Het Verizon 2026 Data Breach Investigations Report, gebaseerd op een analyse van meer dan 22.000 bevestigde datalekken wereldwijd, bevat een cijfer dat voor CISO’s en IT-managers reden tot zorg zou moeten zijn. Shadow AI, het gebruik van niet-goedgekeurde AI-toepassingen door medewerkers, is uitgegroeid tot de derde meest voorkomende vorm van onbedoeld datalek-gerelateerd gedrag binnen organisaties. Het percentage medewerkers dat persoonlijke, niet-zakelijke accounts gebruikt om vanaf bedrijfsapparatuur toegang te krijgen tot AI-diensten ligt nog altijd hoog, terwijl het aandeel medewerkers dat AI-tools dagelijks gebruikt sinds vorig jaar sterk is gestegen. Onder de geüploade content troffen onderzoekers in een klein maar relevant deel van de gevallen ook onderzoeksdocumentatie en technische specificaties aan, materiaal dat direct raakt aan intellectueel eigendom.
Deze ontwikkeling vormt een directe aanleiding om databeveiliging, en specifiek Data Loss Prevention, opnieuw scherp op de agenda te zetten. Niet als geïsoleerde technische maatregel, maar als onderdeel van een breder governance- en risicovraagstuk waarin gedrag, classificatie en technologie samenkomen.
Waarom datalekpreventie meer is dan een productkeuze
Het Nationaal Cyber Security Centrum benadrukt in zijn richtlijnen over datalekpreventie dat DLP in de kern draait om het bewaken van de vertrouwelijkheid van informatie: voorkomen dat vertrouwelijke gegevens, waaronder persoonsgegevens, buiten de organisatie terechtkomen. Medewerkers gebruiken in toenemende mate samenwerkingsplatforms, SaaS-diensten en AI-toepassingen om efficiënter te werken, waardoor gegevens voortdurend tussen omgevingen bewegen en het voor organisaties moeilijker wordt om exact te bepalen waar gevoelige informatie zich bevindt of hoe die wordt gedeeld.
Een belangrijk inzicht uit deze richtlijnen is dat de meeste datalekken niet voortkomen uit kwaadwillend handelen, maar uit normale werkhandelingen waarbij onvoldoende inzicht bestaat in de gevoeligheid van gegevens of de risico’s van bepaalde diensten. Dat sluit aan op de bevindingen uit het DBIR: het menselijke element speelde een rol in 62 procent van alle onderzochte datalekken dit jaar. Daarmee wordt DLP niet primair een kwestie van het opsporen van kwaadwillenden, maar van het signaleren van afwijkende of ongewenste datastromen in het normale verkeer van een organisatie.
Voor CISO’s betekent dit dat een DLP-implementatie nooit op zichzelf kan staan. Effectief gebruik vereist afspraken met de bedrijfsvoering, een werkende dataclassificatie, bewustwording bij medewerkers en heldere governanceprocessen voor de opvolging van meldingen. Een technische oplossing zonder deze fundamenten levert vooral veel ruis en weinig werkelijke risicoreductie op.
Wat de cijfers uit het Verizon DBIR 2026 onthullen over datarisico’s
Het Verizon DBIR 2026 plaatst het Shadow AI-vraagstuk in een breder perspectief van datacompromittering. Van alle onderzochte datalekken bleek interne data, denk aan e-mails, plannen en rapporten, in 67 procent van de gevallen het type informatie dat werd buitgemaakt. Inloggegevens kwamen in 28 procent van de gevallen voor en persoonsgegevens in 23 procent. Deze cijfers onderstrepen dat aanvallers, eenmaal binnen, doorgaans breed zoeken naar alles wat van waarde is, niet alleen naar het specifieke doelwit waarmee ze binnenkwamen.
Tegelijkertijd toont het rapport dat de aard van het Shadow AI-risico verschuift. Het aandeel medewerkers dat AI-tools gebruikt op bedrijfsapparatuur is sinds vorig jaar fors toegenomen, ongeacht of dit gebruik is goedgekeurd. De meest voorkomende content die naar externe AI-modellen wordt geüpload, betreft broncode, gevolgd door afbeeldingen en andere gestructureerde data. Dat dit ook onderzoeksdocumentatie en technische documentatie omvat, is voor organisaties met waardevolle intellectuele eigendom een signaal dat aandacht verdient bij het inrichten van detectiebeleid.
Het rapport plaatst hierbij een nuance die voor de praktijk relevant is: de onderzoekers benadrukken dat deze cijfers uit hun eigen DLP-dataset komen en dus afhankelijk zijn van organisaties die dergelijke monitoring al hebben ingericht. Organisaties zonder zicht op dataverkeer naar AI-toepassingen weten simpelweg niet of, en in welke omvang, dit risico zich bij hen voordoet.
Endpoint DLP als antwoord op een verschoven aanvalsoppervlak
Met de introductie van FortiDLP heeft Fortinet een vernieuwde, cloud-native DLP-oplossing op de markt gebracht die zich richt op precies dit type risico. Volgens de officiële datasheet combineert FortiDLP data loss prevention, insider risk management, beveiliging van GenAI- en SaaS-data en risicogeïnformeerde gebruikerseducatie in één oplossing die ingrijpt op het moment dat een medewerker daadwerkelijk toegang krijgt tot gevoelige data. Fortinet positioneert dit expliciet als alternatief voor legacy DLP, waarbij organisaties eerst uitgebreide dataclassificatie en complexe statische policies moeten optuigen voordat er enige zichtbaarheid in risico’s ontstaat. Dat traject leidt in de praktijk tot voortdurende policy-afstemming, inefficiënte classificatie en een stroom aan fout-positieven, nog voordat een organisatie daadwerkelijk beschermd is.
Technisch onderscheidt FortiDLP zich door een lichtgewicht agent die het gedrag van individuele gebruikers baseert via machine learning, gecombineerd met lokale, realtime contentinspectie op het moment van gegevenstoegang. Doordat deze inspectie lokaal plaatsvindt in plaats van via cloudgebaseerde scanengines, blijft gevoelige bedrijfsdata binnen de eigen omgeving, wat ook bijdraagt aan het voldoen aan dataresidency-eisen. Een onderscheidende functionaliteit is Data Origin en Data Lineage: het systeem herkent automatisch waar data vandaan komt, bijvoorbeeld een broncoderepository of een sanctioned SaaS-applicatie zoals Salesforce, en volgt vervolgens elke aanpassing, hernoeming of verplaatsing van dat bestand. Policy’s kunnen daarbij verschillen naargelang een bestand via een zakelijk of een persoonlijk account de organisatie verlaat.
Een tweede onderscheidende functie is Sequence Detection. In plaats van elke geïsoleerde actie als los incident te behandelen, correleert FortiDLP opeenvolgende stappen binnen de fasen Collection, Defense Evasion en Exfiltration tot een samenhangende, risicogescoorde keten. Een download van een gevoelig bestand gevolgd door een bestandsnaamwijziging en een poging tot upload naar een persoonlijke cloudopslag wordt zo niet als drie afzonderlijke meldingen gepresenteerd, maar als één kritieke aanvalsketen die direct prioriteit krijgt bij de afhandeling. Detecties worden daarbij gemapt op het MITRE Center for Threat-Informed Defense Insider Threat TTP Knowledge Base, wat analisten een gestandaardiseerd referentiekader biedt. Een geïntegreerde AI-assistent, FortiAI, vat vervolgens de context van een incident automatisch samen, wat de tijd die nodig is voor onderzoek en documentatie aanzienlijk verkort.
Hoe FortiDLP omgaat met het Shadow AI-vraagstuk
Een specifiek onderdeel van FortiDLP richt zich op databescherming rond generatieve AI-toepassingen. Het systeem bouwt een risicogescoorde inventaris op van alle SaaS- en GenAI-applicaties die binnen een organisatie worden gebruikt, met inzicht in datastromen, inloggegevens en of een sanctioned of unsanctioned applicatie wordt benaderd. In plaats van het gebruik van tools als ChatGPT of Google Gemini categorisch te blokkeren, wat in de praktijk vaak leidt tot omzeiling via privéapparaten, kunnen beheerders beleidsacties instellen die ingrijpen op het niveau van de daadwerkelijke handeling: een waarschuwing tonen op het moment dat een medewerker gevoelige data wil plakken of uploaden in een AI-tool, zonder de toegang tot die tool als geheel te blokkeren. Dat sluit aan op de balans die organisaties volgens vrijwel alle bronnen in dit domein moeten zoeken: productiviteitswinst behouden, terwijl het risico op het weglekken van gevoelige data wordt beperkt.
Deze aanpak past in de bredere AI-beveiligingsstrategie van Fortinet, waarbij zichtbaarheid op niet-goedgekeurd AI-gebruik wordt gecombineerd met risicobeoordeling per applicatie. Wie meer wil weten over hoe deze visibility-functionaliteit zich verhoudt tot de andere AI-beveiligingscomponenten binnen het Fortinet-ecosysteem, leest meer in ons artikel over de rol van FortiAI binnen het Security Fabric-ecosysteem, waarin wordt toegelicht hoe detectie, automatisering en AI-beveiliging onderling samenhangen.
Compliance, schaalniveaus en inpasbaarheid in bestaande omgevingen
Voor CISO’s die DLP mede vanuit een compliance-invalshoek benaderen, biedt FortiDLP een bibliotheek met sjabloonbeleid gericht op PII, PHI en PCI, en is de oplossing gepositioneerd als ondersteunend aan kaders zoals PCI DSS, HIPAA, ISO 27001 en NIST. Voor de Nederlandse en Europese context is daarbij relevant dat de oplossing dataminimalisatie toepast op de eigen monitoringdata zelf, onder meer via pseudonimisering en lokale opslag van forensisch bewijsmateriaal, wat raakt aan AVG-overwegingen rond de privacy van medewerkers bij gedragsmonitoring.
Fortinet biedt FortiDLP aan in drie oplopende niveaus. De Core-laag omvat de DLP-basisfunctionaliteit, waaronder device control, contentinspectie en de compliance-beleidsbibliotheek. De Advanced-laag voegt insider risk management toe, waaronder de MITRE ATT&CK-gemapte detectiebibliotheek, de Sequence Detection voor exfiltratieketens en integraties met Microsoft 365, Google Workspace en Box. Een Managed-laag is daarbovenop beschikbaar voor organisaties die de productconfiguratie, maandelijkse rapportages en de optimalisatie van DLP-beleid willen uitbesteden aan Fortinet zelf, wat vooral voor kleinere IT-teams een praktische overweging kan zijn. Deze gelaagde opbouw maakt het mogelijk om met een beperkte scope te starten, zoals ook de NCSC-richtlijnen adviseren, en de functionaliteit uit te breiden naarmate de organisatie volwassener wordt in haar DLP-processen.
Inbedding in een bredere databeveiligingsstrategie
Zowel de NCSC-richtlijnen als de productpositionering van Fortinet wijzen op een vergelijkbaar uitgangspunt: DLP is geen eenmalige implementatie maar een continu proces. Organisaties moeten starten met een beperkte scope, een nulmeting uitvoeren op normaal dataverkeer, en vervolgens een cyclisch proces inrichten waarin use cases periodiek worden geëvalueerd. Direct organisatiebreed uitrollen vergroot de kans op verstoring van legitieme bedrijfsprocessen en leidt tot een onbeheersbare hoeveelheid fout-positieven in de eerste fase.
Voor organisaties die al gebruikmaken van endpoint- of e-mailbeveiliging binnen het Fortinet-portfolio is relevant dat DLP-functionaliteit niet uitsluitend op endpointniveau wordt ingevuld. Ook op browser- en e-mailniveau bestaan vergelijkbare beschermingslagen, zoals beschreven in ons artikel over de inzet van FortiMail Workspace Security in onderwijs, zorg en lokale overheid, waarin browsergebaseerde DLP wordt toegelicht als aanvullende laag op endpointbeveiliging. Voor CISO’s die meerdere DLP-technieken naast elkaar inzetten, blijft de afweging tussen leveranciersconsolidatie en best-of-breed actueel: gefragmenteerde tooling leidt volgens onderzoek tot aanzienlijk meer beheerinspanning dan een geïntegreerd platform, terwijl de keuze voor één leverancier weer een zekere mate van vendor-lock-in met zich meebrengt.
Conclusie: van technologie naar volwassen datarisicobeheer
De combinatie van een groeiend Shadow AI-risico, aangetoond in het Verizon DBIR 2026, en de beschikbaarheid van gerichte oplossingen zoals FortiDLP, plaatst databeveiliging weer prominent op de agenda van IT-managers en CISO’s. De technologie alleen is echter niet voldoende. Zoals de NCSC-richtlijnen benadrukken, vraagt effectieve datalekpreventie om samenwerking tussen juridische, technische en bestuurlijke rollen binnen de organisatie, gecombineerd met voortdurende evaluatie van wat normaal en afwijkend datagebruik betekent voor de specifieke bedrijfscontext.
Voor organisaties die hun grip op datastromen willen versterken, zowel op endpoint- als op SaaS-niveau, bieden de specialisten van SolidBE als Fortinet Advanced Partner ondersteuning bij het beoordelen welke DLP-aanpak het beste aansluit op de bestaande IT-omgeving en het risicoprofiel van de organisatie. Neem contact op met SolidBE om te bespreken hoe een gefaseerde DLP-implementatie er voor uw organisatie uit zou kunnen zien.
