Een datalek bij een grote AI-leverancier is een scherpe waarschuwing voor elke ondernemer: je beveiliging is zo sterk als de zwakste schakel in je digitale keten, en dat kan een externe leverancier zijn. De twee incidenten bij Anthropic in één week tonen aan dat zelfs gespecialiseerde techbedrijven kwetsbaar zijn voor menselijke fouten, wat de noodzaak onderstreept om je eigen processen en die van je partners kritisch onder de loep te nemen.

Wat er aan de hand is

AI-specialist Anthropic heeft in korte tijd twee datablunders gemaakt. Eerst zette het bedrijf per ongeluk de volledige broncode van zijn programmeertool Claude Code online, bestaande uit ongeveer 1.900 bestanden en ruim 512.000 regels code, aldus een bericht in De Volkskrant. Een securityonderzoeker ontdekte dat de code publiek te downloaden was, waarna kopieën snel op GitHub verschenen. Het bedrijf noemt het een menselijke fout. Eerder in dezelfde week werd ook interne documentatie over een nieuw AI-model, genaamd Mythos, openbaar door een verkeerd geconfigureerde databank. Volgens Fortune geeft dit concurrenten inzicht in de werking van het systeem en vertrouwelijke ontwerpkeuzes. In hetzelfde nieuwsoverzicht kondigde HP een vernieuwde LaserJet-lijn aan met extra focus op beveiliging, en waarschuwde het Nationaal Cyber Security Centrum (NCSC) voor besmette softwarepakketten.

Wat dit betekent

Deze incidenten bij een toonaangevend AI-bedrijf zijn een signaal voor het MKB. Het betekent dat je niet blind kunt vertrouwen op de beveiligingsbeloften van leveranciers, hoe groot of gespecialiseerd ze ook zijn. Menselijke fouten en configuratiefouten zijn overal een risico. Voor ondernemers die (overwegen) AI-tools of clouddiensten te gebruiken, vergroot dit de noodzaak om te weten wáár je gevoelige data staat en wie er toegang toe heeft. Tegelijkertijd tonen de aankondigingen van HP en securitybedrijf Snyk, dat zijn platform uitbreidt in Noord-Europa, dat beveiliging een groeiende prioriteit is voor leveranciers, wat kansen biedt voor bewustere keuzes.

Hoe je dit kunt toepassen

De praktische toepassing hangt af van jouw situatie. Deze incidenten zijn een aanleiding om je eigen beveiligingshouding en leveranciersbeleid tegen het licht te houden.

Als je clouddiensten of SaaS-tools gebruikt… vraag je dan af welke gevoelige bedrijfsinformatie je daarin hebt staan. Een datalek bij je leverancier kan jouw data blootleggen. Overweeg om met je leverancier te bespreken waar hun data precies wordt opgeslagen, welke beveiligingscertificeringen ze hebben en wat hun protocol is bij een incident. Dit hoeft niet technisch te zijn; het gaat om due diligence.

Als je software ontwikkelt of programmeurs inhuurt… wees dan extra alert op de waarschuwing van het NCSC voor besmette npm- en Python-packages. Deze bouwstenen kunnen kwetsbaarheden introduceren. Een mogelijkheid is om te vragen naar de procedures die je team of freelancer volgt om de betrouwbaarheid van externe codebibliotheken te controleren voordat ze worden gebruikt.

Als je printapparatuur aanschaft of vernieuwt… zoals de nieuwe HP LaserJet-lijn, kijk dan verder dan alleen de prijs per pagina. De focus van HP op “quantum-resistente beveiliging” en “HP Wolf Enterprise Security” geeft aan dat moderne printers netwerkservices zijn. Je zou kunnen nagaan of de beveiligingsfuncties aansluiten bij het beschermingsniveau dat je voor je netwerk hanteert, vooral als er vertrouwelijke documenten worden geprint.

Als je algemene bedrijfsprocessen evalueert… gebruik dit nieuws dan als concrete aanleiding voor een kort intern overleg. Bespreek met sleutelpersonen: “Stel dat een van onze belangrijkste leveranciers een datalek heeft, wat staat er dan van ons op straat en wat is ons plan?” Het opstellen van een eenvoudig stappenplan voor zo’n scenario is een waardevolle oefening in risicobewustzijn.

Bron: Computable