De afgelopen 12 maanden hebben ons opnieuw geleerd dat hoewel technologie zich soms razendsnel blijft ontwikkelen, veel van de macrotrends op het gebied van beveiliging en naleving onveranderd blijven. Dat zal waarschijnlijk ook het komende jaar zo blijven. Hoewel AI- en deepfake-innovaties de vaardigheden van dreigingsactoren zullen blijven verbeteren en nieuwe kansen zullen bieden, zullen de democratisering van cybercriminaliteit, de groeiende dreiging van overheidsactoren en de toegenomen druk op aanbieders van kritieke infrastructuur (CNI) onverminderd blijven.

We zullen zien dat nieuwe wetten voor besturen ingang vinden en dat andere wetten vorm beginnen te krijgen, vooral in het Verenigd Koninkrijk. En we zullen zien dat netwerkverdedigers in grotere aantallen overstappen op zero trust naarmate de risico's in de toeleveringsketen toenemen. Hier zijn onze vijf belangrijkste trends om in 2025 op te letten.

1. AI- en deepfake-bedreigingen zijn groot

Het National Cyber ​​Security Centre (NCSC) waarschuwde eerder dit jaar dat AI "het volume en de impact van cyberaanvallen de komende twee jaar vrijwel zeker zal vergroten". En er is weinig reden om aan die inschatting te twijfelen. Generatieve AI (GenAI) zal met name de drempel voor beginnende phishingcriminelen verlagen en aanvallen versnellen door het sneller en gemakkelijker te maken waardevolle activa en kwetsbare apparaten voor misbruik te identificeren.

GenAI zal ook de deepfake-bedreiging een boost geven, wat in een zakelijke context problemen kan opleveren voor Know Your Customer-controles die vertrouwen op biometrie (gezicht, stem), die nu met een hoge mate van nauwkeurigheid kunnen worden nagebootst. We kunnen ook meer BEC-achtige pogingen zien om personeel te misleiden tot het doen van grote zakelijke overschrijvingen, met behulp van spraak of video die zich voordoen als de CEO of iets dergelijks.

Dreigingsactoren zullen proberen legitieme services zoals ChatGPT te misbruiken om ingebouwde beveiligingsmaatregelen te omzeilen en dergelijke toegang mogelijk als een service te verkopen. Het relatief kleine aantal LLM-ontwikkelaars zou meer cybercriminelen kunnen aanmoedigen om te zoeken naar kwetsbaarheden zoals deze en andere.

AI zal echter ook de cybersecuritygemeenschap helpen, doordat security operations (SecOps) analisten dankzij GenAI-assistenten sneller en productiever kunnen werken. Het vermogen van GenAI om synthetische content te creëren, zal teams helpen hun beveiligingstools en gebruikers effectiever te trainen, terwijl het talent om grote datasets te doorzoeken naar ongebruikelijke patronen zal blijven bijdragen aan de detectie en bestrijding van bedreigingen. Sterker nog, 61% van de wereldwijde organisaties is er nu van overtuigd dat AI essentieel is voor een effectieve, proactieve reactie op bedreigingen.

2. CNI onder toenemende druk

CNI-aanbieders zijn altijd populaire doelwitten voor aanvallen geweest. Maar gedurfde staatsactoren, cybercriminelen met veel middelen en een steeds verdeelder wordende geopolitieke omgeving zijn specifieke redenen tot zorg nu we richting 2025 gaan. Organisaties die er niet in zijn geslaagd de best practices te implementeren die door NIS 2 en het Britse equivalent worden voorgeschreven, lopen mogelijk een groot risico.

Verwacht meer meerjarige, zeer geavanceerde campagnes zoals Volt Typhoon en opportunistische aanvallen door ransomware- en hacktivistengroepen die geld willen verdienen en/of naam willen maken. Historische onderinvestering in het Verenigd Koninkrijk heeft geleid tot schokkende onthullingen over de gebrekkige beveiliging bij bedrijven als Sellafield en Thames Water . Dit zullen ongetwijfeld niet de laatste zijn.

3. Het Verenigd Koninkrijk loopt achter met cybersecuritywetten

Er staat in 2025 veel te gebeuren in het Verenigd Koninkrijk op het gebied van regelgeving, met de aanstaande inwerkingtreding van twee belangrijke wetten . De Cyber ​​Security and Resilience Bill (CIS 2) actualiseert de Network and Information Systems Regulations 2018 (NIS Regulations). Hoewel deze wet minder ambitieus is dan de inspanningen van de EU, zal NIS 2 naar verwachting wel de nodige bepalingen bevatten. Denk hierbij aan het uitbreiden van de wetgeving naar meer sectoren, het verbeteren van de beveiliging van de toeleveringsketen en het verplichten van incidentrapportage, met name voor ransomware. De overheid wil ook de regelgevende bevoegdheden versterken, waaronder de mogelijkheid om proactief kwetsbaarheden te onderzoeken en boetes te innen van gereguleerde organisaties.

De Digital Information and Smart Data Bill is in feite een update van de Data Protection and Digital Information (DPDI) Bill van de vorige regering en belooft een herziening van de AVG. De wet hoopt de nalevingskosten voor bedrijven te verlagen, het delen van gegevens te stroomlijnen en innovatie op het gebied van digitale identiteit te versnellen. Net als de andere voorgestelde wet zal deze de bevoegdheden van het Information Commissioner's Office (ICO) versterken, wat op zijn beurt de druk op compliance-medewerkers zou kunnen vergroten.

4. De C-suite neemt de controle over cyber

Dit zat er al lang aan te komen. De nieuwe eisen in de openbaarmakingsregels voor cyberbeveiliging van de SEC en in NIS 2 leggen echter een grotere verantwoordelijkheid bij besturen om cyberrisico's te begrijpen. In het geval van de EU-richtlijn moet het senior management cyberrisicobeheersmaatregelen goedkeuren, toezicht houden op de implementatie ervan en deelnemen aan gespecialiseerde beveiligingstrainingen. Ze zullen ook persoonlijk aansprakelijk worden gesteld door toezichthouders in gevallen van grove nalatigheid en opzettelijke verwaarlozing. De SEC eist ondertussen dat beursgenoteerde bedrijven jaarlijks informatie verstrekken over hun cyberrisicobeheerstrategie en -governance, en dat zij beschrijven hoe het bestuur toezicht houdt op cyberrisico's die voortvloeien uit bedreigingen.

Vergelijkbare maatregelen om de verantwoordingsplicht en transparantie op het niveau van het senior management te vergroten, zullen in 2025 in steeds meer nieuwe wetten worden opgenomen, waaronder de Digital Operational Resilience Act (DORA) van de EU . Deze wet schrijft voor dat besturen "alle regelingen met betrekking tot het ICT-risicobeheerkader moeten definiëren, goedkeuren, overzien en verantwoordelijk zijn voor de implementatie ervan". Deze ontwikkelingen kunnen de rol van de CISO onder een vergrootglas leggen, maar zouden het in ieder geval gemakkelijker moeten maken om de aandacht van het bestuur te trekken bij het bespreken van cyberrisico's.

5. De grenzen tussen natiestaten en cybercriminaliteit vervagen steeds meer

Tegen de achtergrond van toenemende geopolitieke risico's is er één langdurige trend die we in 2025 steeds duidelijker zullen zien: de vermenging van activiteiten van staten en cybercriminaliteit. Microsoft wees hier onlangs op in zijn jaarlijkse Digital Defense Report en waarschuwde dat niet alleen statelijke actoren (zoals Iran en Noord-Korea) steeds vaker financieel gemotiveerd zijn, maar dat sommige (bijvoorbeeld Rusland) gebruikmaken van cybercriminele tactieken en procedures en zelfs bepaalde operaties uitbesteden aan criminele bendes. We zouden ook kunnen zien dat hacktivistische groepen verder gaan dan DDoS-aanvallen en zich richten op vermeende vijandelijke 'doelen' in het Westen met ransomware, data-afpersing en destructieve aanvallen, zoals het NCSC al heeft gewaarschuwd.

CNI-bedrijven zouden als eerste in de vuurlinie kunnen staan, aangezien een verstorende aanval een buitensporige impact op de bevolking zou hebben. Zoals gezegd zijn ze vaak ook een van de minst goed beschermde doelen, met een lage tolerantie voor storingen, waardoor ze een ideale kandidaat zijn voor ransomware.

Dit alles betekent dat cybersecurity- en complianceprofessionals het in 2025 drukker zullen hebben dan ooit. Gelukkig blijven best practice-normen zoals ISO 27001 een solide basis bieden om deze en vele andere uitdagingen die zich in 2025 zullen voordoen, het hoofd te bieden. Maar het kan een hobbelige rit worden.