Ruim driekwart van de organisaties denkt het beheer van accounts met speciale rechten op orde te hebben en bijvoorbeeld klaar te zijn voor de inzet van AI-agents. In de praktijk ligt de situatie vaak heel anders, blijkt uit Amerikaans onderzoek.

Er bestaat een groot gat tussen wat organisaties denken op orde te hebben in het beheer van speciale accounts (privileged accounts), en wat ze in de praktijk uitvoeren. De toegangsrechten van privileged accounts wijken af van de normale toegangsrechten van medewerkers en worden doorgaans toegekend aan systeembeheerders, IT-beveiligingsteams en applicatiebeheerders. Zij hebben hun ruimere rechten nodig om hun werk te kunnen doen. Ook AI-agents en geautomatiseerde scripts krijgen vaak speciale rechten.

Geen Zero Trust-aanpak

Van de vijfhonderd Amerikaanse bedrijven die door Censuswide werden onderzocht in opdracht van CyberArk, verklaarde 76 procent dat hun Privileged Accountmanagement (PAM) klaar is voor AI en hybride cloudomgevingen. Toch maakt maar 1 procent van deze organisaties gebruik van een Just-in-Time (JIT)-model. Daarmee krijgen de speciale accounts alleen de extra rechten voor de duur van een specifieke taak of sessie. Van de respondenten vertrouwt 91 procent op een beveiligingsbeleid waarbij die accounts permanente toegang hebben tot gevoelige systemen. Die situatie vergroot het risico op misbruik van de accounts, bijvoorbeeld door andere medewerkers of door hackers. Deze aanpak gaat ook in tegen de Zero Trust-principes die organisaties maximaal veilig houden.

Uit het onderzoek blijkt verder dat 45 procent van de organisaties aan AI-agents dezelfde toegangsrechten toekent als aan menselijke gebruikers, ondanks een verschil in risicoprofielen. AI-agents zijn bijvoorbeeld 24 uur per dag en zeven dagen in de week actief zonder dat er toezicht op hun handelen is. Door fouten of verkeerde configuraties kunnen zij onbedoelde acties in gang zetten en omdat ze zeer snel en automatisch werken kan de schade razendsnel oplopen als er iets fout gaat. Ruim een derde van de respondenten geeft aan geen duidelijke toegangsregels te hebben voor AI-systemen.

Controle op gebruik van rechten ontbreekt

Een interessante bevinding is ook dat 63 procent van de ondervraagden toegeeft dat medewerkers beveiligingsmaatregelen omzeilen om sneller te kunnen werken.

Deze versturen we 3-4x per jaar.