1. In het paper Are Benelux insurers moving too fast with AI, or not fast enough on resilience? vraag je aandacht voor het spanningsveld tussen AI-toepassingen en cyberweerbaarheid. Wat is er aan de hand?
“Verzekeraars beheren en gebruiken veel data om klanten passende verzekeringen en goede dienstverlening te bieden. Het is daarom logisch dat zij AI steeds vaker inzetten om hun dienstverlening en interne processen te verbeteren. Organisaties moeten blijven innoveren om relevant te blijven, maar die innovatie zorgt tegelijkertijd nieuwe cyberrisico’s.”
2. Kun je daar een voorbeeld van geven?
“AI-toepassingen creëren pas echt waarde als ze toegang hebben tot kwalitatieve data, systemen en andere applicaties. Bij AI-agents, die steeds zelfstandiger taken uitvoeren, kan die toegang zeer vergaand zijn. Als rechten onvoldoende zijn begrensd of een agent wordt gemanipuleerd, kan deze gevoelige informatie raadplegen, handelingen uitvoeren of toegang krijgen tot andere systemen. Bij verzekeraars kan het daarbij gaan om medische informatie, schadedata en andere zeer gevoelige klantgegevens.”
“En OpenAI maakte op 21 juli bekend dat een AI-agent de infrastructuur van een organisatie had gecompromitteerd. Dat maakt duidelijk dat AI-systemen niet alleen waarde creëren, maar ook zelfstandig toegang kunnen krijgen tot systemen en data. Verzekeraars moeten security daarom vanaf de ontwerpfase meenemen in AI-projecten, met duidelijke grenzen aan toegang, bevoegdheden en autonoom handelen.”
Zomerserie!
AI is hot. Verzekeraars zijn volop aan het experimenteren met allerlei vormen van AI. Maar, klanten, bedrijven en ook kwaadwillende cybercriminelen zitten niet stil. In dit tweede deel van onze zomerserie AI: een vloek of een zegen? gaat Alex Douven in op het spanningsveld tussen AI en cyberweerbaarheid. Nieuwsgierig naar meer? Lees dan ook deel 1 met Niels van der Laan (adviesbureau Milliman) over het onderzoek naar fraude bij autoschades met AI-gegenereerde nepbeelden.
3. Verzekeraars werken natuurlijk al aan hun cyberweerbaarheid. Op grond van onder andere DORA en NIS2 zijn ze verplicht om zichzelf te beschermen tegen digitale risico’s. Waarom stip je deze regelgeving toch aan in het paper?
“DORA en de nieuwe Cyberbeveiligingswet die op 15 augustus ingaat, zijn belangrijke kaders en zetten een duidelijke ondergrens. Tegelijkertijd zijn zulke kaders per definitie generiek, terwijl een cyberaanval vaak slaagt door een specifiek detail. Denk aan een kwetsbaarheid, configuratiefout of zwak proces. Een organisatie kan dus compliant zijn en toch worden geraakt.”
“Daar komt bij dat AI zich sneller ontwikkelt dan wetgeving en beveiligingskaders kunnen worden aangepast. Verzekeraars moeten daarom verder kijken dan compliance alleen en continu toetsen of hun maatregelen nog passen bij nieuwe technologie en veranderende aanvalsmethoden. De ervaring leert dat ook om die reden een brede samenwerking met branchegenoten en specialisten belangrijk is.”
Alex Douven (Fox-IT): "Verzekeraars moeten continu toetsen of hun maatregelen nog passen bij nieuwe technologie en veranderende aanvalsmethoden"
4. Dat klinkt als een flinke uitdaging en tijdsdruk…
“Dat is het ook. Een aanvaller hoeft maar één keer succesvol te zijn, maar als verdediger moet je continu goed zitten. Aanvallers kunnen sneller kwetsbaarheden vinden, aanvallen automatiseren en op veel grotere schaal uitvoeren. Tegelijkertijd worden phishing, deepfakes en andere vormen van manipulatie steeds overtuigender en ontstaan er nieuwe aanvalsmethoden.”
“Zoals eerder aangegeven, geen enkele organisatie kan die ontwikkeling alleen bijhouden. Daarom zijn samenwerking en kennisdeling tussen verzekeraars, technologiebedrijven, cybersecurityspecialisten en publieke partijen essentieel. Dat gaat verder dan het beschermen van één organisatie. Verzekeraars beheren zeer gevoelige gegevens en vervullen een belangrijke maatschappelijke functie. Een ernstige cyberaanval kan ook klanten, ketenpartners en het vertrouwen in de sector raken.”
“Vanuit dit belang van samenwerking neemt Fox-IT deel aan Project Daybreak van OpenAI. Samen onderzoeken we hoe AI, verdedigers kan helpen sneller en effectiever op cyberdreigingen te reageren. De inzichten die daaruit voortkomen, zetten we in om organisaties én de maatschappij weerbaarder te maken.”
5. Tot slot: wat kunnen verzekeraars vandaag doen om cybercriminelen voor te blijven, of de schade zoveel mogelijk te beperken als het toch misgaat?
“Wat je kunt voorkomen, hoef je niet te herstellen. Maar niet iedere aanval is tegen te houden. Daarom moeten preventie, detectie, response en herstel goed op elkaar aansluiten. Als één beveiligingslaag faalt, moet een volgende laag de aanval alsnog stoppen, signaleren of de schade beperken.”
“Beperk daarom toegangsrechten, monitor afwijkend gedrag, controleer gevoelige handelingen en zorg voor duidelijke noodprocedures. Maak ook vooraf afspraken met leveranciers en bepaal welke processen bij een aanval moeten doorgaan en hoe systemen worden hersteld. Oefen dit regelmatig.”
“Techniek alleen is daarbij niet genoeg. Iedereen binnen een organisatie maakt deel uit van de verdediging, en kan dan ook onbedoeld een toegangspoort voor criminelen worden. Medewerkers moeten daarom weten hoe zij verdachte verzoeken herkennen, wanneer zij moeten stoppen en via welk onafhankelijk kanaal zij gevoelige handelingen kunnen controleren. Zeker nu phishing, deepfakes en andere vormen van manipulatie steeds overtuigender worden.”
“Test AI-toepassingen vóór en na ingebruikname en laat cybersecurity, fraude, privacy, compliance, bedrijfsvoering en leveranciersmanagement vanaf het begin samenwerken. Als die onderdelen goed op elkaar aansluiten, kan een organisatie risico’s eerder herkennen en sneller en effectiever handelen wanneer het misgaat.”
“En we zullen waarschijnlijk steeds vaker incidenten zien waarbij AI-agents ongewenst autonoom handelen of waarbij aanvallers AI inzetten voor nieuwe en overtuigendere aanvallen. Organisaties die daar nu al rekening mee houden, kunnen veiliger blijven innoveren.”