Een datalek bij een softwareleverancier kan directe gevolgen hebben voor de veiligheid van je eigen bedrijfsgegevens, zelfs als je zelf geen software ontwikkelt. De recente blunders bij AI-bedrijven tonen aan dat menselijke fouten in de configuratie van systemen een reëel en actueel risico vormen, waarbij vertrouwelijke informatie per ongeluk publiek wordt gemaakt.

Wat er aan de hand is

In één week tijd maakte AI-specialist Anthropic twee ernstige datablunders. Eerst werd per ongeluk de volledige broncode van de programmeertool Claude Code online gezet, bestaande uit ongeveer 1.900 bestanden en ruim 512.000 regels code. Een securityonderzoeker ontdekte dat de code publiek te downloaden was, waarna kopieën snel op GitHub verschenen. Het bedrijf noemt het een menselijke fout. Eerder diezelfde week werd ook interne documentatie over een nieuw AI-model, Mythos, openbaar door een verkeerd geconfigureerde databank. Dit geeft concurrenten inzicht in de werking en vertrouwelijke ontwerpkeuzes.

Daarnaast waarschuwt het Nationaal Cyber Security Centrum (NCSC) voor besmette npm- en Python-packages. Dit zijn bouwstenen die softwareontwikkelaars gebruiken, maar als deze kwaadaardig zijn, kan dit de veiligheid van eindapplicaties aantasten. HP heeft tegelijkertijd een nieuwe LaserJet-lijn aangekondigd met een sterke focus op beveiliging, waaronder quantum-resistente beveiliging voor de Pro-serie en uitgebreide beveiliging via HP Wolf voor de Enterprise-serie.

Wat dit betekent

Deze gebeurtenissen illustreren een fundamenteel risico voor bedrijven: je digitale veiligheid hangt niet alleen af van je eigen maatregelen, maar ook van de zorgvuldigheid van je leveranciers. Vooral voor het MKB, dat vaak afhankelijk is van kant-en-klare softwarepakketten en clouddiensten, betekent dit dat een fout bij de aanbieder directe gevolgen kan hebben. Het lekken van broncode of ontwerpdocumentatie kan leiden tot beveiligingslekken in de software die jij gebruikt, of tot het ontstaan van concurrerende, mogelijk onveilige kopieën. De waarschuwing voor besmette softwarepakketten onderstreept dat de toeleveringsketen van software een kwetsbaar punt is. De nieuwe focus van hardwareleveranciers zoals HP op ingebouwde, geavanceerde beveiliging is een direct antwoord op deze groeiende dreigingen.

Hoe je dit kunt toepassen

De praktische toepassing hangt sterk af van jouw specifieke situatie en de software die je gebruikt. Het kerninzicht is dat je de beveiliging van je bedrijf niet kunt uitbesteden. Je bent afhankelijk van de zorgvuldigheid van je leveranciers, maar je kunt wel proactief stappen zetten om je risico’s te beperken.

Als je afhankelijk bent van specifieke softwarepakketten of clouddiensten voor je dagelijkse operatie, zou je kunnen overwegen om bij je leverancier navraag te doen naar hun securitybeleid en hoe ze omgaan met foutconfiguraties en datalekken. Stel het niet uit tot er een incident is.

Als je een team aanstuurt dat software of tools gebruikt die gebouwd zijn met externe componenten (zoals npm of Python packages), is een mogelijkheid om het bewustzijn over supply chain security te vergroten. Bespreek het belang van het gebruik van betrouwbare bronnen en het up-to-date houden van software.

Als je nieuwe hardware, zoals printers of netwerkapparatuur, aanschaft, kun je bij de aankoopoverwegingen meenemen hoe de leverancier beveiliging in het product heeft ingebouwd. Vraag naar specifieke beveiligingsfuncties en ondersteuning.

Als je zelf (eenvoudige) software laat ontwikkelen of aanpassen, is het verstandig om met je ontwikkelaar of bureau te spreken over de maatregelen die zij nemen om het gebruik van veilige, gecontroleerde bouwstenen te garanderen.

De essentie is niet om zelf security-expert te worden, maar om het onderwerp bespreekbaar te maken en te integreren in je besluitvorming, van softwarekeuzes tot hardware-aankopen.

Bron: Computable