Rapporter
Fra Menneske til Hybrid: Indenfor Exabeams 2025-rapport om AI-drevet Insider-risiko
Risikoen er vendt indad – og det ændrer arkitekturen
Hvis den primære trussel er indefra, er “mere brandmur” ikke svaret. Det handler om identitet, adgang og adfærd. Tænk på kontinuerlig verificering af hvem der gør hvad, med hvilke data, og om mønsteret er normalt. Regionalt set behandles insiders som den primære bekymring i de fleste markeder; den største afviger er APJ (Asien-Stillehavet & Japan), hvor mange stadig frygter eksterne angreb mere. For ledere betyder det at flytte fokus mod:
- Stærkere identitetskontrol (MFA, der holder, risikobaseret adgang, mindste privilegier, der faktisk håndhæves).
- Data-bevidst overvågning på tværs af SaaS, endpunkter, lagring og e-mail, så abnormal adfærd er synlig.
- Adfærdsanalytik, der lærer normale mønstre pr. person, team og system – og alarmerer over væsentlig afvigelse.
Den organisatoriske implikation: sikkerheds- og dataejere må arbejde sammen. Hvis du ikke kan svare på “hvem rørte hvilken følsom data i denne uge og var det typisk for dem?”, er du blind for den moderne angrebsvej (kompromitteret konto → stille data-staging → hurtig eksfiltration).
AI har ændret definitionen af “insider”
Skygge-AI er den nye skygge-IT. Medarbejdere indsætter kode, kontrakter, kundelister eller prompts med følsom kontekst i ikke-godkendte modeller. Det er derfor, at 76%-tallet er vigtigt: det betyder, at dette ikke er et niche-problem. Behandle GenAI som privilegeret adgang – godkend specifikke værktøjer, log brug, hvor lovlige, og forhindr beskyttede datakategorier (reguleret PII, erhvervshemmeligheder) fra at komme ind i tredjepartsmodeller. Par policy med enablement: giv folk godkendte AI-alternativer, så de ikke føler sig tvunget til at gå under jorden.
Der er også en ny aktør indefra: AI-agenter. Teams forbinder agenter til arbejdsgange med rigtige legitimationsoplysninger og API-nøgler. Disse er “ikke-menneskelige insiders”. De bliver ikke trætte, og de klager sjældent – indtil de glider. Det kræver to kontroller, som ledere skal kende:
- Omfang: hver agent har brug for en ejer, en klar opgave og minimale tilladelser.
- Observabilitet: hver agent fortjener den samme revisionshistorik og afvigelsesdetektion som et menneske.
UEBA (User & Entity Behavior Analytics) er detektion, der fokuserer på adfærd, ikke kun signaturer og chefer skal blive fortrolige med dette. Det opbygger en baseline for hver bruger eller enhed (herunder bots, servicekonti og agenter) ved at lære:
- Tidsmæssige normer: typiske login-tider, data-volumener eller destinationer.
- Peer-gruppekontekst: hvordan en finansanalytiker opfører sig i forhold til andre finansanalytikere.
- Sekvensmønstre: usædvanlige rækkefølger (f.eks. første gang VPN-login → umiddelbar privilegieændring → bulk-download).
Når aktiviteten afviger fra de lærte mønstre, scorer UEBA risikoen og viser afvigere. Teknisk set bygger det på statistik og maskinlæring (uovervåget og semi-overvåget metoder), der trives på logdata uden behov for perfekte mærker. På godt dansk: UEBA omdanner bunker af begivenheder til “er dette normalt for dem lige nu?”
Luk analytics-gapet – og kultur-gapet
Her er den virkelige eksponering: kun 44% af organisationerne bruger UEBA, selv om insider-risiko nu er hovedproblemet. Samtidig siger 74% af praktikerne, at ledere underskatter insider-trusler. Det kulturelle gap langsommeliggør rekruttering, værktøjer og politik. At lukke begge huller ligner:
Gør adfærd til en førsteklasses-signal. Konsolider identitet, endpoint, SaaS-admin, e-mail og data-bevægelseslog, så én person (eller agent) har én historie på tværs af systemer. Investér i korrelation før dashboards. Hvis SOC ikke kan sye identitet på tværs af værktøjer, vil de missse stille misbrug og langsommelige eksfiltrationer.
Balancér privatliv med detektion – ved design. Den mest almindelige vejspærring for insider-programmer er privatlivsmodstand. Løs det med formål-begrænsede analytik, rolle-baseret adgang til telemetri, klare retentionsvinduer og gennemsigtig dokumentation af, hvad der analyseres og hvorfor. Gjort rigtigt, giver privatlivs-vejskærmere stærkere detektion, fordi de låser op for datastrømmene, teams har brug for.
Mål resultater, ikke værktøjsantal. Ledere skal bede om tre tal månedligt:
- Tid til at opdage abnormal adfærd
- Tid til at indeholde insider-episoder
- Procent af episoder fanget af adfærdsanalytik versus held eller efterfølgende revisioner.
Bind budget til forbedring af disse mål, ikke til, hvor mange punktprodukter der er “udrullet”.
Behandle GenAI som et produktions-system. Etablerer allow-lister, rød-linje data-kategorier og logging for prompts og outputs, hvor lovlige. Giv produkt og juridisk en plads ved bordet, så “flyt hurtigt” aldrig betyder “spray data ind i sorte kasser”.
Baselines alle og alt. Mennesker, servicekonti, RPA-skripter og AI-agenter får hver sin baseline. Du søger efter glide – nye data berørt, usædvanlige tidspunkter, underlige destinationer eller sekvenser, der ikke matcher opgaven.
Resumé
Fra Fra Menneske til Hybrid: Hvordan AI og Analytics-gapet driver Insider-risiko er mere end et snapshot af i dagens risici – det er en forhåndsvisning af, hvor sikkerheden må gå herefter. Insider-trusler, forstærket af AI, er ikke længere undtagelser, men grundantagelser. For CISO’er og CEO’er betyder fremtiden at skifte fra perimedeforsvar til identitets-centrerede strategier, at behandle GenAI med samme forsigtighed som privilegeret adgang og at give både mennesker og AI-agenter deres egne adfærds-baselines. De organisationer, der lykkes, vil være dem, der samler telemetri, omfavner resultatorienterede mål og alignerer ledelse med operationer. I den forstand er Exabeams rapport mindre en advarsel og mere en playbook for opbygning af robusthed i en AI-defineret fremtid.
