De meeste incidentresponsplannen zijn geschreven voor een dreigingslandschap dat niet meer bestaat. Ransomware die dagen nodig had om zich te verspreiden, phishingmails met duidelijke fouten, fraudepogingen die een getrainde medewerker meestal doorzag. AI heeft de tijdlijn en de vermomming veranderd. Het heeft niets veranderd aan het feit dat de meeste organisaties pas tijdens het incident zelf ontdekken hoe goed voorbereid ze werkelijk zijn.

We hebben onze dienst Gereedheid voor Cyberincidenten dit jaar uitgebreid, specifiek vanwege wat we zien bij klantomgevingen. Dit artikel gaat over waarom, en wat een gereedheidsplan nu moet bevatten nu AI onderdeel is van de dreiging, niet alleen van de verdediging.

Hoe AI de dreiging zelf verandert

Geen van onderstaande categorieën is nieuw. Wat wel nieuw is, is de snelheid en schaal waarmee aanvallers ze nu kunnen inzetten:

  • Door AI geschreven phishing en zakelijke e-mailfraude: e-mails zonder spelfouten, zonder onhandige formuleringen, met taalgebruik afgestemd op hoe uw organisatie intern daadwerkelijk communiceert
  • Deepfake stem- en videofraude: een gekloonde stem die een overboeking autoriseert, een nagemaakt videogesprek dat om urgente toegang vraagt, beide overtuigend genoeg om medewerkers te misleiden die getraind zijn op de oudere, minder geraffineerde versie van deze aanval
  • Door AI versnelde ransomware: verkenning en laterale beweging die aanvallers vroeger dagen kostte, duurt nu uren, waardoor het venster waarin uw team een inbraak kan detecteren en indammen voordat deze zich verspreidt drastisch krimpt
  • Aanvallen op de AI-tools die u gebruikt: prompt injection, datavergiftiging en modelmanipulatie gericht op de AI-systemen die uw eigen organisatie heeft ingevoerd, een categorie waar bijna geen enkel incidentplan van vóór 2024 rekening mee houdt

De gemene deler is snelheid. AI verkort de tijd tussen de eerste inbreuk en volledige impact op de organisatie. Een plan dat ervan uitgaat dat u een dag heeft om te reageren voordat het ertoe doet, is een plan gebouwd voor een dreiging die voor de meeste organisaties niet meer geldt.

Een plan is niet hetzelfde als daadwerkelijk gereed zijn

Elke organisatie die we beoordelen heeft wel een vorm van een incidentresponsdocument. De meeste hebben het al meer dan een jaar niet meer geopend. Nog minder organisaties hebben getest of de mensen die erin genoemd worden daadwerkelijk weten wat er van hen wordt verwacht, of dat de technische stappen nog overeenkomen met de systemen die nu daadwerkelijk in gebruik zijn.

Incidentrespons is een bedrijfsproces, geen IT-proces. Het document is minder belangrijk dan de vraag of uw directie, uw communicatiefunctie en uw technische medewerkers daadwerkelijk hebben geoefend om samen beslissingen te nemen onder druk. Een tabletopoefening legt gaten bloot die een geschreven plan verbergt: wie heeft de bevoegdheid om een systeem uit te schakelen, wie communiceert met klanten, wie beslist of losgeld wordt betaald, en hoe lang de organisatie eigenlijk kan doorwerken in afgeslankte staat voordat omzet of veiligheid in het geding komt.

Wat een echt terugvalplan moet dekken

Om de organisatie tijdens een incident daadwerkelijk operationeel te houden, niet alleen er uiteindelijk van te herstellen, is een aantal zaken nodig die de meeste plannen overslaan:

  • Handmatige terugvalprocedures voor de processen die als eerste vastlopen wanneer systemen uitvallen: betalingen verwerken, gasten inchecken, personeel inzetten, alles wat de omzet op gang houdt zonder de software waar u normaal op vertrouwt
  • Een vooraf opgesteld communicatieplan, inclusief conceptverklaringen voor klanten, medewerkers en toezichthouders, zodat niemand voor het eerst een openbare verklaring opstelt terwijl het incident nog gaande is
  • Daadwerkelijk geteste back-ups, geïsoleerd van de systemen die een aanvaller zou compromitteren, en herstelbaar binnen een termijn die de organisatie kan overleven
  • Aangewezen beslissers met echte bevoegdheid, vooraf afgesproken, niet geïmproviseerd tijdens het incident
  • Ingebouwde meldingstermijnen aan toezichthouders, aangezien NIS2 en andere Nederlandse meldingsverplichtingen korte wettelijke termijnen kennen die niet pauzeren voor een crisis

Dit is wat onze Incidentgereedheidsbeoordeling oplevert: geen document dat in een lade verdwijnt, maar plannen, draaiboeken en een geoefend team dat weet wat te doen zodra de melding binnenkomt.