Nieuwsbericht
Een Red Team testen? Zorg eerst dat de basis op orde is
Een team ethische hackers dat probeert binnen te dringen in je organisatie klinkt als een uitstekende manier om de cyberweerbaarheid te testen. Een Red Team kijkt daarbij verder dan alleen technische kwetsbaarheden en kan bijvoorbeeld ook phishing, social engineering of fysieke toegang inzetten.Maar volgens experts die AG Connect sprak, is een Red Team-test niet de plek om te beginnen. De test is relatief kostbaar en levert weinig nieuwe inzichten op wanneer vooraf al te voorspellen is waar de grootste kwetsbaarheden zitten.
De eerste stap is daarom veel minder spectaculair: begrijpen wat voor de organisatie werkelijk belangrijk is.
Welke processen mogen absoluut niet uitvallen? Welke systemen en data zijn daarvoor noodzakelijk? Wie is daarvan eigenaar? En wat gebeurt er met de organisatie wanneer zo’n systeem een dag of een week niet beschikbaar is?
Deze ’kroonjuwelen’ vormen volgens de experts het vertrekpunt voor een risicoanalyse. Pas wanneer duidelijk is wat beschermd moet worden en welke scenario’s de grootste impact hebben, kunnen passende beveiligingsmaatregelen worden ingericht.
Daarbij gaat het nadrukkelijk niet alleen om techniek. Governance en beleid moeten duidelijk maken welke regels gelden en waarom. Medewerkers moeten zich bewust zijn van risico’s zoals phishing en social engineering. Identiteiten en toegangsrechten moeten volgens Zero Trust-principes worden beheerd. En organisaties moeten afwijkend gedrag continu kunnen detecteren en daarop kunnen reageren.
Voor Caronne zit daar een herkenbare les in. Ook bij cybersecurity geldt dat technologie pas echt effectief wordt wanneer processen, verantwoordelijkheden en governance goed zijn georganiseerd.
Dat wordt nog relevanter door de opkomst van AI-agents. Waar Identity & Access Management traditioneel vooral draaide om medewerkers, systemen en machines, moeten organisaties nu ook bepalen welke toegang een AI-agent krijgt.
Welke data mag een agent benaderen? Welke systemen mag hij gebruiken? Welke acties mag hij zelfstandig uitvoeren? En hoe stellen we vast dat een agent daadwerkelijk is wie of wat hij zegt te zijn?
Het principe van Zero Trust verandert daardoor niet: vertrouwen wordt niet automatisch gegeven, maar gebaseerd op verificatie en passende autorisatie. Het aantal digitale identiteiten waarop dat principe moet worden toegepast, groeit echter wel.
Daarmee raakt cybersecurity steeds sterker aan AI-governance. Naarmate AI autonomer wordt en meer toegang krijgt tot bedrijfsprocessen en data, moeten security, governance en eigenaarschap gezamenlijk worden ingericht.
Een Red Team kan uiteindelijk uitstekend toetsen of die inrichting in de praktijk standhoudt. Maar de echte weerbaarheid ontstaat daarvoor al: door te weten wat belangrijk is, risico’s bewust af te wegen, verantwoordelijkheden duidelijk te beleggen en afwijkingen daadwerkelijk te kunnen signaleren.
Testen laat zien hoe goed je beveiliging werkt. Governance bepaalt of er iets goeds te testen valt.
(AG Connect, artikel, 2026-10-06)
