Organisaties voeren hun investeringen in cyberbeveiliging op in het licht van de snelle ontwikkelingen op het gebied van AI. Volgens de ‘Global Digital Trust Insights Survey 2027’ van PwC verwacht meer dan vier vijfde (84%) van de leidinggevenden in beveiliging en financiën dat de cyberbudgetten zullen stijgen – een stijging ten opzichte van 78% vorig jaar. Het onderzoek, waarvoor bijna 4.000 bedrijfs- en technologieleiders uit 71 landen en gebieden werden geraadpleegd, laat zien dat door de uitrol van geavanceerde AI-modellen bijna drie vijfde (58%) van de beveiligingsverantwoordelijken AI tot de belangrijkste prioriteiten voor het cyberbudget van het komende jaar rekent.
Dit gebeurt terwijl minder dan twee vijfde (39%) van de leidinggevenden op het gebied van beveiliging, riskmanagement en operaties beschikt over een volledig geformaliseerd en geïntegreerd continuïteitsplan dat specifiek gericht is op cyberrisico’s. Gevraagd naar de cyberdreigingen waartegen organisaties het minst goed zijn voorbereid, noemt de helft (50%) van de beveiligingsverantwoordelijken aanvallen op AI-systemen als een van de grootste risico’s – nog voor cloudgerelateerde dreigingen (40%), inbreuken via derden (34%) en ransomware (33%).
Avinash Rajeev, Global Cyber, Data & Tech Risk Leader bij PwC US, stelt: “Het uiteindelijke doel van cyberbeveiliging is niet alleen het beschermen van de onderneming, maar ook het bieden van het vertrouwen dat nodig is om vooruit te kunnen kijken. Terwijl organisaties zich haasten om de waarde van AI te benutten, moet cyberweerbaarheid een kerncompetentie van de organisatie worden – vanaf het begin verankerd in de besluitvorming op het hoogste niveau (de C-suite). Uit het onderzoek blijkt dat veel organisaties nog onvoldoende voorbereid zijn op een snel veranderend cyberlandschap. Organisaties die dit goed aanpakken, zijn beter in staat om met vertrouwen te innoveren en hun bedrijfsactiviteiten voort te zetten, zelfs wanneer ze met verstoringen worden geconfronteerd.”
Cyberweerbaarheid vereist aandacht op het hoogste bestuursniveau Organisaties moeten cyberbeveiliging verankeren in de besluitvorming op het hoogste niveau (de C-suite) om hun cyberverdediging te versterken. Ondanks de toenemende kwetsbaarheden door geavanceerde AI-systemen, hebben bedrijven gemiddeld slechts drie van de zeven essentiële maatregelen tegen datarisico’s doorgevoerd. Sterker nog: slechts 5% van de ondervraagden heeft alle onderzochte maatregelen volledig geïmplementeerd – een daling ten opzichte van de 7% van vorig jaar.
Hoewel een derde (33%) van de CEO’s en leidinggevenden op het gebied van beveiliging en riskmanagement aangeeft dat hun organisatie specifieke AI-rollen heeft gecreëerd – zoals een ‘Chief AI Officer’ of een speciale AI-raad – is minder dan de helft ervan overtuigd dat cyberrisico’s een vast agendapunt zijn tijdens bestuursvergaderingen (47%) of overleggen van het directieteam (45%).
Het defensieve potentieel van AI benutten
Omdat cyberaanvallen zich inmiddels sneller voltrekken dan mensen kunnen reageren, fungeert AI als een cruciale krachtvermenigvuldiger voor beveiligingsteams. Het vertrouwen blijft echter laag, zeker waar het gaat om het inzetten van autonome AI-agenten. Dit is zorgwekkend, aangezien aanvallen door autonome botnets (53%), vijandige AI-aanvallen (adversarial attacks, 52%) en ‘data poisoning’ (het opzettelijk vervuilen van trainingsdata, 52%) tot de AI-gedreven dreigingen behoren waartegen beveiligings- en risico-experts zich naar eigen zeggen het minst goed kunnen verdedigen.
Hoewel beveiligingsexperts het detecteren en signaleren van dreigingen (50%) en het herkennen van en reageren op phishing (42%) als topprioriteiten voor AI-gestuurde cyberverdediging beschouwen, is slechts een vijfde (22%) bereid om AI-agenten volledig autonoom te laten handelen bij de verdediging tegen cyberdreigingen.
De snelle ontwikkelingen op het gebied van AI blijken echter problematisch te zijn. Meer dan de helft (55%) plaatst de betrouwbaarheid en volwassenheid van AI-technologie in de top drie van belemmeringen voor het vergroten van de autonomie van AI-agenten in beveiligingsoperaties, terwijl 46% verantwoording en verklaarbaarheid in AI-besluitvorming noemt.
Bijna de helft van de CISO’s (44%) geeft aan dat de vaardigheden van het personeel op het gebied van AI-toezicht en -governance een van de grootste belemmeringen vormen voor het vergroten van de autonomie van AI-agenten.
Het versterken van cyberweerbaarheid in het AI-tijdperk
Nu organisaties geconfronteerd worden met een nieuwe golf van cyberrisico’s, ondernemen ze actie. Meer dan de helft (54%) van de leiders op het gebied van beveiliging en riskmanagement implementeert multi-cloud– of hybride cloudstrategieën, terwijl anderen de regionale data- en technologieredundantie versterken (47%) en de infrastructuur lokaliseren binnen specifieke rechtsgebieden (37%) om het concentratierisico in hun waardeketen te verminderen. Nu geopolitiek het landschap van cyberrisico’s vormgeeft, past de helft (50%) van de organisaties ook hun riskmanagement met betrekking tot leveranciers, externe partijen en de toeleveringsketen aan.
Omdat cyberbudgetten steeds centraler komen te staan, schakelen sommige bedrijven ‘managed services’ in voor ondersteuning. Hierbij ligt de focus vooral op kunstmatige intelligentie (53%), mede doordat organisaties kampen met een tekort aan gespecialiseerd talent op het gebied van cyberbeveiliging en AI. Om hun bedrijfsactiviteiten te beschermen tegen de snel evoluerende dreigingen op het gebied van AI en cyberveiligheid, moeten organisaties:
- Het cyberbestuur (governance), de verantwoordingsplicht en de besluitvorming rond risico’s versterken;
- Cruciale bedrijfsactiviteiten beschermen en cyberweerbaarheid opbouwen;
- Data, AI en opkomende technologieën beveiligen;
- Risico’s in het ecosysteem, bij externe partijen en door technologische concentratie beheersen;
- Betrouwbare technologie en data inzetten om bedrijfswaarde te creëren;
- Een model ontwikkelen waarmee AI-agenten effectief kunnen worden ingezet ter verdediging tegen aanvallen die zelf door AI-agenten worden uitgevoerd.
Avinash Rajeev, Global Cyber, Data & Tech Risk Leader bij PwC US, concludeert: “AI verandert beide kanten van de cybervergelijking. Het creëert nieuwe risico’s en vergroot het aanvalsoppervlak, maar kan tegelijkertijd de manier waarop organisaties zichzelf verdedigen transformeren. De kans ligt in het opbouwen van vertrouwen, goed bestuur en menselijk toezicht, waardoor organisaties AI met meer zekerheid kunnen inzetten om hun onderneming te beveiligen en waarde te creëren.”
