Negentien jaar lang stond hetzelfde probleem bovenaan de lijst: gestolen inloggegevens. Dat is voorbij. Uit het meest recente Data Breach Investigations Report van Verizon blijkt dat het misbruiken van softwarekwetsbaarheden nu voor het eerst de meest voorkomende ingang is bij datalekken, goed voor ruim 31 procent van alle incidenten. Dat is een verschuiving die vraagt om een andere bestuurlijke kijk op informatiebeveiliging.
Wat er veranderd is
De verklaring van deze verschuiving ligt niet in nieuwe aanvalsmethoden, maar in snelheid. Waar het aanvallers vroeger maanden kostte om een bekende kwetsbaarheid te misbruiken, lukt dat nu in uren. Kunstmatige intelligentie maakt dat mogelijk. Softwareleveranciers brengen regelmatig beveiligingsupdates uit, maar het tempo van misbruik is de afgelopen jaren zo gestegen dat de tijd tussen bekendmaking en exploitatie vrijwel is verdwenen. Voor organisaties betekent dit dat een niet-bijgewerkt systeem binnen de kortste keren een open deur is.
Dit is in de eerste plaats een technische verantwoordelijkheid van de ICT-leverancier: patches moeten snel en systematisch worden doorgevoerd. Maar de vraag of dat ook daadwerkelijk gebeurt, is een bestuurlijke verantwoordelijkheid. Weet u welke systemen uw organisatie gebruikt, wie verantwoordelijk is voor het bijhouden ervan, en hoe u controleert of dat ook werkelijk plaatsvindt?
Twee nieuwe risicofactoren die aandacht verdienen
Naast kwetsbaarheden in software signaleert het rapport twee opkomende risico’s die voor bestuurders direct herkenbaar zouden moeten zijn.
Het eerste is ongecontroleerd gebruik van AI-tools door medewerkers. Het aandeel medewerkers dat AI-toepassingen frequent gebruikt, steeg in één jaar van 15 naar 45 procent. Een groot deel van dat gebruik betreft niet-goedgekeurde tools. Medewerkers uploaden documenten, verwerken klantgegevens en voeren bedrijfsinformatie in bij diensten die de organisatie nooit heeft beoordeeld. Dat is inmiddels de derde meest voorkomende oorzaak van niet-kwaadaardige datalekken.
Het tweede risico zit in de keten. Bij bijna de helft van alle datalekken speelt inmiddels een externe partij een rol: een leverancier, een softwarepartner, een dienstverlener. Dat aandeel steeg het afgelopen jaar met 60 procent. Organisaties die denken dat informatiebeveiliging ophoudt bij de eigen muren, onderschatten structureel een van de grootste kwetsbaarheden die ze hebben.
Wat dit vraagt van het bestuur
De cijfers uit dit rapport zijn niet bedoeld om te schrikken. Ze beschrijven een verschuiving in het dreigingslandschap die vraagt om een actuele bestuurlijke positiebepaling. Drie vragen zijn daarvoor het meest relevant: Is er in uw organisatie iemand die verantwoordelijk is voor het tijdig doorvoeren van beveiligingsupdates, en wordt dat gecontroleerd? Is er beleid voor het gebruik van AI-tools door medewerkers en weten medewerkers wat wel en niet is toegestaan? En heeft u zicht op de risico’s die uw leveranciers met zich meebrengen?
Informatiebeveiliging is geen eenmalig project. Het is een doorlopende verantwoordelijkheid die vraagt om periodieke aandacht op bestuursniveau, ook als er geen incident heeft plaatsgevonden. Juist dan.
