Op 24 september deden zeven Nederlandse overheidsdiensten iets wat ze zelden samen doen: één gezamenlijke oproep. De NCTV, het NCSC, de AIVD, de MIVD, het Openbaar Ministerie, CIO Rijk en de politie publiceerden AI versnelt en vergroot de dreiging: nu handelen noodzakelijk.
De kern van hun boodschap: “AI automatiseert de aanvalsketen: van kwetsbaarheden vinden tot misbruik.” Aanvallers hebben daarvoor geen exotisch gereedschap nodig; algemeen beschikbare AI-modellen volstaan. Daardoor gaat het sneller, kost het minder, en kunnen meer partijen het.
Dit is wél een moment om wakker van te liggen
Wij zijn er niet van om organisaties bang te maken. Maar als zeven overheidsdiensten die normaal gesproken ieder apart publiceren, besluiten om samen één oproep te doen met de woorden “nu handelen is noodzakelijk”, dan is dat geen ruis. Dan mag u daar best van schrikken, en vooral: er iets mee doen.
Nu zou u verwachten dat daar een lijst spectaculaire tegenmaatregelen op volgt. Dat is niet zo. De overheidsdiensten komen met drie aanbevelingen, en de eerste is simpelweg: zorg dat de basismaatregelen op orde zijn. In hun eigen woorden: “Juist daarom is het belangrijker dan ooit om de basismaatregelen op orde te hebben.”
Dat is het eerlijke verhaal achter AI-dreiging. Het aanvalstempo verandert, de zwakke plekken niet. Een aanvaller komt nog steeds binnen via een niet-geïnstalleerde update, een account zonder meervoudige authenticatie of een medewerker die op het verkeerde moment op de verkeerde link klikt. AI maakt alleen dat zoiets eerder wordt gevonden en op grotere schaal wordt uitgebuit.
En wat is “de basis” dan precies?
Dat blijft in zulke oproepen vaak hangen in abstracties, dus hier is het concreet. Voor een organisatie met 10 tot 150 werkplekken bestaat de basis uit zes dingen:
- Meervoudige authenticatie, overal afgedwongen en niet alleen aangeboden. Dus ook op extern bureaublad, VPN en uw administratiepakket, niet uitsluitend op e-mail.
- Updates die automatisch en tijdig draaien, op werkplekken én op alles wat vaak wordt vergeten: firewalls, switches, NAS-apparaten.
- Moderne endpointbeveiliging waarvan de meldingen ook écht door iemand worden opgevolgd. Een EDR waar niemand naar kijkt, beschermt maar half.
- Een geteste back-up, bij voorkeur onveranderbaar en op meerdere locaties. Een back-up die nooit is teruggezet, is een aanname.
- Toegang die klopt. Geen accounts van vertrokken medewerkers, geen beheerrechten voor wie ze niet nodig heeft, en gebruikers die niet zelf software kunnen installeren.
- Zicht op wat er staat. Wat niet in beeld is, wordt niet gepatcht en niet bewaakt.
Saai, herkenbaar en bepaald niet nieuw. Precies daarom valt het vaak stil zodra het druk wordt, en precies daar rekenen aanvallers op.
En hier zit de verandering die er echt toe doet: vijf van de zes op orde is tegenwoordig niet genoeg. Vroeger kon u ermee wegkomen dat één ding nog openstond, simpelweg omdat de kans klein was dat uitgerekend dat gat gevonden werd. Die rekensom klopt niet meer. Geautomatiseerd scannen vindt in korte tijd precies die ene vergeten firewall, dat ene account zonder tweede stap, die ene server die nog een update mist. Niet omdat iemand het op u gemunt heeft, maar omdat het nu goedkoop genoeg is om iedereen tegelijk te proberen.
De basis is dus geen keuzemenu meer waar u er vier of vijf van afvinkt. Het is een geheel dat op alle vlakken dicht moet zijn.
Hun tweede aanbeveling is de vraag die wij elk jaar met onze klanten doornemen: “Is mijn beveiliging nog op een passend niveau?” En de derde: neem signalen rond AI serieus. De overheidsdiensten benadrukken daarbij nadrukkelijk dat dit geen ICT-feestje is: “Cybersecurity is geen operationeel detail, maar een organisatiebreed vraagstuk dat vraagt om stevige regie op bestuursniveau.”
Wat wij nu versnellen
Juist omdat aanvallen sneller gaan, wordt de tijd tússen binnenkomen en ontdekken belangrijker. En laten we eerlijk zijn over hoe dat tot nu toe ging: verdachte accounts controleerden wij handmatig. Dat werkte, maar het werkt zo snel als een mens kijkt. Een aanval die ‘s nachts om drie uur begint, wordt dan ‘s ochtends opgemerkt.
Daarom hebben wij getekend voor Inforcer TDR, dat we voor al onze beheerklanten gaan activeren. Inforcer kent u misschien al van onze partnerpagina: daarmee leggen wij onze veilige standaardinrichting voor Microsoft 365 vast en bewaken wij of elke klantomgeving daar nog aan voldoet. TDR, threat detection and response, voegt daar doorlopende bewaking van verdacht gedrag aan toe.
In gewone taal gaat het om signalen als iemand die plotseling meer rechten krijgt dan hij hoort te hebben, een inbox waarin ineens regels verschijnen die post wegsluizen, of een aanmelding die niet past bij het normale patroon van die gebruiker. Stuk voor stuk dingen die in een enkele logregel onschuldig lijken, maar in combinatie een inbraak verraden.
Het verschil zit “m dus niet in dát wij hiernaar kijken, maar in hoe snel en hoe consequent. Wat een handmatige controle was, gebeurt nu doorlopend en geautomatiseerd. En het blijft niet bij signaleren: bij duidelijk verdacht gedrag wordt het betrokken account automatisch geblokkeerd, zonder te wachten tot er iemand meekijkt. Een onterechte blokkade is vervelend, maar een kwartier ongemak weegt niet op tegen een weekend vrij spel in een mailbox.
Dat het platform daarbij zelf ook AI inzet, om meldingen sneller te classificeren en te beoordelen, is een aardige wending. Dezelfde techniek die de aanvalskant versnelt, helpt aan onze kant om ruis van echte incidenten te scheiden. Want dat is in de praktijk het grootste probleem met detectie: niet dat er te weinig meldingen zijn, maar te veel. En een melding waar niemand aan toekomt, is geen beveiliging.
Nog een prettige bijkomstigheid: hiervoor is geen aparte, duurdere Microsoft-licentie nodig. Dit soort detectie zit bij Microsoft normaal gesproken in een hoger abonnement, en dat is voor een organisatie van dertig of vijftig medewerkers een flinke kostenpost. Bij ons hoort het gewoon bij het beheer.
Dat doen we niet omdat AI nu in het nieuws is, maar omdat detectietijd het verschil maakt tussen een incident en een ramp. Net als bij endpointbeveiliging geldt: het hoort bij de dienst, u hoeft er niet apart om te vragen.
Wat u zelf kunt doen
De drie aanbevelingen van de overheidsdiensten, vertaald naar de praktijk van een organisatie met 10 tot 150 werkplekken:
- Basis op orde. De zes punten hierboven. Niet één keer inregelen, maar aantoonbaar houden.
- Toets of het nog passend is. Wat vijf jaar geleden voldoende was, is dat nu misschien niet meer. Daar is een jaarlijks moment voor nodig, geen onderbuikgevoel.
- Beleg het op bestuursniveau. Niet omdat de directie de techniek moet begrijpen, maar omdat iemand moet besluiten welk risico acceptabel is. Dat is geen ICT-beslissing.
Wilt u weten waar uw organisatie vandaag staat? Doe de gratis Security QuickScan: zestien vragen, persoonlijk beoordeeld door onze specialisten, met een eerlijk beeld van wat er goed staat en wat aandacht verdient.