De Boardroom Gap: Waarom CISO’s Moeite Hebben om Over Deepfakes te Praten — en Hoe Ze Het Moeten Kaderen

Cybersecurity staat aan de vooravond van een cruciaal moment, aangedreven door de brede adoptie van AI door ondernemingen, overheden en individuen. Met 82% van de bedrijven in de VS die AI gebruiken of onderzoeken of ze het in hun bedrijf kunnen gebruiken, ontgrendelen organisaties nieuwe efficiëntie, maar ook aanvallers. Dezelfde tools die innovatie mogelijk maken, maken het ook mogelijk voor dreigingsactoren om synthetische inhoud met verontrustende gemakkelijkheid en realisme te genereren. Deze nieuwe realiteit heeft aanzienlijke uitdagingen met zich meegebracht, waaronder de mogelijkheid om synthetische inhoud (afbeeldingen, audio en video) en kwaadaardige deepfakes (gemanipuleerde audio, video of afbeeldingen die worden gebruikt om een echte persoon na te bootsen) met ongekende snelheid en sofisticatie te creëren. Met slechts een paar muisklikken kan iedereen met toegang tot een computer en internet afbeeldingen, audio en video’s manipuleren, waardoor wantrouwen en twijfel in de informatiesfeer worden geïntroduceerd.

In een tijdperk waarin bedrijven, overheden en media-organisaties afhankelijk zijn van digitale communicatie voor hun bestaan, is er geen ruimte voor fouten bij het onderschatten van de risico’s die deepfakes, synthetische identiteitsfraude en impersonatie-aanvallen met zich meebrengen. Deze bedreigingen zijn niet langer hypothetisch – financiële verliezen als gevolg van deepfake-geactiveerde bedrijfsfraude overschreden $200 miljoen in Q1 2025 alleen, waardoor de omvang en urgentie van het probleem worden onderstreept. Een nieuwe bedreigingslandschap vereist een nieuwe benadering van cybersecurity, en CISO’s moeten snel handelen om ervoor te zorgen dat hun bedrijf veilig blijft. Het vragen om nieuwe middelen en duidelijk communiceren over de blootstelling van een organisatie aan een uitvoerend comité met uiteenlopende kennisniveaus van de ernst van de dreiging van deepfakes, kan echter ontmoedigend zijn. Aangezien deepfake-aanvallen blijven evolueren en vorm krijgen, moet elke CISO aan de vooravond staan van het brengen van dit gesprek naar de boardroom.

Hieronder vindt u een kader voor CISO’s en executives om stakeholder-gesprekken te faciliteren op het niveau van de raad van bestuur, de organisatie en de gemeenschap.

Gebruik Vertrouwde Kaders: Deepfakes als Geavanceerde Sociale Ingenieurskunst

Raden van bestuur zijn geconditioneerd om over cybersecurity na te denken in vertrouwde termen: phishing-e-mails, ransomware-aanvallen en de dreigende vraag of hun bedrijf zal worden gehackt. Die mentaliteit vormt hoe ze prioriteit geven aan bedreigingen en waar ze beveiligingsbudgetten toewijzen. Maar als het gaat om AI-gegenereerde inhoud, vooral deepfakes, is er geen ingebouwd referentiepunt. Het kaderen van deepfakes als een zelfstandige, nieuwe dreiging leidt vaak tot verwarring, scepticisme of inactiviteit.

Om dit te bestrijden, moeten CISO’s het gesprek verankeren in iets dat raden van bestuur al begrijpen: sociale ingenieurskunst. In zijn kern is de deepfake-dreiging niet geheel nieuw; het is een geëvolueerde, gevaarlijkere vorm van phishing die al jaren binnen de industrie bestaat en nog steeds de nummer één aanvalsvector van sociale ingenieurskunst. Raden van bestuur erkennen al phishing als een geloofwaardig risico en zijn bereid middelen toe te wijzen om zich daartegen te verdedigen. In veel opzichten vertegenwoordigen deepfakes een overtuigender, schaalbaarder en capabelere vorm van sociale ingenieurskunst, die zowel organisaties als individuen met verwoestende precisie aanvallen.

Het kaderen van deepfakes op deze manier stelt CISO’s in staat om gebruik te maken van bestaande educatie, budgetlijnen en institutioneel geheugen. In plaats van om nieuwe middelen te vragen, kunnen ze het verzoek herformuleren als een evolutie van reeds goedgekeurde beveiligingsinvesteringen. Hoe meer CISO’s kunnen leunen op dit verhaal, hoe waarschijnlijker ze zijn om de middelen te krijgen om dit grotere, onmiddellijke probleem aan te pakken.

Verankeren van het Risico in Realisme, niet in Sensationalisme

Het verwijzen naar echte voorbeelden is een goede manier om het begrip van de raad van bestuur over de gevolgen van deepfake-dreigingen voor organisaties te vergroten. Het is echter belangrijk om te overwegen welke voorbeelden CISO’s aan raden van bestuur voorleggen, aangezien ze het tegenovergestelde effect kunnen hebben. Beruchte verhalen zoals de $25 miljoen draadfraude-incident in Hong Kong maken goede koppen, maar ze kunnen in de boardroom terugvallen. Deze extreme voorbeelden voelen vaak ver weg of onrealistisch, waardoor het gevoel ontstaat dat “zoiets catastrofaals ons nooit zal overkomen.” De voorkeur ontstaat onmiddellijk en verwijdert het gevoel van urgentie om te investeren in bescherming.

In plaats daarvan moeten CISO’s meer relatable scenario’s gebruiken om te laten zien hoe dit risico zich intern kan manifesteren, zoals executive-impersonatie of interviewfraude.

In een geval creëerden Noord-Koreaanse dreigingsactoren een neppe Zoom-gesprek met AI-gegenereerde executives om een crypto-werknemer te misleiden om malware te downloaden om toegang te krijgen tot gevoelige bedrijfsinformatie met de intentie om cryptocurrency te stelen. Uiteindelijk konden de hackers geen toegang krijgen, maar de dreiging die deze aanvallen vormen voor de integriteit van een merk moet een wake-up call zijn voor raden van bestuur binnen het bedrijf.

Een andere groeiende tactiek omvat neppe sollicitanten die AI-gegenereerde identiteiten en deepfake-gegevens gebruiken om bedrijfsorganisaties binnen te dringen. Deze personen handelen vaak namens Amerikaanse tegenstanders zoals Rusland, Noord-Korea of China, die toegang zoeken tot gevoelige systemen en gegevens. Deze trend verbruikt interne middelen en stelt organisaties bloot aan nationale veiligheidsrisico’s en financiële exploitatie.

Vaak vliegen deze bedreigingen onder de radar. Voor elk voorbeeld in het nieuws, gaan er tientallen ongerapporteerd voorbij, waardoor het moeilijk is om de omvang van deze dreiging volledig te begrijpen. Hoe alledaagser de aanval, hoe verontrustender – en relaterender – het wordt. Door voorbeelden zoals deze te delen – realistisch, relaterend en dichter bij huis – kunnen CISO’s het deepfake-gesprek verankeren in dagelijkse bedrijfsoperaties en versterken waarom deze evoluerende dreiging serieuze aandacht op het niveau van de raad van bestuur vereist.

Deepfake-Verdediging Koppelen aan Bestaande Veerkrachtmetingen

CISO’s worden voortdurend dezelfde vragen gesteld door hun raden van bestuur: Wat is de kans dat we worden gehackt? Waar zijn we het meest kwetsbaar? Hoe kunnen we het risico verminderen? Terwijl phishing, ransomware en datalekken blijven bestaan, is het belangrijk om de fundamentele verschuiving te laten zien die heeft plaatsgevonden binnen die kwetsbaarheden en hoe ze nu verder gaan dan traditionele aanvalsoppervlakken.

HR-, financiële en inkoopteams – rollen die traditioneel niet als voorhoede-verdedigers worden gezien – zijn nu frequente doelwitten van synthetische impersonatie, en de gemiddelde menselijke mogelijkheid om deze bedreigingen te detecteren is extreem laag. In feite kan slechts 1 op de 1.000 mensen AI-gegenereerde inhoud nauwkeurig detecteren. CISO’s zijn nu belast met het aanpakken van de vraag naar geavanceerde sociale ingenieurskunst-educatie en grotere cyberweerbaarheid in de hele organisatie, aangezien iedereen in de organisatie getraind, getest en bewust moet worden gemaakt om te helpen bij mitigatie.

Deepfake-verdediging moet een uitbreiding worden van de algehele weerbaarheid van het bedrijf en vereist continue educatie op dezelfde manier als teams worden getraind via phishing-simulaties, bewustwordingstraining en rode team-oefeningen. CISO’s moeten metrics uit trainingen en simulaties gebruiken om het probleem te kaderen in metrics die hun raad van bestuur begrijpt. Als een raad van bestuur al heeft ingestemd met weerbaarheid als een strategische prioriteit voor de organisatie, worden deepfakes een natuurlijke volgende frontier.

AI-gegenereerde bedreigingen komen niet. Ze zijn al hier. Het is tijd dat we ervoor zorgen dat de boardroom klaar is om te luisteren en te leiden. Dankzij de adoptie van AI zijn de omvang en frequentie van deepfake- en identiteitsgebaseerde aanvallen getransformeerd in een bedreigingslandschap dat onvoorspelbaar en voortdurend evolueert.

Maar raden van bestuur hebben geen inleiding over deepfakes of stemkloon nodig. Ze hebben een duidelijke zakelijke context en een beter begrip van de bedreigingen die ze vormen voor hun organisaties nodig. CISO’s moeten hun gesprek verankeren in risico, kosten en operationele continuïteit. Diegenen die hun deepfake-verhaal koppelen aan vertrouwde paradigma’s – phishing, sociale ingenieurskunst, weerbaarheid – geven hun raad van bestuur een kader en context waarin ze kunnen handelen, niet alleen reageren.