrijf vertrouwen niet telkens afzonderlijk vast te stellen. De verificatie is als het ware aan de informatie gekoppeld, doordat de herkomst ervan inzicht geeft in de betrouwbaarheid. Elk stuk content wordt zo een signaal binnen een continu proces van vertrouwen.
Vertrouwen in een tijdperk van AI-agents
De noodzaak om intentie te verifiëren wordt nog urgenter nu AI-agents hun intrede doen op de werkvloer. Deze agents gaan steeds meer functioneren als extra medewerkers die menselijk gedrag nabootsten. Ze lezen documenten, interpreteren gegevens, nemen beslissingen en voeren acties uit. Het verschil is dat deze niet-menselijke identiteiten zich met machinesnelheid bewegen. Verificatie op menselijke snelheid kan dat onmogelijk bijbenen.
Dat betekent dat AI-agents vanaf het begin volgens een Zero Trust-model moeten worden beheerd. Een agent mag niet automatisch worden vertrouwd omdat deze zich binnen de organisatie bevindt, door een gebruiker is goedgekeurd of met bedrijfssystemen is verbonden. De identiteit, machtigingen, het gedrag en de output van de agent moeten continu worden gevalideerd. Net zo belangrijk is dat agents volgens het least privilege-principe worden beheerd. Ze moeten alleen toegang krijgen tot de informatie, gegevens en functionaliteiten die minimaal nodig zijn om een specifieke taak uit te voeren.
De vertrouwensuitdaging is dat bedrijven moeten weten of ze met een mens of een machine te maken hebben, of een agent zich verantwoordelijk gedraagt en of diens acties aansluiten bij de waarden en grenzen van de organisatie. Bedrijven hebben daarom een operationele basis nodig waarbinnen agents continu worden getoetst.
In dit AI-tijdperk moeten organisaties bovendien content, intentie, gedrag en acties continu en in realtime beoordelen. Identiteit wordt doorgaans alleen gecontroleerd als toegangspoort, maar dat is niet langer voldoende. Gezien de omvang en snelheid van deze taak is AI zelf nodig om te controleren, waar nodig signalen af te geven en risico’s te beheersen. Zo kan de vertrouwensketen intact blijven.
Vertrouwen integreren in de bedrijfsvoering
Succesvolle organisaties beschouwen vertrouwen als iets dat actief moet worden gecreëerd, in plaats van als vanzelfsprekend. Misinformatie, desinformatie en malinformatie vormen uitdagingen op het gebied van beveiliging, veerkracht en leiderschap. AI maakt het steeds moeilijker om deze uitdagingen te negeren.
Naarmate technologie de manier waarop informatie wordt gecreëerd, gedeeld en gebruikt verder vormgeeft, moeten bedrijven rond authenticiteit dezelfde discipline ontwikkelen die ze altijd al op toegang hebben toegepast. Dat betekent content verifiëren, intentie kritisch beoordelen en beperken wat AI-systemen kunnen doen tot wat ze daadwerkelijk moeten kunnen doen.
Vertrouwen kan niet langer de standaard zijn. In de huidige operationele omgeving moet het een beslissing zijn die continu en razendsnel wordt genomen op basis van informatie, intentie, gedrag en actie. Het goede nieuws is dat het framework hiervoor met Zero Trust al bestaat. Wat moet veranderen, is de manier waarop organisaties het toepassen. Dat doen ze door de reikwijdte van Zero Trust te verbreden naar informatie, intentie, gedrag en acties.
Door: Tony Fergusson (foto), CISO in Residence bij Zscaler
