Waarom de meeste organisaties geen baat hebben bij een AI-gedreven SIEM oplossing en beter voor een pragmatische aanpak kunnen kiezen

Een van de meest gehypete technologieën van dit moment is een AI-gedreven SIEM (Security Information and Event Management). Klinkt indrukwekkend, toch? Maar als we eerlijk zijn, is dit voor veel organisaties helemaal niet de oplossing die ze nodig hebben. Sterker nog, in de meeste gevallen is een pragmatische aanpak veel effectiever en zinvoller.

Deze vraag wordt steeds vaker gesteld: “Moet ik investeren in een AI-gedreven SIEM?” Het korte antwoord is nee – althans niet zonder de juiste basis op orde te hebben.

Een SIEM vereist heel veel bronnen

Een SIEM is geen kant-en-klare oplossing. Het vereist een breed scala aan bronnen, zoals logs van firewalls, endpoints, netwerkapparatuur, en applicaties. Als je al die bronnen niet goed hebt gekoppeld en je netwerk niet volledig hebt gelogd, zal een SIEM simpelweg niet goed functioneren. Het systeem heeft zoveel mogelijk data nodig om patronen te herkennen en afwijkingen te detecteren, maar die data moet ook op de juiste manier worden geïnterpreteerd.

Heb je de juiste bronnen beschikbaar? Veel bedrijven hebben niet de benodigde infrastructuur en datafeeds om een SIEM effectief te laten draaien. Zonder een volledige dataset van alle relevante onderdelen van je IT-omgeving, mis je cruciale signalen en voegt het systeem weinig toe.

Mensen en use cases zijn onmisbaar

Een SIEM is niet zomaar een doosje dat je neerzet en dat je netwerk ineens veilig maakt. Het vergt menselijke expertise om use cases te definiëren, waarin bepaald wordt welke risico’s en scenario’s je wilt detecteren. Deze use cases zijn cruciaal om ervoor te zorgen dat je SIEM niet wordt overspoeld met ruis en foutieve meldingen.

Wie definieert je use cases? Veel bedrijven hebben simpelweg niet de capaciteit of de kennis in huis om goede use cases te definiëren en te onderhouden. Een AI-gedreven SIEM kan op basis van data anomalieën herkennen, maar iemand moet deze anomalieën begrijpen en beoordelen. Zonder menselijke betrokkenheid creëer je een vals gevoel van veiligheid.

Begin niet aan een SIEM als je de basis niet op orde hebt

Waarom zou je met een SIEM beginnen als je basisbeveiliging nog niet op orde is? Het is alsof je een alarmsysteem op je huis installeert, terwijl de voordeur nog openstaat. Het is belangrijk om eerst te focussen op de fundamenten van je beveiliging voordat je naar geavanceerdere technologieën zoals een SIEM kijkt.

Heb je je basisbeveiliging op orde? Voordat je overweegt een SIEM te implementeren, moeten eerst de volgende zaken goed geregeld zijn:

  • End Point Protectie: Elk apparaat binnen je organisatie moet beveiligd zijn tegen malware en aanvallen.
  • Backups: Regelmatig testen van backups en zorgen dat die veilig en toegankelijk zijn, is essentieel.
  • Netwerksegmentatie: Door je netwerk goed op te delen, beperk je de impact van aanvallen.
  • Patch Management: Oude software met bekende kwetsbaarheden is een groot risico. Houd alles up-to-date.
  • Multi-Factor Authenticatie (MFA): MFA is een must om de toegang tot je systemen goed te beschermen.

Als je dit allemaal nog niet goed hebt ingeregeld, heeft het absoluut geen zin om aan een SIEM te beginnen. De basis moet eerst goed zijn voordat je aan de volgende stap kunt denken.

Waarom je beter kunt beginnen met een dagelijkse scan van je netwerk

In plaats van direct naar een SIEM te grijpen, zou ik veel eerder aanraden om te beginnen met een dagelijkse vulnerability scan van je complete IT-omgeving. Deze scans geven snel inzicht in nieuwe assets, zwakke plekken in je systemen en afwijkingen van wet- en regelgeving.

Waarom een vulnerability scan zo belangrijk is:

  • Het laat je zien welke apparaten nieuw zijn in je netwerk, zodat je die snel kunt beveiligen.
  • Het identificeert nieuwe kwetsbaarheden, zodat je meteen actie kunt ondernemen.
  • Het helpt je bij het naleven van wet- en regelgeving, omdat het afwijkingen snel naar boven brengt.

Het vergt tijd en aandacht om deze kwetsbaarheden te verhelpen en je IT-omgeving goed te beveiligen. Dit is het fundament waarop je beveiliging moet rusten. Pas wanneer dit op orde is, kun je overwegen om de volgende stap te zetten richting een SIEM-oplossing.

Mijn conclusie: een pragmatische aanpak is de sleutel

“Moet ik investeren in een AI-gedreven SIEM?” is een vraag die je jezelf niet hoeft te stellen als je de basis van je informatiebeveiliging nog niet op orde hebt. Een SIEM kan een waardevolle toevoeging zijn, maar alleen als je organisatie volwassen genoeg is om deze technologie te benutten. Begin met de basis: zorg voor endpoint protectie, backups, segmentatie, patch management en MFA. Zodra dat stevig staat, kun je nadenken over geavanceerdere technologieën zoals een SIEM. Tot die tijd is een pragmatische aanpak, zoals een dagelijkse vulnerability scan, veel effectiever.