EY verwijst naar de wereldwijde organisatie en kan verwijzen naar een of meer van de lidfirma's van Ernst & Young Global Limited, die elk een afzonderlijke juridische entiteit zijn. Ernst & Young Global Limited, een Britse vennootschap met beperkte aansprakelijkheid, verleent geen diensten aan cliënten.
Hoe EY kan helpen
-
Lees hoe organisaties hun transformatie versnellen en tegelijk hun cyberbeveiliging en resilience versterken.
Lees meer
Het is niet verrassend dat OT en fysieke assets de categorie vormen die het vaakst in de vulnerability area valt; deze assets liggen vaak buiten de directe verantwoordelijkheid van de cybersecurityfunctie. In het verleden was dit voor bestuurders mogelijk een acceptabel risico. Nu fysieke AI zich verspreidt, eerder afgeschermde assets steeds vaker met netwerken worden verbonden en de dreiging voor OT door frontier AI toeneemt, zouden CISO’s het voortouw moeten nemen bij de bescherming van deze assets. Dat begint met beter zicht op het aanvalsoppervlak.
Ecosystemen en derde partijen, de tweede categorie die het sterkst vertegenwoordigd is in de vulnerability area, worden steeds belangrijker voor kritieke processen: van software en cloudinfrastructuur tot logistiek en dienstverlening. Naarmate hun belang groeit, hebben zij vaker permanente en bevoorrechte toegang tot interne netwerken en omgevingen. Daardoor wordt het aanvalsoppervlak materieel groter. Agentic AI kan deze dynamiek verder versterken, omdat effectieve toepassing vaak vereist dat AI-leveranciers toegang hebben tot meerdere functies of zelfs tot de hele organisatie.
Daarbij gaat het niet alleen om het interne gebruik van AI door de organisatie en individuele werknemers, maar ook om AI-gebruik door derde partijen in het ecosysteem. Bestuurders moeten daarom inzicht krijgen in afhankelijkheden, single points of failure en de mitigerende maatregelen die daarbij horen. Beschouw dit als een wegenkaart die de infrastructuur van de organisatie tot in detail zichtbaar maakt, inclusief doodlopende wegen en potentieel gevaarlijke routes buiten de eigen organisatiegrenzen.
Tegenstanders benutten deze blootstelling en richten zich vaak op derde partijen als eerste toegangspunt, voordat zij lateraal bewegen naar de primaire doelomgeving. Om deze blootstelling te verminderen zonder kritieke relaties met derde partijen te beperken, moeten CISO’s fundamentele controlegaten dichten die uit ons onderzoek naar voren komen: 47% van de organisaties segmenteert hun omgevingen niet goed en 59% heeft geen volledige assettelemetrie, waardoor zichtbaarheid afneemt en detectie vertraagt.