Organisaties overschatten hun AI-veiligheidsstrategie

Er bestaat een groot gat tussen wat organisaties denken op orde te hebben in het beheer van speciale accounts (privileged accounts), en wat ze in de praktijk uitvoeren. De toegangsrechten van privileged accounts wijken af van de normale toegangsrechten van medewerkers en worden doorgaans toegekend aan systeembeheerders, IT-beveiligingsteams en applicatiebeheerders. Zij hebben hun ruimere rechten nodig om hun werk te kunnen doen. Ook AI-agents en geautomatiseerde scripts krijgen vaak speciale rechten.

Geen Zero Trust-aanpak

Van de vijfhonderd Amerikaanse bedrijven die door Censuswide werden onderzocht in opdracht van CyberArk, verklaarde 76 procent dat hun Privileged Accountmanagement (PAM) klaar is voor AI en hybride cloudomgevingen. Toch maakt maar 1 procent van deze organisaties gebruik van een Just-in-Time (JIT)-model. Daarmee krijgen de speciale accounts alleen de extra rechten voor de duur van een specifieke taak of sessie. Van de respondenten vertrouwt 91 procent op een beveiligingsbeleid waarbij die accounts permanente toegang hebben tot gevoelige systemen. Die situatie vergroot het risico op misbruik van de accounts, bijvoorbeeld door andere medewerkers of door hackers. Deze aanpak gaat ook in tegen de Zero Trust-principes die organisaties maximaal veilig houden.

Uit het onderzoek blijkt verder dat 45 procent van de organisaties aan AI-agents dezelfde toegangsrechten toekent als aan menselijke gebruikers, ondanks een verschil in risicoprofielen. AI-agents zijn bijvoorbeeld 24 uur per dag en zeven dagen in de week actief zonder dat er toezicht op hun handelen is. Door fouten of verkeerde configuraties kunnen zij onbedoelde acties in gang zetten en omdat ze zeer snel en automatisch werken kan de schade razendsnel oplopen als er iets fout gaat. Ruim een derde van de respondenten geeft aan geen duidelijke toegangsregels te hebben voor AI-systemen.

Controle op gebruik van rechten ontbreekt

Een interessante bevinding is ook dat 63 procent van de ondervraagden toegeeft dat medewerkers beveiligingsmaatregelen omzeilen om sneller te kunnen werken. Twee derde zegt dat een periodieke evaluatie van toegangsrechten geen prioriteit heeft, omdat ze tijdrovend en foutgevoelig zijn, zeker in grote organisaties. Ook een traditionele review bij een verzoek om extra rechten werkt vertragend, vinden ze, bijvoorbeeld wanneer in een productieomgeving een nieuwe release moet worden geïnstalleerd.

Om aan deze tekortkomingen tegemoet te komen zijn er snellere en risicogebaseerde manieren van toegangsbeheer. JIT-toegang beperkt bijvoorbeeld het misbruik van rechten door onbevoegden en AI-ondersteunde reviews helpen om snel en automatisch de juiste rechten toe te kennen op basis van de situatie en het risico dat hoort bij de aanvraag.