Organisaties begrijpen al lang de uitdaging om cyberrisico's te vertalen naar bedrijfsrisico's. De communicatiestoringen tussen CISO's en de directie zijn reëel en goed gedocumenteerd. Maar zijn er dieperliggende problemen? Om diverse redenen is cyberrisicomanagement in de loop der jaren in omvang en reikwijdte toegenomen. Tegenwoordig kan het alles omvatten, van traditionele beveiligingsdisciplines tot privacy, risico's in de toeleveringsketen, juridische zaken, AI-governance en operationele veerkracht. Dat leidt onvermijdelijk tot datasilo's, dekkingshiaten en uitdagingen op het gebied van veerkracht.
Als geïntegreerd bestuur het einddoel is, hoe moet de weg ernaartoe er dan uitzien?
Wanneer zichtbaarheid en eigendom uiteenvallen
Er zijn verschillende redenen waarom cyberrisicobeheer in de loop der jaren zo onhandelbaar is geworden. Er was een tijd dat beveiliging veel eenvoudiger was. Computerbronnen bevonden zich lokaal en organisaties bewaakten de perimeter om kwaadwillenden buiten te houden. Deze kasteel-en-gracht-aanpak verdween met de komst van cloudcomputing, thuiswerken en SaaS-applicaties. Naarmate het aanvalsoppervlak groter werd, omvatte het nu ook operationele technologie (OT), internet of things (IoT)-systemen, mobiele apparaten, edge computing-servers en meer. Meer IT-middelen, meer complexiteit, meer gefragmenteerd toezicht.
AI-infrastructuur en -diensten vertegenwoordigen de nieuwste ontwikkeling. Grote taalmodellen (LLM's), agents, vectordatabases, machine learning-pipelines, API's, plug-ins en cloudservers vormen een nieuw, risicovol doelwit voor aanvallen. Naarmate AI steeds vaker wordt ingezet in bedrijfskritische diensten, neemt het potentieel voor compromittering, datadiefstal en -manipulatie toe. Schaduw-AI is een specifiek aandachtspunt. Twee derde (65%) van de organisaties hebben geleden In het afgelopen jaar hebben zich voorgedaan dat er beveiligingsincidenten met AI-agenten plaatsvonden, en een nog groter percentage (82%) vermoedt dat er onbeheerde agents in hun omgeving actief zijn.
Ook de toeleveringsketens zijn deels verantwoordelijk. Het gemiddelde bedrijf gebruikt naar schatting 61 beveiligingstools. En dat betreft alleen cyberbeveiliging. In vrijwel alle sectoren hebben organisaties een complex ecosysteem van partners opgebouwd die alles regelen, van logistiek tot professionele diensten. Daarnaast zijn er nog de digitale leveranciers. Open source-componenten vormen een steeds grotere risicofactor.
De laatste factor is de regelgeving. Door de nieuwe wetgeving die is ingevoerd om operationele weerbaarheid te bevorderen en persoonsgegevens, AI-technologie, slimme apparaten en andere technologieën te beschermen, is de druk op compliance-teams toegenomen. In sommige gevallen (zoals NIS2) wordt het senior management nu persoonlijk aansprakelijk gesteld voor niet-naleving. Daardoor ligt de verantwoordelijkheid nu meer bij de bedrijfsleiding dan bij de beveiligingsteams.
Wat dit betekent
Think onderzoeks- en adviesbureau Info-Tech Research GroupEr zijn drie belangrijke belemmeringen voor geïntegreerd risicomanagement:
- Gebrek aan volwaardige processen, een gemeenschappelijke taal, een risicocultuur en moderne instrumenten ter ondersteuning van geïntegreerd risicomanagement.
- Snel veranderende regelgeving, opkomende technologieën en verschuivende geopolitieke realiteiten maken het moeilijk om proactieve risicobeheersingspraktijken te handhaven.
- Risicomanagement dat wordt beschouwd als een nalevingsoefening in plaats van een strategische capaciteit, leidt tot blinde vlekken en gemiste kansen om de weerbaarheid te versterken.
In sommige gevallen wordt van CISO's verwacht dat ze de toenemende werklast op zich nemen. Cambridge University Onderzoek toont aan dat dit kan leiden tot reactief risicomanagement, het afvinken van lijstjes en vaak tot burn-out. (Afzonderlijk IANS) onderzoek onthult 52% van de CISO's vindt dat hun takenpakket niet langer volledig beheersbaar is. De druk is met name groot in kleinere organisaties en kan belangrijke strategische initiatieven vertragen, waarschuwt het rapport.
Uiteindelijk schaadt gefragmenteerd risicomanagement de organisatie doordat het de ondoorzichtigheid en het risico op datalekken vergroot, betoogt Dom Glavach, CISO van Black Duck.
“Wanneer silo’s leiden tot onsamenhangend toezicht, vooral nu AI de ontwikkelingen versnelt, ontstaan er risico’s in de hele softwareleveringsketen, workflows en bedrijfsvoering. Gedistribueerd eigenaarschap is noodzakelijk om gelijke tred te houden, aangezien cyberrisico’s zich uitstrekken over beveiliging, product, privacy, compliance en leveranciers”, vertelt hij aan IO (voorheen ISMS.online). “Wanneer de silo’s het toezicht verstoren, krijgen organisaties te maken met blinde vlekken, dubbel werk, tragere reacties en moeilijkheden om aan te tonen dat de controles binnen de hele organisatie effectief waren.”
Tijd voor integratie
En hoe nu verder met organisaties? Info-Tech heeft een vierpuntenplan voor geïntegreerd cyberrisicobeheer:
- Stel doelen en governance vast.
- Ontwikkel mechanismen om risico's te identificeren en te beoordelen.
- Ontwikkel opties voor risicobeheersing.
- Stel een plan op voor het gebruik van tools, monitoring en rapportage.
Voor Muhammad Yahya Patel, vCISO EMEA bij Huntress, zouden twee belangrijke aandachtspunten prioriteit moeten hebben.
"Ten eerste een gemeenschappelijk controlekader waaraan alle functies zijn gekoppeld, zodat wanneer de CISO rapporteert over beveiligingsmaatregelen, de functionaris voor gegevensbescherming (DPO) rapporteert over privacymaatregelen en de AI-governanceleider rapporteert over modelrisico's, ze allemaal dezelfde onderliggende risicoclassificatie hanteren en de raad van bestuur een totaalbeeld kan zien", vertelt hij aan IO.
“Vervolgens verdient de leveranciersdimensie aandacht, omdat daar de governance-problemen momenteel het meest acuut zijn. De meeste organisaties hebben risicobeheerprocessen voor derden die momentopnamen zijn: een beoordeling bij de onboarding, een vragenlijst bij de verlenging. Wat ze echter missen, is continu inzicht in de vraag of de controles waarop ze zich tijdens de beoordeling baseerden, nog steeds van kracht zijn. Continue monitoring van de beveiligingsstatus van leveranciers, geïntegreerd met uw interne risicoprofiel, is een absolute noodzaak.”
Waar frameworks van pas komen
Ronald Lewis, hoofd van de afdeling cybersecuritygovernance bij Black DuckHij vergelijkt het proces met het fijn afstellen van een ouderwetse klok, waarbij elke functie een tandwiel is.
“Elk onderdeel heeft een specifieke rol, maar geen enkel onderdeel werkt onafhankelijk. Als één onderdeel niet goed is uitgelijnd, te snel, te langzaam of in de verkeerde richting draait, raakt het hele systeem ontregeld. Dat is precies hoe cyberrisico's zich gedragen in geïsoleerde omgevingen. Beveiligingssystemen falen niet omdat ze slecht ontworpen zijn; ze falen omdat ze niet gesynchroniseerd zijn met beslissingen die elders worden genomen”, zegt hij.
“Dat niveau van synchronisatie ontstaat niet vanzelf. Het vereist een raamwerk. Of het nu ISO 27001, NIST of een goed gestructureerd intern model is, het gaat erom een gemeenschappelijke taal, een consistente taxonomie en duidelijke traceerbaarheidslijnen tussen risico's, beheersmaatregelen en verantwoordelijkheid vast te stellen.”
Lewis legt uit dat een sterk raamwerk integratie tussen verschillende domeinen afdwingt.
“Het creëert de verbindende schakel tussen privacy, beveiliging, risico's van derden, AI-governance en operationele veerkracht. Het stelt je in staat om niet alleen individuele risico's te zien, maar ook hoe ze op elkaar inwerken en zich ontwikkelen”, concludeert hij. “Zonder die structuur kun je geen geïntegreerd toezicht realiseren. Met die structuur kun je de verschillende onderdelen op elkaar afstemmen, zodat ze onafhankelijk van elkaar, maar wel in dezelfde richting, werken aan één meetbaar doel: een samenhangend, bedrijfsbreed begrip en beheer van cyberrisico's.”
Breid je kennis uit
Podcast: Phishing voor problemen S2 E2: U voldoet aan de regels. Bent u veerkrachtig?
Blog: Waarom cyberweerbaarheid voor veel Britse bedrijven nog ver weg is
