Bedrijven en organisaties kunnen zich straks alleen nog beschermen tegen cyberaanvallen met behulp van autonome systemen. Mensen vormen een ‘complicerende factor’ en IT’ers zijn straks enkel nodig om de knoppen te bedienen. We moeten wel nog diverse obstakels overwinnen, waaronder ethische, juridische en maatschappelijke.
Dat zegt Berry Vetjens, marktdirecteur ICT, Strategy and Policy bij TNO, in de position paper ‘Checkmate, Cybersecurity?’ (pdf).
Vermijden van autonome systemen is verontrustender
“In de race tegen kwaadwillenden in het digitale domein is de mens een complicerende factor. In Security Operations Centres (SOC), waar de computer- en netwerkactiviteiten in een organisatie worden gemonitord, zitten nog altijd vooral mensen aan de knoppen. Maar er komt zoveel op hen af dat we moeten gaan accepteren dat de securitysystemen autonoom gaan worden”, zo vertelt de TNO-topman.
Autonome securitysystemen gaan een stap verder dan automatisering. ‘Autonomie’ betekent immers dat computersystemen beveiligingsrisico’s analyseren en een afweging maken. Zodoende nemen ze een deel van de taken van mensen over. En dat is volgens Vetjens hard nodig.
“Velen vinden het uit handen geven van steeds meer menselijk denken en handelen met AI aan autonome systemen zorgwekkend, maar vermijden ervan, vooral op cybergebied, is nog verontrustender.”
‘Hackers lappen voortdurend de regels aan hun laars’
Steeds meer grote bedrijven en organisaties die actief zijn in de kritische of vitale infrastructuur, zijn er volgens Vetjens van overtuigd dat autonome cybersecurity onontkoombaar is. “Het begint wellicht bij de koplopers op cybersecurity zoals de financiële instellingen, maar zal binnen afzienbare tijd ook in andere sectoren toepassing vinden. Denk aan kwetsbare domeinen als de zorg, hightech, maakindustrie, Rijks- en lagere overheden en op termijn ook het mkb.” Er is volgens hem dan ook ‘geen tijd te verliezen’ om autonome beveiligingssystemen te ontwikkelen.
Vetjens vergelijkt de werkwijze van hackers met een wedstrijd waarbij tijdens het spel de regels worden aangepast. “Het programmeren van schaak- en andere spellen is in zekere zin eenvoudig omdat de spelregels vaststaan. Bij cybersecurity worden de regels tijdens de wedstrijd steeds veranderd en lappen onze tegenstanders de regels voortdurend aan hun laars. Dat maakt het allemaal zo complex.”
TNO voorspelt hevige discussies over ontwikkeling autonome systemen
Het toepassen van kunstmatige intelligentie op autonome beveiligingssystemen is makkelijker gezegd dan gedaan. De TNO-topman benadrukt dat de technologische ontwikkeling slechts één aspect is om dergelijke systemen te ontwikkelen. Een autonoom beveiligingssysteem moet vanuit ethisch oogpunt voldoen aan hoge waarden, die in samenspraak met deskundigen, beleidsmakers en andere belanghebbenden vastgesteld moeten worden. Hierover moeten juridisch afspraken worden gemaakt.
Daarnaast moeten we volgens Vetjens zien te voorkomen dat alleen de grote en meest vermogende bedrijven zich deze nieuwe technologie kunnen permitteren. Hij moet ook toegankelijk zijn voor het mkb, de zorg en lokale overheden.
“Het ontwerpen van zo’n systeem van systemen ontwerpen is ontzettend complex. Je moet verschillende technologieën rond cybersecurity en AI combineren, juridische en ethische kwesties adresseren en de belangen van uiteenlopende publieke en private partijen samenbrengen. Met onze kennis op al die gebieden willen we hier de komende tijd duidelijk richting aan geven”, aldus Vetjens.
