Het WEF Global Risks Report 2024: belangrijkste punten

IT- en bedrijfsleiders moeten zich inmiddels goed bewust zijn van de risico's die cybergerelateerde bedreigingen voor de organisatie met zich meebrengen. Ze begrijpen ook op een hoog niveau de bredere maatschappelijke en economische schade die aanhoudend, verhoogd cyberrisico kan veroorzaken. Maar soms helpt het om deze gedachten te contextualiseren tegen de achtergrond van het mondiale risicolandschap.

Dat is het doel van het World Economic Forum (WEF) Wereldwijd risicorapport, dat al bijna twintig jaar bedrijfsleiders helpt beter geïnformeerde strategische beslissingen te nemen.

Het is samengesteld op basis van een Global Risks Perception Survey (GRPS) onder 1490 experts uit de academische wereld, het bedrijfsleven, de overheid, de internationale gemeenschap en het maatschappelijk middenveld, evenals een WEF Executive Opinion Survey onder 11,000 bedrijfsleiders. Er is ook input van tientallen WEF-experts die vorig jaar gedurende een periode van zes maanden zijn verzameld.

Kortom, het is een zo uitgebreid mogelijk beeld van het huidige risicolandschap. En het hoofdnieuws? AI en cyberdreigingen behoren de komende twee tot tien jaar tot de grootste mondiale risico's van de respondenten.

Hoe behoort cyber tot de mondiale risico’s?

Van de GRPS rangschikten experts “cyberonveiligheid” – dat wil zeggen bedreigingen zoals cyberoorlogvoering, cyberspionage en cybercriminaliteit zoals ransomware, fraude en gegevensdiefstal – als volgt:

• Nummer vier van de 34 mogelijke risico’s op de korte termijn (de komende twee jaar), stijgend naar de derde plaats voor respondenten uit de overheid en de particuliere sector
• Nummer acht van de 34 risico’s op de langere termijn (de komende tien jaar), oplopend naar de zesde plaats voor overheidsrespondenten (respondenten uit de particuliere sector plaatsten het ook op de achtste plaats)
• Een “aanhoudende” dreiging; dat wil zeggen een probleem dat in de vorige GRPS als een top-10-probleem werd aangemerkt
• Een groeiende zorg: het stijgt vier plaatsen op de top 10 van risico's op de korte termijn van vorig jaar

Andere cybergerelateerde hoogtepunten uit het rapport zijn onder meer:

Een snelgroeiende AI-dreiging:

Door AI aangedreven desinformatie en desinformatie staan ​​bovenaan de lijst van risico's op de korte termijn, komen op de tweede plaats in termen van het huidige risicolandschap (aangehaald door 52% van de GRPS-respondenten) en staan ​​op de vijfde plaats op de lijst van risico's op de lange termijn. Het rapport waarschuwt voor de impact van deepfakes hier. Het waarschuwt ook voor een te grote afhankelijkheid van een klein aantal fundamentele AI-modellen, vooral in de financiële en publieke sector, of van één enkele onderliggende cloudprovider. Dit zou het risico kunnen vergroten op een grote verstoring van diensten, inclusief kritieke infrastructuur, als dergelijke knelpunten worden aangepakt, betoogt WEF.

Bloeiende cybercriminaliteit:

Een van de minst verrassende bevindingen van het rapport is dat cybercriminaliteit steeds sterker wordt – waarbij ‘nieuwe instrumenten en mogelijkheden’ nieuwe markten creëren voor georganiseerde misdaadnetwerken. Het voegt eraan toe dat cybercriminaliteit “een steeds minder risicovolle en goedkopere inkomstenstroom biedt voor de georganiseerde misdaad”. Generatieve AI (GenAI) wordt bijvoorbeeld gebruikt om grootschalige en zeer nauwkeurige phishing-campagnes in meerdere talen te creëren. Naarmate organisaties steeds geavanceerdere verdedigingsmechanismen bouwen om de dreiging het hoofd te bieden, zullen criminelen vanzelfsprekend overschakelen naar “minder digitaal geletterde individuen of minder veilige infrastructuur en systemen”.

Vage grenzen tussen staten en cybercriminaliteit:

Het WEF waarschuwt ook voor een toename van het aantal door de staat gesponsorde aanvallen, vooral de aanvallen die bedoeld zijn om inkomsten te genereren voor autocratische en fragiele regimes zoals Noord-Korea. Dergelijke staten zouden kunnen profiteren van een nauwere relatie met de cybercriminaliteitswereld, met name kant-en-klare hackingtools en ‘services-for-hire’. Deze ontwikkeling zou feitelijk het aantal organisaties vergroten dat het risico loopt op door de staat gesteunde compromissen. “Symbiotische partnerschappen tussen staten en de georganiseerde misdaad zouden kunnen groeien … in ruil voor concessies en bilaterale overeenkomsten”, merkt het rapport op.

Wat betekent dit voor cyberbeveiliging en compliance?

Jamie Akhtar, medeoprichter en CEO van CyberSmart, vindt dat het rapport een oproep tot de wapens moet zijn.

“We leven in een wereld waar de supply chain koning is. Dit betekent dat kleinere bedrijven die aan de staat leveren of grotere multinationals op zichzelf doelwit kunnen worden, omdat cybercriminelen ze willen uitbuiten om toegang te krijgen tot grotere doelwitten”, vertelt hij aan ISMS.online.

“Elk bedrijf, ongeacht de omvang of sector, moet cyberbeveiliging als prioriteit beschouwen.”

Erfan Shadabi, cybersecurity-expert bij comforte AG, vertelt ISMS.online dat organisaties cybersecurity in hun DNA moeten verankeren, met de nadruk op gegevensbescherming.

“Dit omvat continue monitoring, integratie van bedreigingsinformatie en regelmatige training voor werknemers om een ​​cybersecuritybewust personeelsbestand te ontwikkelen”, voegt hij eraan toe.

Er is hier duidelijk een rol weggelegd voor best practice beveiligingsstandaarden zoals ISO 27001 bij het helpen opbouwen van een security-by-design-cultuur onder organisaties. Maar Shadabi ziet ook kansen die verder gaan dan het beperken van de risico's.

“In tegenstelling tot het louter beschouwen van cybersecurity als een defensieve uitgave, moeten organisaties het potentieel ervan erkennen om de bedrijfsgroei te bevorderen. Een sterke houding op het gebied van cyberbeveiliging beschermt niet alleen gevoelige informatie, maar cultiveert ook het vertrouwen tussen belanghebbenden – klanten, partners en investeerders”, betoogt hij.

“Het tonen van toewijding aan databeveiliging kan een concurrentievoordeel zijn, vooral in sectoren waar vertrouwen en data-integriteit voorop staan.” CISO's zouden het WEF-rapport zelfs kunnen gebruiken om meer financiering van het bestuur binnen te halen, zegt Shadabi.

“De bevindingen en waarschuwingen in het WEF Wereldwijd risicorapport kunnen krachtige hulpmiddelen zijn voor CISO’s die op zoek zijn naar meer betrokkenheid van het bestuur en investeringen in cyberbeveiliging”, beweert hij. “Door de verhoogde mondiale risicorangschikking en de evoluerende tactieken van cybervijanden te presenteren, kunnen CISO’s de urgentie onderstrepen van het versterken van de verdediging van de organisatie.”

CyberSmart's Akhtar is het ermee eens dat bedrijfsleiders bijzonder voorbereid zullen zijn om kennis te nemen van de bevindingen van het WEF, gezien het feit dat hun collega's hebben bijgedragen aan het rapport.

“Het is belangrijker dan ooit dat besturen prioriteit blijven geven aan investeringen in cyberbeveiliging”, besluit hij. “Bovendien bestaat er een misvatting dat goede cybersecurity duur moet zijn. In feite zouden veel bedrijven, vooral kleinere, hun verdediging dramatisch kunnen verbeteren door simpelweg de basisprincipes beter of, in sommige gevallen, helemaal te implementeren.”