AI is volgens het SANS Institute uitgegroeid tot het op één na grootste menselijke beveiligingsrisico binnen organisaties. Twee jaar geleden stond de technologie nog op de vierde plaats in de risicoranglijst, blijkt uit de elfde editie van het Security Awareness & Culture Report. Alleen social engineering vormt volgens het onderzoek nog een groter risico. Beveiligingsteams noemen shadow AI, vibe coding en autonome AI-agents als grootste zorgpunten.
Het SANS Institute publiceert jaarlijks het Security Awareness & Culture Report, waarvoor beveiligingsprofessionals wereldwijd worden bevraagd over de stand van zaken rond bewustzijn en gedrag op het gebied van cybersecurity. In de elfde editie van het onderzoek constateert SANS dat medewerkers AI sneller hebben omarmd dan beveiligingsteams kunnen bijbenen met passend beleid. Om die reden heeft het instituut dit jaar een apart onderdeel toegevoegd over de menselijke risico’s die aan AI-gebruik kleven.
Vibe coding en AI-agents
Binnen het thema AI signaleert SANS drie ontwikkelingen die beveiligingsprofessionals vooral zorgen baren. Naast ongeautoriseerd gebruik van generatieve AI-tools, ook wel shadow AI genoemd, gaat het om zogeheten vibe coding. Daarbij laten medewerkers zonder softwareachtergrond zelf applicaties genereren. Ook de opkomst van autonome AI-agents die handelingen uitvoeren zonder menselijke controle wordt in het rapport als risico aangemerkt.
Tegelijkertijd zetten beveiligingsteams de technologie zelf breed in. Volgens SANS gebruikt 75 procent van de awareness-teams AI voor het opzetten en beheren van eigen programma’s. Slechts 2,4 procent van de respondenten testte AI voor dit doel en vond de toepassing ongeschikt.
Onderbezetting remt volwassenheid
Het onderzoek meldt dat de wereldwijde salarissen in de sector zijn gestegen, naar gemiddeld 123.624 dollar wereldwijd en 106.896 dollar in Europa. Ondanks deze stijging en de toenemende dreiging blijven de meeste beveiligingsbewustzijnsprogramma’s onderbezet, stelt SANS. Een meerderheid van de organisaties komt volgens het rapport niet verder dan het afvinken van verplichte basistrainingen voor compliance.
Teamgrootte en beschikbare tijd bepalen volgens het onderzoek in belangrijke mate het succes van beveiligingsbewustzijn binnen een organisatie. Voor gedragsverandering zijn volgens SANS minimaal drie medewerkers nodig die zich volledig op dit onderwerp richten, gedurende drie tot vijf jaar. Voor het opbouwen van een securitycultuur loopt dat op tot ruim vier voltijdskrachten over een periode van vijf tot tien jaar. De meeste onderzochte organisaties halen deze bezetting niet, aldus het rapport.
Handvatten voor management
Om de afstand tussen ambitie en praktijk te verkleinen, heeft SANS het rapport uitgebreid met een Indicators Matrix en een interactieve Benchmarking Tool. Beveiligingsverantwoordelijken kunnen hiermee de volwassenheid van hun eigen programma vergelijken met de wereldwijde markt.
Lance Spitzner, Technical Director bij SANS, licht toe dat professionals vaak wel weten waar hun programma staat, maar niet welke vervolgstap logisch is bij een beperkt budget. Volgens Spitzner biedt het instituut nu concrete acties die aansluiten bij het volwassenheidsniveau van een organisatie. Hij geeft aan dat de bijbehorende data beveiligers ook argumenten opleveren voor gesprekken met management over extra budget en capaciteit.
