AI en CTEM in de zorg: grip op cyberrisico's

AI: omgaan met ongedefinieerde situaties

In moderne IT-omgevingen is het niet haalbaar om alle mogelijke veiligheidsrisico’s en -scenario’s volledig te definiëren. Systemen zijn complex en veranderen continu. AI biedt hier uitkomst, door juist te reageren op situaties die niet voorzien zijn. AI detecteert niet alleen afwijkingen, maar helpt ook bepalen welke interventie passend is. Bij ingrijpende beslissingen blijft menselijke controle noodzakelijk.

Een mooi voorbeeld van de werking van AI is de bewaking van een Elektronisch Patiënten Dossier (EPD). Zulke systemen vertonen zeer voorspelbaar gedrag. Tegelijkertijd is er een grote variatie aan inbreuken denkbaar, te veel om te definiëren. Een geschikte maatregel die AI in geval van een incident kan nemen, bijvoorbeeld een onverwachte export van gegevens, is het ontzeggen van de toegang tot de EPD-database. Dit vermindert de noodzaak om dergelijke systemen tot in detail te beveiligen met complexe, handmatige regels. AI signaleert een afwijking en grijpt in op een manier die legitiem gebruik niet hindert. Zo wordt de beveiliging effectiever en minder arbeidsintensief.

Aandachtspunten bij implementatie

Hoewel AI een krachtig hulpmiddel is, vergt de inzet ervan scherpe regie. Kostenbeheersing is een belangrijk aandachtspunt. Het gebruik van AI-modellen wordt vaak afgerekend op basis van de hoeveelheid verwerkte data: hoe meer data ze verwerken, hoe hoger de kosten. Dit betekent dat AI een duidelijke scope nodig heeft: welke data analyseren en welke niet? Zonder die scope bestaat bovendien het risico dat AI niet veel meer doet dan samenvatten van securitydata.

Bij de scopebepaling gaat het ook om de afweging of AI specifieke taken krijgt, zoals in het voorbeeld van de EPD, of ook meer generieke taken. De balans daartussen verschilt per organisatie. Vervolgens is het zaak de kosten scherp in beeld te krijgen en te bepalen of die opwegen tegen de baten. Hier komt risicomanagement om de hoek kijken: welke risico’s is de organisatie bereid te lopen?

Er is ook een aandachtspunt voor de langere termijn, dat in de dagelijkse hectiek snel buiten beeld kan raken. Binnen de context van een Security Operations Centre (SOC) wordt AI vaak gezien als een ‘junior collega’ die repetitieve taken overneemt, waardoor schaarse securitymedewerkers zich op complexere vraagstukken kunnen richten. Dit roept wel de vraag op hoe de organisatie het carrièrepad van deze medewerkers opnieuw vormgeeft. Geen junioren meer in dienst nemen is een optie die geld bespaart. Die keuze kan er wel toe leiden dat op termijn onvoldoende senior security-experts beschikbaar zijn.

CTEM: focus op relevante risico’s

Zoals we zagen, is AI heel geschikt voor het opvangen van onvoorziene dreigingen. Bij CTEM richten we ons juist op het in kaart brengen en prioriteren van bekende risico’s.

De filosofie van CTEM is dat niet alle kwetsbaarheden relevant zijn. Van alle vulnerabilities die jaarlijks worden gepubliceerd, wordt in de praktijk maar een klein deel misbruikt. Bovendien hebben aanvallers niet altijd makkelijk toegang tot een kwetsbaarheid, wanneer die zich bijvoorbeeld achter meerdere beveiligingslagen bevindt. CTEM kijkt ook naar de impact op de bedrijfsprocessen en geeft meer prioriteit aan een kwetsbaarheid die daar grote gevolgen voor heeft. Denk aan kwetsbaarheden in een EPD of in aanmeldzuilen in tegenstelling tot kwetsbaarheden in de parkeerautomaat. CTEM draait dus om het prioriteren van risico’s. De focus verschuift hiermee van ‘volledigheid’ naar ‘relevantie’.

Goed implementeren van CTEM vereist dat de security-afdeling intensief overlegt met andere afdelingen. Alleen de afdelingen zelf kunnen beoordelen wat de impact van een kwetsbaarheid op hun processen is, en binnen de kaders van het securitybeleid aangeven welke risico’s acceptabel zijn.

Beste van twee werelden: AI en CTEM combineren

De twee trends worden wel als tegengesteld gezien. AI helpt vooral bij situaties die vooraf moeilijk te voorspellen zijn. CTEM richt zich juist op bekende risico’s en aanvalsvlakken, en helpt bepalen welke maatregelen prioriteit krijgen. AI verandert het operating model, de manier waarop het werk wordt uitgevoerd. CTEM grijpt vooral in op de governance, hoe beslissingen worden genomen en prioriteiten gesteld.

De verschillen zijn er, maar die betekenen niet dat AI en CTEM niet te combineren zijn. Integendeel, de toekomst ligt juist in een gecombineerde aanpak. AI is heel geschikt om sneller op incidenten te reageren en CTEM om te bepalen waar inspanningen het meest waardevol zijn. Zo kan een organisatie AI inzetten op de kritieke exposures die met CTEM zijn gedefinieerd.

Implementatie: wat is de impact?

De impact van het implementeren is bij beide ‘redders in nood’ aanzienlijk. Zo heeft het implementeren van AI gevolgen voor de organisatiestructuur. Het aantal junior-rollen in het SOC neemt af, zoals we al zagen, en de organisatiestructuur wordt ‘platter’. Het is verder noodzakelijk processen onder de loep te nemen: blijft het vierogenprincipe bestaan bij AI-besluiten, of geven we de voorkeur aan snelheid boven menselijke controle?

Bij CTEM is de impact op governance fors. Er ontstaat behoefte aan een meer holistische benadering van risicomanagement. Security zal de samenwerking met de businessunits en IT moeten intensiveren. Er is meer behoefte aan besluitvorming op managementniveau, omdat de prioritering van risico’s een strategische beslissing is. CTEM kijkt daarbij meer naar de impact van incidenten op de keten, dan op individuele systemen of afdelingen.

Waar begin je met implementeren?

Het is niet verstandig beide nieuwe benaderingen gelijktijdig en grootschalig in te voeren. Dat leidt tot organisatorische overbelasting, omdat zowel de operatie als de governance verandert. Het is daarom te adviseren om te beginnen bij concrete knelpunten en risico’s in bestaande processen. Dan kan worden vastgesteld welke toepassing, AI, CTEM of iets anders, daarvoor de beste oplossing biedt. Het plukken van het ‘low hanging fruit’ creëert bovendien draagvlak in de organisatie voor grotere transformaties.

Zie de implementatie van CTEM of AI ook niet als een losstaand project. Dit gebeurt in de praktijk nog regelmatig en heeft bij veel organisaties geleid tot gefragmenteerde IT‑landschappen met losse tools. Het is aan te bevelen om voort te bouwen op bestaande initiatieven, waar mogelijk. Zo kan elke stap een logisch vervolg zijn op de vorige.

Conclusie: verschillend maar complementair

AI en CTEM zijn zeer verschillende, maar complementaire ontwikkelingen in cybersecurity, die meer dan welkom zijn om de toenemende dreiging het hoofd te kunnen bieden. Wie klein begint, voortbouwt op wat er al is en scherp blijft op organisatorische haalbaarheid, kan met AI en CTEM toegroeien naar meer proactieve controle over cyberrisico’s.