In Nederland richten CISO’s zich vooral op bestaande dreigingen in plaats van AI-aanvallen. Het tekort aan vaardigheden en de fragmentatie tussen tools blijven grote knelpunten, blijkt uit onderzoek van ManageEngine. We duiken wat dieper in het onderzoek met Regional Business Director Benelux Sabarishwaran Jay en Regional Technical Head Praveen Das om te kijken hoe het ervoor staat met cyber resilience.
Hoe weerbaar zijn Nederlandse organisaties eigenlijk tegen de nieuwe generatie cyberdreigingen? Die vraag stond centraal in een onderzoek van ManageEngine. Het bedrijf sprak met meer dan 1500 zakelijke leiders, verspreid over het Verenigd Koninkrijk, Spanje, Duitsland, Italië en Nederland. Het is de eerste keer dat ManageEngine zo’n onderzoek uitvoert in Europa.
De aanleiding voor het onderzoek? De sterke toename van cyberrisico’s, en dan met name AI-gedreven risico’s. “Door AI veroorzaakte cybersecurityrisico’s nemen sterk toe”, stelt Das. Het bedrijf wil begrijpen hoe CISO’s en securityleiders hiernaar kijken, onder welke druk operationele teams staan en in hoeverre het bestuur betrokken is.
Het valt op dat in Nederland de aandacht niet primair bij AI ligt. Volgens Das houden de meeste Nederlandse CISO’s zich bezig met realtimeproblemen die zich hier en nu voordoen, in plaats van met AI-aanvallen. Ze willen vasthouden aan de basis. Dat is deels een gevolg van het bekende personeelstekort in de sector.
Firefighting in plaats van vooruitkijken
Das omschrijft de Nederlandse situatie als firefighting op de operationele laag. Tegelijkertijd ziet hij op bestuurlijk niveau juist een sterk cyberweerbaarheidsprogramma. Nederland worstelt dus vooral met bestaande securityproblemen en het gebrek aan gespecialiseerd personeel, niet zozeer met een tekort aan strategie aan de top.
Hierbij wordt misbruik van kwetsbaarheden in het bijzonder gezien als de belangrijkste oorzaak van eerdere incidenten. Van de Nederlandse organisaties ziet 28,5 procent daadwerkelijk AI-gedreven aanvallen als het grootste cyberrisico. Dat is aanzienlijk lager dan in andere Europese landen. Met 45 procent, 43 procent en 36 procent liggen de percentages in respectievelijk Duitsland, het Verenigd Koninkrijk en Italië aanzienlijk hoger.
Volgens Das keert het skillstekort wel overal terug. Ook de bestuurlijke betrokkenheid is elders vergelijkbaar, waarbij een reactieve, in plaats van een proactieve, houding in het oog springt. Op het gebied van bewustzijn en weerbaarheid liggen de onderzochte landen volgens hem redelijk op één lijn.
Nederland als business-friendly poort
Jay plaatst de resultaten in een bredere context. Nederland is volgens hem altijd een business-friendly markt geweest, de reden waarom ManageEngine hier zijn Europese hoofdkantoor vestigde. Het bedrijf ziet Nederland als toegangspoort tot Europa.Â
Toch loopt de volwassenheid rond NIS2 en DORA hier volgens Jay nog achter op andere EU-landen. Hetzelfde geldt voor AI-dreigingen. Niet dat Nederland AI negeert, benadrukt hij, maar de prioriteit ligt eerst bij het filteren van huidige aanvallen zoals ransomware. De houding tegenover AI is de afgelopen zes maanden wel compleet veranderd. Waar bedrijven die hij spreekt voorheen terughoudend waren, is AI nu een direct onderwerp op bestuursniveau.
Was het onderzoek dan vooral een bevestiging van wat de leveranciers in klantgesprekken al hoorden? Deels niet. Jay geeft toe verrast te zijn. Een paar jaar geleden was er in de EU nauwelijks sprake van een AI-golf, terwijl markten als het VK en de VS daar al op inspeelden. Nu is AI overal en verschuift ook cybersecurity naar een volgende fase. Het gaat van louter ransomware naar professionelere phishing-aanvallen en meer.
Tip: AI zet decennia cybersecurity op zijn kop
Aanbevelingen: bestuur, skills en de kloof tussen tools
Voor Nederlandse organisaties komen Das en Jay met een aantal aanbevelingen. Volgens Jay moet de druk niet alleen bij CISO’s en CIO’s liggen, maar bij het bestuur. Cybersecurity is immers geen IT-risico meer, maar een bedrijfsrisico. Het bestuur zou het eerste risico moeten dragen en dat vervolgens moeten doorgeven.
Daarnaast pleit hij voor investeren in kennis. De Nederlandse markt kent een tekort aan cybersecurity-experts. Volledig uitbesteden is volgens hem geen oplossing. Gedeeltelijk outsourcen kan, maar organisaties moeten intern een eigen SOC- of NOC-team behouden dat als firewall voor het bedrijf fungeert. Ter illustratie wijst Jay op de eigen aanpak van ManageEngine. Dat zet onder moederbedrijf Zoho eigen red- en blue teams in die de eigen medewerkers uitdagen.
Das legt de vinger op een ander pijnpunt dat specifiek is voor de Nederlandse MSP-markt: gefragmenteerde tools. “De meeste van deze cyberaanvallen vinden niet direct op de tool zelf plaats, maar in een gat tussen de tools, waar niemand de controle over heeft”, legt hij uit. Een extra securitytool maakt je volgens hem niet automatisch veiliger. Belangrijker is het beheren van de kloof tússen tools, het reduceren van silo’s en het aanbrengen van governance op die tussenruimtes. Tool sprawl is een probleem waar veel organisaties tegenaan lopen.
Wordt het onderzoek volgend jaar herhaald? Mogelijk, geven beiden aan. Das noemt het doel om zichtbaar te maken op welk niveau van cyberweerbaarheid organisaties zich bevinden, wie de druk draagt en wat er gebeurt als het misgaat. Jay wil vooral begrijpen hoe Nederland als markt reageert op AI-gedreven operaties en dreigingen. Zijn organisaties er klaar voor?