Fra menneske til hybrid: Innside Exabeams rapport fra 2025 om AI-drevet insider-risiko

Risikoen har snudd innover—and det endrer arkitekturen

Hvis hovedtrusselen er innenfor, er “mer brannmur” ikke svaret. Det handler om identitet, tilgang og atferd. Tenk kontinuerlig verifisering av hvem som gjør hva, med hvilke data, og om mønsteret er normalt. Regionalt sett regner de fleste markedene nå innenforstående som den primære bekymring; hovedavvikeren er APJ (Asia-Stillehavet & Japan), der mange fortsatt frykter eksterne angripere mer. For ledere betyr det å flytte budsjettet mot:

• Sterkere identitetskontroll (MFA som holder, risikobasert tilgang, minste privilegier som faktisk håndheves).
• Data-bevisst overvåking på tvers av SaaS, sluttpunkter, lagring og e-post så avvikende bevegelser er synlige.
• Atferdsanalyse som lærer normale mønster per person, team og system—and varsler om betydelig avvik.

Organisasjonsimplikasjonen: sikkerhets- og dataeiere må arbeide sammen. Hvis du ikke kan svare på “hvem berørt hva sensitivt data denne uken og var det typisk for dem?” er du blind for det moderne bruddsstien (kompromittert konto → stille data-staging → rask eksfiltrering).

AI har endret definisjonen av “innenforstående”

Skygge-AI er det nye skygge-IT. Ansatte limter kode, kontrakter, kundelister eller prompter med sensitiv kontekst inn i godkjente modeller. Det er derfor 76%-tallet betyr noe: det betyr at dette ikke er et nisjeproblem. Behandle GenAI som privilegert tilgang—godkjenn spesifikke verktøy, logg bruk der lovlige, og forhindrer beskyttede dataklasser (regulert PII, handelshemmeligheter) fra å noen gang gå inn i tredjepartsmodeller. Par policy med enablement: gi folk godkjente AI-alternativer så de ikke føler seg tvunget til å gå rogue.

Det er også en ny aktør innenfor: AI-agenter. Team kobler agenter inn i arbeidsflyter med ekte kredensialer og API-nøkler. Disse er “ikke-menneskelige innenforstående”. De blir ikke trøtte, og de klager sjelden—før de drifter. Det krever to kontroller ledere bør kjenne til:

• Omfang: hver agent trenger en eier, en klar jobb og minimale tillatelser.
• Observasjon: hver agent fortjener den samme audit-trail og anomali-dettektasjon som et menneske får.

UEBA (Bruker- og enhetsatferdsanalyse) er detektering som fokuserer på atferd, ikke bare signaturer og eksekutiver bør bli kjent med dette. Det bygger en baseline for hver bruker eller enhet (inkludert boter, tjenekontoer og agenter) ved å lære:

• Tidsserienormer: typiske innloggings­tider, data-volumer eller destinasjoner.
• Peer-gruppekontekst: hvordan en finansiell analytiker oppfører seg i forhold til andre finansielle analytikere.
• Sekvensmønster: uvanlige rekkefølger (f.eks. første gang VPN-innlogging → umiddelbar privilegieendring → bulk-nedlastning).
  Når aktivitet avviker fra de lærte mønstrene, scorer UEBA risikoen og viser avvik. Teknisk sett hviler dette på statistikk og maskinlæring (uovervåket og semiovervåket metoder) som trives på loggdata uten å trenge perfekte merker. På vanlig norsk: UEBA gjør hauger med hendelser til “er dette normalt for dem nå?”

Lukk analytisk gap—and kulturelt gap

Her er den virkelige eksponeringen: bare 44% av organisasjonene bruker UEBA selv om innenforstående-risiko nå er hovedproblemet. Samtidig sier 74% av praktikerne at ledere undervurderer innenforstående-trusler. Det kulturelle gapet svekker rekruttering, verktøy og politikk. Å lukke begge gap ser ut således:

Gjør atferd til en førsteklasses signal. Konsolider identitet, sluttpunkt, SaaS-admin, e-post og data-bevegelseslogger så en person (eller agent) har én historie på tvers av systemer. Investér i korrelasjon før dashboards. Hvis SOC ikke kan sye identitet på tvers av verktøy, vil de gå glipp av stille misbruk og langsom eksfiltrering.

Balanser personvern med detektering—ved design. Det vanligste hindret for innenforstående-programmer er personvernsmotstand. Løs det med formål-begrensede analyser, rolle-basert tilgang til telemetri, klare oppbevaringsvinduer og gjennomsiktig dokumentasjon av hva du analyserer og hvorfor. Gjort riktig, personvern-vegger enable sterke detektering fordi de låser opp datastrømmene teamene trenger.

Mål resultater, ikke verktøy-tellinger. Ledere bør spørre om tre tall månedlig:

1. Tid til å detektere avvikende atferd
2. Tid til å begrense innenforstående-hendelser
3. Prosent av hendelser fanget av atferdsanalyse versus flaks eller etterfaktiske auditor.

Knytt budsjettet til å forbedre disse målene, ikke til hvor mange punkt-produkter som er “distribuert”.

Behandle GenAI som et produksjonssystem. Etablér tillatte lister, rødlinje-datakategorier og logging for prompter og utdata der lovlige. Gi produkt og juridisk en plass ved bordet så “flytt raskt” aldri betyr “spray data inn i svarte bokser”.

Baselin alle og alt. Personer, tjenekontoer, RPA-skript og AI-agenter får hver sin baseline. Du søker etter drift—nye data berørt, uvanlige tider på dagen, rare destinasjoner eller sekvenser som ikke matcher jobben som skal gjøres.

Sammentrekning

Fra Fra menneske til hybrid: Hvordan AI og analytisk gap driver insider-risiko er mer enn et øyeblikksbilde av dagens risiko—det er en forhåndsvisning av hvor sikkerhet må gå neste. Innenforstående-trusler, forsterket av AI, er ikke lenger unntak, men en grundig antagelse. For CISO-er og CEO-er betyr veien fremover å flytte fra perimetre-forsvar til identitets-sentrerte strategier, å behandle GenAI med samme forsiktighet som privilegert tilgang, og å gi både mennesker og AI-agenter hver sin atferds-baseline. Organisasjonene som lykkes vil være de som unifiserer telemetri, omfavner resultat-drevne mål og aligner ledelse med operasjoner. I den forstand er Exabeams rapport mindre en advarsel og mer en spillbok for å bygge motstandskraft i en AI-definert fremtid, og gir både mennesker og AI-agenter hver sin atferds-baseline. Organisasjonene som lykkes vil være de som unifiserer telemetri, omfavner resultat-drevne mål og aligner ledelse med operasjoner.