Als aanvallers op AI-snelheid bewegen, moet governance bijblijven
Een kwetsbaarheid werd op een maandag bekendgemaakt. Op donderdag werd hij actief misbruikt. De organisatie die ik beoordeelde had een managementreview gepland voor het volgende kwartaal. Drie maanden weg.
Dat gat is het verhaal van cybersecurity in 2026. Governance op AI-snelheid betekent dat een organisatie haar risicobeoordeling en besluitvorming kan herzien op het tempo waarin de dreiging beweegt, niet op het tempo van de jaarkalender.
Jarenlang lag onder de meeste managementsystemen de aanname dat de dreigingsomgeving langzaam genoeg verandert om jaarlijks te beoordelen. Jaarlijkse risicobeoordeling, jaarlijkse managementreview, jaarlijkse cyclus. Het tempo paste bij de snelheid van verandering. Die aanname houdt geen stand meer.
Het snelheidsprobleem is een governanceprobleem
Het is verleidelijk om AI-versnelde aanvallen onder “technisch risico” te plaatsen en bij het securityteam neer te leggen. Dat is een vergissing. Het securityteam kan maatregelen uitrollen, maar het kan niet bepalen hoe vaak de organisatie haar risicopositie formeel herziet, wie bevoegd is om tussen cycli te handelen, of wat een besluit op bestuursniveau in gang zet. Dat zijn governancevragen, en die zitten boven de maatregellaag.
27001:2022, cl. 6.1.2 vereist dat een organisatie haar informatiebeveiligingsrisico’s beoordeelt op geplande momenten en wanneer zich significante wijzigingen voordoen. De meeste organisaties lezen de eerste helft van die zin en negeren stilletjes de tweede. Het geplande moment wordt de hele praktijk. De clausule over significante wijzigingen, die is waar snelheid daadwerkelijk leeft, blijft ongebruikt omdat niemand het besluit bezit om hem in te roepen.
Dat is het gat. Er ontbreekt geen maatregel, maar een trigger, plus een eigenaar voor die trigger. In een audit vorig jaar bleek dezelfde organisatie zes maatregelen netjes op orde te hebben en toch geen enkele route om buiten de jaarcyclus te besluiten.
Wat bestuurders moeten kunnen beantwoorden
Wanneer ik nu een managementsysteem beoordeel, stel ik drie vragen die niets met techniek te maken hebben en alles met de vraag of de organisatie het tempo kan bijhouden.
Wie is bevoegd om een buitencyclische risicobeoordeling op te roepen, en op welke grond? In de meeste organisaties is het eerlijke antwoord dat niemand dat is, omdat het proces rond de jaarlijkse datum is gebouwd en nooit heeft geanticipeerd op de noodzaak om sneller te bewegen. De review gebeurt wanneer de kalender dat zegt, niet wanneer de dreiging dat zegt.
Wat is er nodig om die review daadwerkelijk bijeen te roepen? Als het antwoord neerkomt op wachten tot de volgende geplande bestuursvergadering, dan is de governancestructuur al te traag voor de omgeving waarin ze opereert. Een dreiging die in dagen beweegt, kan niet wachten op een kwartaalagenda.
En tot slot: wanneer het dreigingslandschap verschuift, herziet dan iemand of de bestaande risicobehandeling nog standhoudt? Dit is de kern van cl. 9.3, de eis van de managementreview. Een managementreview die alleen de besluiten van vorig jaar bevestigt, is een verslag, geen stuurinstrument.
De verschuiving die bestuurders moeten verwerken
De ongemakkelijke conclusie is dat het certificaat aan de muur niets zegt over of de organisatie op snelheid kan reageren. Een 27001-gecertificeerde organisatie met alleen een jaarlijkse reviewcadans is tegelijk conform en traag. Conformiteit en weerbaarheid zijn niet dezelfde eigenschap, en AI-versnelde dreigingen zijn precies waar dat verschil zichtbaar wordt.
Dit zijn de governance-implicaties van AI-versnelde dreigingen, concreet gemaakt. Het model dat de aanvaller helpt, is ook beschikbaar voor de verdediger. Wat de twee onderscheidt is de AI governance eromheen: of die kan bijblijven wanneer het tempo omhooggaat.
In het volgende artikel kijk ik naar wat 42001 specifiek vereist wanneer AI de dreiging is, en niet alleen wanneer AI datgene is wat wordt beheerst. En in een derde stuk werk ik uit waarom de jaarlijkse managementreviewcyclus niet meer past, en hoe een responsieve cadans er in de praktijk uitziet. Wil je weten of jouw organisatie tussen reviewcycli door op een snelle dreiging kan reageren, dan is dat het gat dat het eerst onderzoek waard is. iQomply werkt met besturen en securityleiders aan precies die vraag: cybersecurity governance bouwen die stuurt, niet alleen certificeert.
Veelgestelde vragen
Ja, op een specifieke manier. Geavanceerde AI-modellen verkorten de tijd tussen het publiek worden van een kwetsbaarheid en het bestaan van een werkende exploit. De kwetsbaarheid zelf is niet nieuw, maar het venster om te reageren voordat hij wordt misbruikt is korter. Voor managementsystemen die op jaarlijkse reviewcycli zijn gebouwd, is die compressie de kernuitdaging.
Beide, maar ze zitten op verschillende lagen. Technische maatregelen verkleinen de blootstelling. Governance bepaalt hoe snel de organisatie risico’s kan herzien en actie kan autoriseren wanneer de omgeving verandert. AI-versnelde dreigingen leggen zwakheden in de governancelaag bloot die technische tools alleen niet kunnen oplossen.
27001:2022, cl. 6.1.2 vereist risicobeoordeling op geplande momenten en wanneer zich significante wijzigingen voordoen. De tweede voorwaarde is de relevante voor AI-snelheidsdreigingen, maar dat is het deel dat de meeste organisaties ongebruikt laten omdat niemand het besluit bezit om een buitencyclische review te starten.
Vaststellen wie bevoegd is om een buitencyclische risicobeoordeling op te roepen en wat die in gang zet. Zorg, voordat je maatregelen of tools toevoegt, dat de governancestructuur sneller bijeen kan komen en kan besluiten dan de jaarlijkse kalender toelaat. De trigger en de eigenaar ervan zijn het startpunt.
