AI maakt het steeds eenvoudiger om digitale systemen aan te vallen. Ook woningcorporaties krijgen hiermee te maken, want hun klantportalen en systemen bevatten gevoelige gegevens van huurders. Onze collega Joost Grunwald, CTO en ethisch hacker bij Cyber Security Specialist (CSS), vertelt in het Algemeen Dagblad hoe AI zijn werk verandert. Die ontwikkeling baart ons zorgen, maar biedt ons ook nieuwe mogelijkheden om organisaties te beschermen.
Een zwakke plek vinden in de beveiliging van een website of computersysteem kan een flinke zoektocht zijn. Hackers proberen verschillende ingangen en onderzoeken hoe systemen reageren. Met AI gaat dat werk tegenwoordig een stuk sneller.
“Wat voorheen drie weken kostte, lukt nu in een paar uur”, vertelt Joost Grunwald in het Algemeen Dagblad.
Die versnelling brengt risico’s met zich mee. AI verlaagt de technische drempel om systemen aan te vallen, waardoor ook mensen met minder ervaring steeds meer mogelijkheden krijgen. Dat vinden we zorgelijk. Tegelijkertijd kunnen we diezelfde technologie gebruiken om kwetsbaarheden eerder te ontdekken en organisaties te helpen hun beveiliging te versterken.
Hacken om organisaties te beschermen
Als ethisch hacker onderzoekt Joost hoe kwaadwillenden toegang zouden kunnen krijgen tot digitale systemen. Dat doet hij met toestemming van organisaties die hun beveiliging op de proef willen stellen.
Daarbij kijken we vanuit het perspectief van een aanvaller. We onderzoeken welke kwetsbaarheden misbruikt kunnen worden, zodat organisaties deze kunnen verhelpen voordat kwaadwillenden hun kans grijpen.
Voor Joost is dat een belangrijke drijfveer achter zijn werk. Hij wil zijn kennis gebruiken om organisaties te beschermen. Want wie weet hoe hij ergens kan binnendringen, begrijpt ook hoe belangrijk het is om zorgvuldig met die kennis om te gaan.
AI verandert ondertussen de manier waarop we beveiligingsonderzoek uitvoeren. Werkzaamheden die voorheen veel handmatig onderzoek vroegen, kunnen we met behulp van AI versnellen. Daardoor ontstaat ruimte om systemen vaker te onderzoeken en nieuwe kwetsbaarheden eerder op te sporen.
Dat is belangrijk, want ook de beveiliging van een organisatie verandert voortdurend.
Een digitale omgeving die voortdurend verandert
Voor woningcorporaties is dit een herkenbaar vraagstuk. Hun dienstverlening leunt steeds sterker op digitale systemen. Huurders regelen hun zaken online en medewerkers verwerken dagelijks gevoelige persoonsgegevens. Een kwetsbaarheid kan daardoor gevolgen hebben voor zowel de organisatie als haar huurders.
Ondertussen blijft de digitale omgeving zich ontwikkelen. Een nieuwe koppeling tussen applicaties kan bijvoorbeeld onbedoeld een toegangsmogelijkheid creëren. Daardoor kan een systeem dat eerder veilig was, toch kwetsbaar worden.
Veel organisaties laten periodiek een penetratietest uitvoeren. Tijdens zo’n test onderzoeken beveiligingsspecialisten of kwetsbaarheden daadwerkelijk kunnen worden benut. De resultaten geven inzicht in de beveiliging op dat moment.
Met AI wordt het mogelijk om dit onderzoek vaker uit te voeren. Zo kunnen we veranderingen sneller signaleren en organisaties helpen om tijdig de juiste maatregelen te nemen.
Een kwetsbaarheid gevonden. En dan?
Stel dat een beveiligingstest een kwetsbaarheid ontdekt in een klantportaal. De ICT-afdeling wil weten hoe het probleem kan worden verholpen. Tegelijkertijd moet duidelijk worden of de gegevens van huurders gevaar lopen en welke maatregelen voorrang krijgen.
Zo raakt één technische bevinding al snel aan meerdere verantwoordelijkheden binnen de organisatie.
Bij CSS vinden we het daarom belangrijk dat beveiligingsonderzoek ook leidt tot gerichte opvolging. Een gevonden kwetsbaarheid wordt pas echt waardevol wanneer de organisatie begrijpt wat de gevolgen kunnen zijn en welke actie nodig is.
Daarbij zetten we verschillende technologieën in die elkaar aanvullen. Met ons AI-pentestplatform Wocoguard onderzoeken we systemen op kwetsbaarheden en toetsen we welke zwakke plekken daadwerkelijk benut kunnen worden. Ons AI-GRC-platform Wocofort helpt vervolgens om de bevindingen te vertalen naar inzichtelijke risico’s en beheersmaatregelen. Ook kunnen organisaties hiermee de opvolging vastleggen en verantwoordelijkheden toewijzen.
Voor woningcorporaties helpt deze samenhang om informatiebeveiliging beter te organiseren. Technische bevindingen krijgen een plek in het risicomanagement, waardoor ook het management inzicht krijgt in de voortgang en gerichter kan sturen op digitale veiligheid.
De rol van de ethische hacker in een wereld met AI
AI maakt het mogelijk om beveiligingsonderzoek sneller uit te voeren. Daarmee groeit ook het belang van een zorgvuldige beoordeling van de resultaten.
Wanneer een kwetsbaarheid wordt ontdekt, onderzoeken we wat deze betekent voor de organisatie. Soms blijkt een technisch probleem in de praktijk een beperkt risico te vormen. In andere gevallen kan een kleine fout juist grote gevolgen hebben.
Dat vraagt om ervaring en inzicht in de manier waarop aanvallers te werk gaan. Ook moeten we zorgvuldig omgaan met de systemen die we onderzoeken. Daarom maken we vooraf duidelijke afspraken over de uitvoering van onze tests en blijft menselijke controle een belangrijk onderdeel van ons werk.
Voor Joost draait ethical hacking uiteindelijk om het verantwoord inzetten van zijn kennis. Door te begrijpen hoe kwaadwillenden denken en handelen, kunnen we organisaties helpen om hun digitale omgeving beter te beschermen.
Nu AI het zoeken naar kwetsbaarheden steeds sneller maakt, wordt het belangrijker om zelf actief te blijven onderzoeken waar risico’s ontstaan.
Want hoe eerder we een kwetsbaarheid ontdekken, hoe eerder een organisatie de kans krijgt om deze te verhelpen.
Bron: Wieck Molendijk informatiebeveiliging & privacy, Foto: Wieck Molendijk informatiebeveiliging & privacy
