AI verkort de responstijd bij cyberincidenten. Hoe weerbaar ben jij?

De situatie maakte heel duidelijk: organisaties hebben steeds minder tijd om te reageren op (mogelijke) cyberincidenten. De kwetsbaarheden konden onder de juiste omstandigheden een niet-geverifieerde aanvaller in staat stellen een code uit te voeren op een getroffen server. PHP, de betrokken technologie, vormt de basis van een enorm deel van de websites en applicaties wereldwijd. De beheerders ervan riepen gebruikers op onmiddellijk patches te installeren.

Maar het detail dat bestuurders meer zorgen moet baren, is de rol die kunstmatige intelligentie (AI) speelde bij het ontdekken en aantonen van de kwetsbaarheden. Volgens analyses van de gebeurtenis droegen AI-modellen bij gedurende de hele levenscyclus: van het ontdekken van kwetsbaarheden en het ontwikkelen van 'exploits' tot herstelanalyses en de validatie van de uiteindelijke patches.

Met andere woorden: de kwetsbaarheden waren niet nieuw. Wat veranderde, is hoe snel ze kunnen worden ontdekt en hoe snel kan worden aangetoond dat ze daadwerkelijk te misbruiken zijn. Beveiligingsonderzoek met behulp van AI speelde een belangrijke rol bij het blootleggen en aantonen van deze kwetsbaarheden.

Daardoor hebben organisaties veel minder tijd om te reageren. PwC waarschuwde hier al voor: frontier AI creëert geen nieuw soort dreiging, maar versnelt bestaande dreigingen.

Waarom sneller patchen niet het antwoord is

De voor de hand liggende reactie is snelheid als een technisch probleem te behandelen: automatiseer de patchstraat en verklein de kloof. Dit is onomwonden noodzakelijk, maar niet voldoende.

Automatisering, zo stellen zij, beantwoordt slechts één vraag: hoe snel kunnen we het oplossen? Zij beantwoordt niet de vraag waarmee bestuurders onder druk worden geconfronteerd: wat moet blijven functioneren als we niet alles op tijd kunnen herstellen? Wanneer een kwetsbare afhankelijkheid bij een externe leverancier ligt, wanneer het veiliger is om een deel van de bedrijfsvoering bewust af te schalen of wanneer de mate van blootstelling simpelweg onbekend is, wordt de beslissing een kwestie van afweging. Maar zo’n afweging wordt slecht gemaakt als die voor het eerst tijdens een crisis moet plaatsvinden.

Dat legt een ongemakkelijke kloof bloot. Veel bestuurders gaan ervan uit dat hun bedrijfscontinuïteitsplannen en hun naleving van regelgeving zoals DORA en NIS2 betekenen dat zij voorbereid zijn. Maar zo zijn ze voorbereid op een lager tempo. Regelgeving bepaalt een minimumniveau; zij definieert niet de kritieke kern van een organisatie.

Onderzoek wijst erop dat maar weinig organisaties die kloof hebben gedicht. Uit PwC’s Global Digital Trust Insights 2027 blijkt dat slechts 39 procent van de leiders op het gebied van beveiliging, risico en bedrijfsvoering beschikt over een volledig geformaliseerd en geïntegreerd continuïteitsplan dat specifiek ingaat op cyberrisico’s. In een tijdperk waarin reactietermijnen nog maar enkele uren bedragen, is dat tekort moeilijker af te doen als een technisch detail.

Van beveiligingsprobleem naar bestuursbesluit

Cyberweerbaarheid draait om hoe snel je een veilige situatie kunt bereiken. Drie maatstaven helpen daarbij:

• Tijd tot inzicht: kunnen we snel vaststellen of onze kritieke bedrijfsactiviteiten aan het risico zijn blootgesteld?
• Tijd tot beheersing: kunnen we het risico isoleren zonder de rest van de bedrijfsvoering onnodig te verstoren?
• Tijd tot veilig herstel: kunnen we het probleem oplossen en de bedrijfsvoering met vertrouwen herstellen?

Geen van deze zaken valt uitsluitend onder de verantwoordelijkheid van de CISO. Cyberweerbaarheid raakt IT, de business en Risk en loopt daarmee dwars door de hele bedrijfsvoering. Daarom is het antwoord op de vraag ‘zijn we na een aanval nog levensvatbaar?’ uiteindelijk een kwestie voor het bestuur.

Het praktische startpunt hierbij is het definiëren van een minimum viable company (MVC): de kritieke resultaten, diensten, processen, technologie, gegevens, mensen en derde partijen die beschikbaar moeten blijven om de organisatie tijdens ernstige verstoringen levensvatbaar te houden. Door deze kern te definiëren, krijg je als bestuurder een duidelijk antwoord op een eenvoudige vraag: wat moet absoluut blijven draaien?

MVC brengt risico’s aan het licht die bestuurders vaak onderschatten, met als belangrijkste concentratierisico. Uitbesteding draagt activiteiten over, maar niet de verantwoordelijkheid. Eén cloudprovider of softwareleverancier kan de basis vormen voor meerdere kritieke processen; als die uitvalt, werkt de verstoring door in de hele organisatie. Het definiëren van een MVC dwingt bestuurders vooraf te bepalen welke externe afhankelijkheden aanvaardbaar zijn en wat het zal doen wanneer één daarvan uitvalt.

Beslis vóór de crisis

De vraag is nu niet of zich een nieuwe grote verstoring zal voordoen, maar wanneer. De beslissingen die ertoe doen, kun je niet voor het eerst onder grote druk goed nemen. Daarom is het belangrijk dat je jouw MVC van begin tot einde test: wat gebeurt er bij een ransomwareaanval, het uitvallen van een kritieke leverancier of verlies van toegang door geopolitieke of regelgevende besluiten? Realistische tests laten zien of jouw prioriteiten haalbaar zijn binnen de afgesproken termijnen en waar strategische intentie en operationele werkelijkheid stilletjes uiteenlopen.

Drie vragen voor je volgende bestuursvergadering

1. Hebben we helder gedefinieerd welke activiteiten, systemen en ketenpartners essentueel zijn om operationeel te blijven en essentieel is voor onze Minimum Viable Company?
2. Beschikken we over voldoende inzicht om bij een nieuw risico direct te bepalen of deze kritieke onderdelen kwetsbaar zijn?
3. Zijn onze beheersmaatregelen en herstelcapaciteit voldoende om continuitteit te waarborgen zonder disproportionele impact op de onze  bedrijfsvoering ?

PHP2Shell zal niet de laatste keer zijn dat je op korte termijn met deze vragen wordt geconfronteerd. Nu cyberrisico’s zich met machinesnelheid bewegen, zal weerbaarheid minder afhangen van hoe snel je kunt patchen. Maar meer van één beslissing die jij alleen kunt nemen als de klok stilstaat.