Securitybeslissers bij organisaties maken zich meer zorgen over AI dan over ransomware. Dezelfde mensen hebben enorm veel vertrouwen in de eigen securityteams dat het allemaal goedkomt en tegelijkertijd veel wantrouwen om AI binnen cybersecurity autonoom verdedigend in te zetten. Dit ondanks een enorm aantal incidenten dat ze rapporteren. Wat is hier aan de hand?
Bovenstaande conclusies komen uit het AI & Cybersecurity Trends Report dat Arctic Wolf vandaag uitbrengt. Dit is de vijfde keer dat het bedrijf dit rapport, op basis van onderzoek van een onderzoeksbureau, uitbrengt. Volgens Christopher Fielder, Field CTO bij Arctic Wolf, is dit een uniek rapport voor het bedrijf. Waar veel andere onderzoeken en rapporten van Arctic Wolf gebaseerd zijn op wat het bedrijf in het eigen SOC allemaal voorbij ziet komen, zijn de uitkomsten hiervan op basis van de antwoorden van 1350 security- en IT-beslissers. Fielder noemt CISO’s, VP’s Security en SOC Managers als het niveau van de respondenten.
Veel incidenten, maar ook veel vertrouwen
Op zich is het natuurlijk erg interessant om de input vanuit de markt op deze manier bij elkaar te zien. Dit soort onderzoeken zorgen echter ook voor de nodige uitkomsten en cijfers die elkaar wat tegenspreken, omdat mensen die aan het onderzoek meedoen niet per se altijd het antwoord geven dat echt helemaal klopt.
Het beste voorbeeld hiervan is dat 63 procent van de ondervraagden aangaf een significant incident heeft meegemaakt in het afgelopen jaar. Waarbij ‘significant’ inhoudt dat de organisaties er echt iets van hebben gemerkt, op welke manier dan ook. Van die ondervraagden geeft echter ook 96 procent doodleuk aan dat ze er vertrouwen in hebben dat hun teams de huidige dreigingen aankunnen.
Meer realisme is nodig
Als we dit voorleggen aan Fielder, geeft die aan dat hij in de lach schoot toen hij die 96 procent als uitkomst zag. Dat kan immers niet waar zijn als je zo vaak een incident meemaakt. Toch is dit percentage wel redelijk verklaarbaar volgens hem, omdat “CISO’s vertrouwen uit moeten stralen”. “Een groot deel van die 96 procent is hoop, hype en bravoure”, vervolgt hij. “Het kan zijn dat ze er oprecht van overtuigd zijn dat hun teams een aspect van een incident kunnen stoppen, maar niet de volledige breach.”
Wat meer realisme bij CISO’s en andere security-beslissers zou op zich wel prettig zijn, ook al snappen we ook wel dat zaken zoals de vraagstelling bij een onderzoek en het toch wel wat formele karakter ervan dit soort antwoorden ook sterk kunnen beïnvloeden. Het kan best zijn dat de respondenten zelf ook wel weten hoe het echt zit.
Fielder maakt zich dan ook niet de grootste zorgen over de discrepantie tussen incidenten en vertrouwen. Die eer gaat volgens hem naar de zeven procent die aangaf niet te weten of er incidenten waren geweest het afgelopen jaar. “Die kun je optellen bij de 63 procent”, volgens hem.
Vertrouwen in AI, maar toch ook niet
AI is zoals al eerder aangegeven een topprioriteit voor organisaties. Dat geldt voor het aantal LLM’s dat medewerkers mogen gebruiken, maar ook zeker bij aankoopbeslissingen op het gebied van cybersecurity. Vrijwel iedere organisatie die in dit onderzoek is meegenomen heeft geïnvesteerd in security tools die AI gebruiken, of zijn dit aan het evalueren.
De AI-investeringen in cybersecurity worden uiteraard niet zomaar gedaan. Veel van de respondenten zijn ervan overtuigd dat AI beter is in bepaalde zaken dan mensen. Het gaat om meer dan tachtig procent van de respondenten die ervan uitgaan dat AI hun organisatie veiliger maakt, data kan correleren en analyseren en een geconsolideerd overzicht kan geven van de belangrijke onderdelen.
Er is dus veel vertrouwen in wat AI kan toevoegen aan securityteams. Dat vertrouwen verdampt echter volledig als er vragen komen over het centraal stellen van AI in SecOps. Dat wil zeggen, AI op bepaalde vlakken autonoom laten handelen. Er blijft een schamele 14 procent over. Zelfs iets redelijk laagdrempeligs als het autonoom blokkeren van foute IP-adressen of -domeinen in de firewall kan slechts op een kleine meerderheid rekenen.
Op zich is het wantrouwen niet vreemd. AI maakt nu eenmaal best veel fouten, zeker als het niet optimaal ingericht is en als het ook nog eens op een veel grotere schaal opereert dan mensen dat kunnen. Daarnaast zijn er zorgen rondom data privacy, manipulatie, een gebrek aan transparantie en het ontbreken van menselijke intuïtie.
AI moet van hype naar tool
Een deel van de verklaring voor de langzame doorbraak van het AI SOC waarin AI daadwerkelijk de leiding heeft, zal te maken hebben met hoe AI nog altijd wordt gezien. Fielder komt hier tijdens ons gesprek geregeld op terug. AI hangt volgens hem nog steeds heel erg in de hypesfeer. “Veel mensen en leveranciers willen het hypen en claimen dat het een panacee is, maar het is een tool”, volgens hem. “Het gaat erom wie het gebruiken en hoe ze het gebruiken en organisaties moeten een legitieme business-case hebben voor ze met AI beginnen”, geeft hij aan.
Om AI uit de hypesferen te halen, zullen leveranciers zelf dus hun verantwoordelijkheid moeten nemen. Dat ontslaat bedrijven echter niet van de verantwoordelijkheid om zelf ook op een andere manier naar AI te kijken. Dat begint volgens Fielder met een het uitschrijven van wat je als organisatie acceptabel vindt als het gaat om AI. Hij noemt dit een AI acceptable use policy. Daarin staat uitgeschreven hoe organisaties AI kunnen en mogen gebruiken, met welke modellen en welke processen. “Je zet alles op een rijtje in een juridisch document”, vat hij het samen.
Er moet meer educatie komen
Het tweede dat organisaties volgens Fielder moeten doen is medewerkers daadwerkelijk trainen in het gebruik van AI. “Ik heb het dan niet over hoe security awareness trainingen weleens gedaan werden vroeger, maar over echte educatie rondom AI, in sessies waarbij iedereen aanwezig moet zijn”, maakt hij dit iets concreter.
Specifiek voor cybersecurity betekent educatie dat mensen leren waar AI wel goed in is en waarin niet. “Er is mensen een product verkocht dat niet geperfectioneerd is. In cybersecurity zijn beste gokjes niet acceptabel”, geeft Fielder aan. Als securityprofessionals dit soort dingen in gaan zien, gaat er hopelijk een lichtje branden. Hij heeft in de praktijk al gezien dat AI voor een duidelijke daling in false positives kan zorgen, een van de zaken waar securityteams veel tijd aan kwijt zijn. Dat is iets waar de teams wel mee verder kunnen.
Balans zoeken tussen AI en vertrouwen
Kijken we naar het thema van het rapport dat Arctic Wolf vandaag uitbrengt, AI & Cybersecurity Trends, dan geven de resultaten vooral aan dat er nog heel veel niet duidelijk is rondom AI. Dat is lastig voor security-beslissers, maar die moeten wel realistisch blijven in wat ze zelf kunnen en wat ze toch beter autonoom door AI kunnen laten uitvoeren. Deze balans zal voor iedere organisatie wellicht net iets anders liggen. Dat is waarom het zo belangrijk is om intern heel duidelijke afspraken te maken over wat wel en niet kan en mag.
Verder zal er toch ook wel echt wat meer realisme moeten komen, wat ons betreft. Mits goed ingericht kan AI heel veel bijdragen aan cybersecurity. Er moet daarnaast onherroepelijk meer autonomie voor AI komen in cybersecurity. Wellicht niet nu meteen, omdat we nog in de hypefase zitten. We moeten er echter wel naartoe werken, omdat aanvallen steeds sneller en complexer binnenkomen. Het zal zoeken zijn naar de juiste balans tussen mensen en AI en tussen AI en vertrouwen.
We sluiten af met een laatste uitspraak van Fielder over de teneur die her en der zichtbaar is dat we er allemaal aangaan door AI. “AI is een tool die zowel offensief als defensief ingezet kan worden. Beide kanten neutraliseren elkaar min of meer. Doe wat je kunt en geef je mensen de nodige educatie.”
Lees ook: Arctic Wolf introduceert Decipio voor snelle detectie van logindiefstal