LastPass: Maak van AI-beveiliging een managementtaak
Het invoeren van een strikt verbod op AI-tools op de werkvloer werkt averechts. Werknemers gebruiken de software massaal in het geheim, met enorme datalekken tot gevolg. Volgens een nieuw rapport van wachtwoord- en beveiligingsbeheerder LastPass ligt de oplossing niet in restricties, maar in een helder 'toegangsbeleid'.
Stel je voor: een overijverige medewerker wil snel een gepersonaliseerde marketingcampagne opzetten. Zonder erbij na te denken kopieert en plakt hij de aankoopgeschiedenis van tweehonderd klanten rechtstreeks in de gratis versie van ChatGPT. Een onschuldige actie om efficiënter te werken, maar de bedrijfskritische informatie ligt direct op straat. Dit is geen hypothetisch scenario, maar de dagelijkse realiteit binnen moderne organisaties.
Uit het recent verschenen eBook The Complete Guide to AI Access Governance van LastPass blijkt dat de snelle opmars van kunstmatige intelligentie (AI) op de werkvloer een gigantische blinde vlek heeft gecreëerd voor IT-afdelingen. Veel bedrijven reageren hierop door AI-tools simpelweg te verbieden. Een fatale fout, waarschuwt de security-expert: hiermee wordt het probleem niet opgelost, maar verschuift het naar de ondergrond.
De opmars van 'Shadow AI'
Wanneer organisaties het gebruik van AI aan banden leggen, stoppen werknemers namelijk niet met het gebruik ervan. Uit cijfers in het rapport blijkt dat maar liefst 78 procent van de werknemers al eens niet-goedgekeurde AI-tools heeft gebruikt op het werk. Bijna 60 procent van de Amerikaanse werknemers gebruikt deze tools zelfs dagelijks voor hun routinetaken. Ongeveer 40 procent van de ondervraagden geeft openlijk toe het bedrijfsbeleid op dit vlak bewust te negeren.
Dit fenomeen, ook wel Shadow AI genoemd, brengt immense risico’s met zich mee. Terwijl werknemers massaal experimenteren met slimme software, heeft slechts 47 procent van de organisaties daadwerkelijk beveiligingsmaatregelen getroffen voor het gebruik van AI. Gemiddeld herbergt een organisatie 269 niet-goedgekeurde AI-tools per 1.000 werknemers.
"Als we zien dat de traditionele technologiewereld bepaalde systemen adopteert, dan doen de criminelen dat ook", stelt Alex Cox, Director AI Transformation bij LastPass.
Het gevaar van slimme AI-agenten
Het risico beperkt zich niet langer tot het stellen van een vraag aan een chatbot. De nieuwste generatie AI-hulpmiddelen bestaat uit zogeheten 'AI-agenten', zoals het open-source programma OpenClaw (voorheen Moltbot). Deze software voert lokaal op de computer van een medewerker opdrachten uit, zoals het opschonen van de inbox of het inchecken voor vluchten.
Om dit te kunnen doen, koppelt de AI-agent zich aan inloggegevens, API-keys en tokens. Wanneer zo'n endpoint slecht beveiligd is of verbinding maakt met openbare chatapps zoals Telegram of WhatsApp, liggen al die inloggegevens voor het grijpen. Hackers kunnen die buitgemaakte inloggegevens vervolgens gebruiken om diep in te breken in bedrijfssystemen (zoals CRM-, e-mail- en betalingssystemen) en ransomware te installeren.
Geen technisch probleem, maar een governance-kwestie
Volgens LastPass moeten bedrijven inzien dat AI geen puur technisch probleem is, maar een kwestie van usage governance (gebruiksbeheer). "AI is een enorme kans voor iedereen", benadrukt Mario Platt, CISO bij LastPass. "Bedrijven krijgen vanuit hun bestuur de opdracht om efficiënter te worden. De productiviteit van werknemers verhogen is een valide doelstelling." Het blokkeren van innovatie is dus geen optie; het creëren van veilige kaders wel.
Om organisaties te helpen AI veilig te omarmen, introduceert het eBook een vijftal strategische pijlers:
- Volledig visueel inzicht: IT-teams moeten exact kunnen monitoren welke SaaS- en AI-tools via browsers en zakelijke e-mailadressen worden geopend. Tools zoals LastPass Business Max spelen hierop in door onbevoegde aanmeldingen en zwakke of hergebruikte wachtwoorden direct te detecteren.
- Implementeer een helder AI-beleid: Bedrijven moeten een officieel acceptatiebeleid opstellen. Dit hoeft niet ingewikkeld te zijn, maar moet wel duidelijk maken welke tools zijn toegestaan, hoe data gedeeld mag worden (en wat absoluut vertrouwelijk moet blijven) en welke minimale toegangsrechten per werknemer gelden.
- Bouw vangrails, geen wegversperringen: Er is een wezenlijk verschil tussen gratis en betaalde enterprise-versies van AI-tools. Waar gratis varianten van bijvoorbeeld ChatGPT of Gemini de ingevoerde data vaak gebruiken om hun modellen te trainen, bieden enterprise-versies harde garanties rondom dataretentie, privacy en compliance (zoals SOC 2 en AVG). Bedrijven doen er goed aan de zakelijke varianten te faciliteren.
- Het stoplichtsysteem voor datadeling: Train medewerkers aan de hand van een simpel stoplichtmodel. Rood staat voor data die nooit in een AI ingevoerd mag worden (zoals burgerservicenummers, financiële data of broncode). Oranje/Geel mag enkel in beveiligde enterprise-omgevingen (zoals klantsegmenten of geboortedata). Groen mag onbeperkt gedeeld worden (openbare data en algemene kennisvragen).
- Maak veiligheid de makkelijkste optie: Haal de frictie weg bij de eindgebruiker. Richt bijvoorbeeld een intern communicatiekanaal in waar medewerkers AI-output met elkaar kunnen reviewen op fouten ('hallucinaties') en creëer een bibliotheek met goedgekeurde, veilige tekstprompts.
Directe actie vereist
Het perfect inrichten van een waterdicht AI-beveiligingsbeleid kost tijd, maar volgens het rapport kunnen bedrijven vandaag al grote stappen zetten om de grootste risico’s te elimineren. De belangrijkste eerste stap? Kies één enterprise-AI-tool, financier deze als organisatie en communiceer duidelijk naar het personeel dat het gebruik van gratis, onbeveiligde varianten vanaf nu verleden tijd is. Wie AI effectief wil beveiligen, moet stoppen met verbieden en beginnen met sturen.
Door: SureSync
