Organisaties investeren meer dan ooit in beveiliging, maar worstelen nog steeds met een fundamenteel probleem: ze bereiden zich voor op toekomstige crises met een verouderde mindset. Decennialang waren beveiligingsfuncties gescheiden, waarbij cybersecurity netwerken beschermde, fysieke beveiliging zich richtte op gebouwen en mensen, HR personeelszaken beheerde en juridische afdelingen zich bezighielden met compliance. Dit werkte zolang dreigingen binnen hun eigen domeinen bleven, maar die tijd is voorbij.

AI-gedreven technieken zoals deepfakes, identiteitsfraude en geautomatiseerde social engineering veroorzaken risico’s die zich snel over digitale, fysieke en operationele omgevingen verspreiden. Zo kan een deepfake-telefoongesprek leiden tot financiële fraude en een online bedreiging van een leidinggevende uitmonden in een fysieke veiligheidskwestie. Uit onderzoek van EY onder 250 leidinggevenden blijkt dat slechts 12% van de organisaties zich goed voorbereid acht op het detecteren van gerichte fysieke aanvallen. Om deze kloof te dichten is een geïntegreerde aanpak nodig die alle fasen omvat: detectie, afschrikking, preventie, voorbereiding, respons, mitigatie, onderzoek en herstel, nog voordat een situatie escaleert.

Hoewel AI-gedreven dreigingen vaak als nieuw worden gezien, zijn de onderliggende motieven hetzelfde gebleven: fraudeurs willen geld stelen en tegenstanders zoeken gevoelige informatie. Wat verandert is de uitvoering, die steeds geavanceerder wordt. Zo gebruiken transnationale dreigingsgroepen deepfakes en gestolen identiteiten om virtuele HR-procedures te omzeilen bij het aannemen van personeel. Wanneer compliance en achtergrondcontroles losstaan van IT-provisioning, kan dit ertoe leiden dat beveiligde hardware fysiek wordt verzonden en netwerktoegang direct in handen komt van kwaadwillenden of buitenlandse tegenstanders. Organisaties kunnen dit tegenhouden door vanaf het begin geïntegreerde verificatieprocessen te ontwikkelen die HR, cyberprovisioning en fysieke logistiek verbinden.

Ondanks de toenemende verwevenheid van dreigingen blijven veel beveiligingsteams gescheiden opereren. Cybersecurity, fysieke beveiliging, HR en juridische afdelingen vervullen hun taken vaak effectief, maar risico’s ontstaan wanneer informatie niet naadloos wordt gedeeld. Uit gesprekken met leiders van grote organisaties blijkt dat fysieke en cyberbeveiligingsteams weliswaar goede relaties onderhouden en regelmatig communiceren, maar dat formele processen, gedeelde escalatieprocedures en duidelijke verantwoordelijkheden tijdens crises ontbreken. Informele communicatie is geen vervanging voor een gestructureerd beveiligingsprogramma. Afhankelijkheid van persoonlijke relaties en beschikbaarheid kan kostbare tijd en operationele flexibiliteit kosten bij het afhandelen van incidenten zoals protesten, gewelddadige situaties of het evacueren van personeel en intellectueel eigendom uit conflictgebieden.

De volgende stap in beveiliging is integratie. In het afgelopen decennium hebben raden van bestuur en directies zwaar geïnvesteerd in cybersecurity door het opzetten van security operations centers, governance structuren en incidentresponsplannen. Deze aanpak moet breder worden toegepast om de complexiteit van hedendaagse dreigingen adequaat te kunnen beheersen.