AI-agents als nieuwe digitale identiteit maken aantoonbare naleving moeilijker
Zeventig procent van de cybersecurityleiders noemt aantoonbare naleving van wet- en regelgeving een van de belangrijkste strategische prioriteiten, blijkt uit de IG&H CISO Pulse Survey. Een jaar zonder datalekken of ransomwareaanvallen geldt daarmee niet meer als voldoende bewijs dat de beveiliging op orde is. Toezichthouders, klanten en auditors willen steeds vaker kunnen zien dat maatregelen werken, en dat gebeurt niet alleen tijdens de jaarlijkse audit.
Kaders als NIS2, DORA en ISO-normen bepalen steeds meer de agenda. Het invoeren van beveiligingsmaatregelen is volgens de enquête zelden het grootste probleem. Moeilijker is het om te laten zien dat die maatregelen gedurende de hele rapportageperiode effectief zijn gebleven, zeker in IT-omgevingen die voortdurend veranderen.
AI-agents krijgen eigen toegangsrechten
Die opgave wordt zwaarder doordat AI zich ontwikkelt van hulpmiddel tot technologie die zelfstandig taken uitvoert. Digitale identiteiten waren lange tijd gekoppeld aan medewerkers en applicaties, maar ook autonome AI-agents krijgen steeds vaker eigen toegangsrechten. Ze gebruiken inloggegevens, communiceren via API’s en krijgen via integraties toegang tot bedrijfskritische systemen. Elke nieuwe agent is daarmee een extra identiteit met eigen bevoegdheden. Daardoor ontstaan vragen over wie de toegang heeft goedgekeurd, tot welke systemen de agent toegang heeft en hoe snel die rechten kunnen worden ingetrokken.
Een AI-agent kan binnen enkele seconden diensten beschikbaar stellen, werkprocessen starten of beslissingen nemen. Als agents ook met elkaar samenwerken, ontstaan ketens van handelingen die sneller verlopen dan de menselijke controle die erop moet toezien. Voor CISO’s gaat het daarom niet alleen om wie toegang heeft tot welke systemen. Ze moeten ook kunnen aantonen dat elke handeling namens de organisatie verklaarbaar, traceerbaar en beheersbaar blijft.
Veiligheid vanaf het ontwerp
Achteraf reconstrueren wat er is gebeurd, is volgens Sam van Rooij, CISO bij IG&H, onvoldoende. Veel kwetsbaarheden ontstaan al vóór ingebruikname, bijvoorbeeld door keuzes in het ontwerp en de ontwikkeling van de IT-architectuur. Hij stelt dat organisaties eerst een veilig ontwerp moeten vaststellen en hun infrastructuur daarop moeten baseren. Daarna moeten ze voortdurend controleren of de werkelijke IT-omgeving nog overeenkomt met wat is goedgekeurd.
Risico’s ontstaan volgens Van Rooij vooral wanneer ontwerp en praktijk uit elkaar gaan lopen. Wie afwijkingen op tijd signaleert en aanpakt, verzamelt tegelijk het bewijs waar toezichthouders naar vragen. Compliance wordt dan een doorlopend proces en geen jaarlijkse zoektocht naar documentatie. Voldoen aan wet- en regelgeving is bovendien slechts een basis. Daarnaast is inzicht in de IT-omgeving nodig, evenals geteste herstelprocedures en bestuurders die begrijpen welke risico’s hun organisatie wil accepteren.
De IG&H CISO Pulse Survey is hier beschikbaar.
Meer over Security
Over Wouter Hoeffnagel
