Van mens tot hybride: Inside Exabeam’s 2025-rapport over AI-gevoede insider-risico’s

Het risico is naar binnen gekeerd—and dat verandert de architectuur

Als de belangrijkste dreiging van binnenuit komt, is “meer firewall” geen antwoord. Het gaat om identiteit, toegang en gedrag. Denk aan continue verificatie van wie wat doet, met welke gegevens, en of dat patroon normaal is. Regionaal behandelen de meeste markten insiders nu als de primaire zorg; de belangrijkste uitzondering is APJ (Azië-Stille Oceaan & Japan), waar veel nog meer vrezen voor externe aanvallers. Voor leiders is de praktische vertaling om uitgaven te verschuiven naar:

• Sterkere identiteitscontroles (MFA die werkt, risicogebaseerde toegang, minimale privileges die daadwerkelijk worden afgedwongen).
• Data-aware monitoring over SaaS, eindpunten, opslag en e-mail, zodat abnormale bewegingen zichtbaar zijn.
• Gedragsanalyse die normale patronen per persoon, team en systeem leert—and afwijkingen signaleert.

De organisatorische implicatie: beveiliging en data-eigenaren moeten samenwerken. Als je niet kunt antwoorden op “wie heeft deze week gevoelige gegevens aangeraakt en was dat typisch voor hen?”, ben je blind voor het moderne inbraakpad (gecompromitteerde account → stille data-staging → snelle exfil).

AI heeft de definitie van “insider” herschapen

Schaduw-AI is de nieuwe schaduw-IT. Medewerkers plakken code, contracten, klantlijsten of prompts met gevoelige context in niet-goedgekeurde modellen. Dat is waarom het 76%-cijfer ertoe doet: het betekent dat dit geen niche-probleem is. Behandel GenAI als bevoorrechte toegang—keur specifieke tools goed, log gebruik waar wettelijk toegestaan, en voorkom dat beschermd gegevens (gereglementeerde PII, bedrijfsgeheimen) ooit in derdenmodellen terechtkomen. Koppel beleid aan enablement: geef mensen goedgekeurde AI-opties, zodat ze niet gedwongen worden om stiekem te gaan.

Er is ook een nieuwe acteur aan de binnenkant: AI-agents. Teams verbinden agents met echte referenties en API-sleutels in workflows. Dit zijn “niet-menselijke insiders”. Ze worden nooit moe en klagen zelden—tot ze afwijken. Dat vraagt om twee controles die executives moeten herkennen:

• Scope: elke agent heeft een eigenaar, een duidelijke taak en minimale privileges nodig.
• Observability: elke agent verdient hetzelfde audit-spoor en anomaliedetectie als een mens.

UEBA (User & Entity Behavior Analytics) is detectie die zich richt op gedrag, niet alleen op handtekeningen en executives moeten hiermee vertrouwd raken. Het bouwt een basislijn voor elke gebruiker of entiteit (inclusief bots, service-accounts en agents) door te leren:

• Tijdsreeksnormen: typische inlogtijden, gegevensvolumes of bestemmingen.
• Peer-groepcontext: hoe een financieel analist zich gedraagt in vergelijking met andere financiële analisten.
• Sequentiepatronen: ongebruikelijke volgordes (bijv. eerste VPN-inlog → onmiddellijke privilege-wijziging → bulkdownload).
  Wanneer activiteit afwijkt van de geleerde patronen, scoort UEBA het risico en brengt het afwijkende patronen aan het licht. Technisch gezien steunt dit op statistiek en machine learning (onbegeleide en semi-begeleide methoden) die goed werken met loggegevens zonder perfecte labels nodig te hebben. In gewoon Nederlands: UEBA verandert stapels gebeurtenissen in “is dit normaal voor hen op dit moment?”

Sluit de analytics-gap—and de culturele gap

Dit is de echte blootstelling: slechts 44% van de organisaties gebruikt UEBA, terwijl insider-risico nu het hoofdprobleem is. Tegelijkertijd zegt 74% van de beoefenaars dat leiders insider-bedreigingen onderschatten. Die culturele gap vertraagt werving, tooling en beleid. Het sluiten van beide gaps ziet er zo uit:

Maak gedrag een eerste-klasse signaal. Consolidateer identiteit, eindpunt, SaaS-beheer, e-mail en gegevensbewegingslogboeken, zodat één persoon (of agent) één verhaal heeft over systemen. Investeer in correlatie voordat u dashboards maakt. Als de SOC identiteit niet kan combineren over tools, zullen ze stille misbruik en langzame exfiltratie missen.

Balans tussen privacy en detectie—door ontwerp. Het meest voorkomende obstakel voor insider-programma’s is privacyweerstand. Los dit op met doelbeperkte analytics, rolgebaseerde toegang tot telemetrie, duidelijke retentievensters en transparante documentatie van wat u analyseert en waarom. Als het goed wordt gedaan, kunnen privacy-remmen sterker detectie mogelijk maken omdat ze de gegevensstromen vrijgeven die teams nodig hebben.

Meet resultaten, niet tool-aantallen. Executives moeten elke maand om drie cijfers vragen:

1. Tijd tot detectie van abnormaal gedrag
2. Tijd tot beperking van insider-incidenten
3. Percentage van incidenten dat wordt gevangen door gedragsanalyse versus geluk of na afloop van audits.

Koppel budget aan het verbeteren van die metrics, niet aan het aantal puntproducten dat wordt “geïmplementeerd”.

Behandel GenAI als een productiesysteem. Stel allow-lists in, rode lijnen voor gegevenscategorieën en logging voor prompts en uitvoer waar wettelijk toegestaan. Geef product en juridische afdeling een zitplaats aan tafel, zodat “snel verplaatsen” nooit betekent “gegevens in zwarte dozen spuiten”.

Stel een basislijn voor iedereen en alles. Mensen, service-accounts, RPA-scripts en AI-agents krijgen elk hun eigen basislijn. U zoekt naar afwijking—nieuwe gegevens die worden aangeraakt, ongebruikelijke tijden van de dag, vreemde bestemmingen of sequenties die niet overeenkomen met de taak die moet worden uitgevoerd.

Samenvatting

Van Van mens tot hybride: Hoe AI en de analytics-gap insider-risico’s aanwakkeren is meer dan een momentopname van de huidige risico’s—het is een voorbeeld van waar beveiliging naartoe moet. Insider-bedreigingen, versterkt door AI, zijn geen uitzonderingen meer, maar de basisaanname. Voor CISO’s en CEO’s betekent de weg vooruit het verschuiven van perimeter-verdediging naar identiteitsgerichte strategieën, het behandelen van GenAI met dezelfde voorzichtigheid als bevoorrechte accounts, en het geven van zowel mensen als AI-agents hun eigen gedragslijnen. De organisaties die slagen, zijn die welke telemetrie verenigen, resultaatgedreven metrics omarmen en leiderschap met operaties in overeenstemming brengen. In die zin is Exabeam’s rapport minder een waarschuwing en meer een playbook voor het opbouwen van veerkracht in een toekomst gedefinieerd door AI.