Anomaly Detection in Cybersecurity Service Contracts

In de wereld van het recht is voorspelbaarheid een deugd. Wanneer twee partijen een contract ondertekenen, verwachten zij dat de voorwaarden een bekend patroon volgen, vergelijkbaar met een goed ingeslagen pad door een bos. Als er een clausule verschijnt die scherp afwijkt van dit pad, roept dat de vraag op: is dit een noodzakelijke aanpassing aan een unieke situatie, of is het een teken van iets ongewoons, misschien zelfs risicovol? Deze spanning tussen het standaard en het vreemde staat centraal in een nieuwe studie die cybersecurity-dienstverleningcontracten onderzoekt. Dit zijn de overeenkomsten tussen publieke organisaties, zoals steden of ziekenhuizen, en private bedrijven die worden ingehuurd om hun digitale systemen te beschermen. Omdat deze contracten vaak met grote vrijheid worden opgesteld, kunnen ze enorm variëren. Onderzoekers wilden weten of ze computers konden gebruiken om de contracten te spotten die er anders uitzien dan de rest, niet om ze als slecht te beoordelen, maar om te begrijpen wat hen uniek maakt. Door juridische documenten als data te behandelen, pasten zij een methode toe genaamd systematische inhoudsanalyse, die tekst ontleedt in specifieke, telbare kenmerken, en combineerden dit met machine learning, een type computerprogramma dat leert patronen te herkennen zonder expliciet te worden verteld waarnaar het moet zoeken.

De onderzoekers richtten zich op een specifieke set van 567 contracten die tussen 2019 en 2025 zijn getekend tussen publieke instanties en private cybersecurity-aanbieders in Slowakije. Ze hebben deze documenten handmatig doorgelezen en de complexe juridische taal vertaald naar een gestructureerde lijst met kenmerken. Ze noteerden of een contract specifieke elementen bevatte, zoals een clausule over maandelijk been betalingen, een definitie van wat een majeure inbreuk vormt, of een vereiste dat de aanbieder software en hardware levert. Ze legden ook numerieke details vast, zoals het aantal werknemers bij de inhurende organisatie en de totale waarde van de deal. Zodra deze informatie was georganiseerd, voedden ze het aan een machine learning-systeem dat ontworig is ontworpen om uitschieters te vinden. Dit systeem wist vooraf niet welke contracten "fout" of "goed" waren; in plaats daarvan zocht het simpelweg naar de documenten die het meest afwijken van de typische groep. Het doel was om te identificeren welke specifieke kenmerken een contract ongewoon maakten in vergelijking met de honderden andere in de dataset.

De studie onthulde dat wat als "normaal" wordt beschouwd in dit veld, eigenlijk vrij specifiek is. De meest typische contracten, de contracten die de computer als standaard herkende, waren meestal eenvoudige overeenkomsten voor adviesdiensten. Ze betroffen vaak kleinere gemeenten of sociale zorginstellingen en werden betaald in regelmatige maandelijkse termijnen. Deze standaardcontracten waren de neiging om kort te zijn, waarbij ze leunden op algemene wetgeving om de hiaten in te vullen in plaats van elke mogelijke scenario uit te schrijven. In tegenstelling hiertoe waren de contracten die het systeem als hoogst anomalistisch markeerde, vaak veel complexer. Ze betroffen frequent grote, strategische entiteiten zoals ziekenhuizen, regionale overheden of grote staatsbedrijven. Deze contracten gingen niet alleen over advies; ze omvatten vaak de levering van fysieke software of hardware, gedetailleerde IT-monitoringsystemen en uitgebreide lijsten met sancties voor diverse soorten tekortkomingen.

Een van de meest opvallende bevindingen was dat de complexiteit van een contract een belangrijke drijfveer was voor de "anomalie"-score. De computer identificeerde contracten met zeer gedetailleerde regelgeving over aansprakelijkheid, specifieke sancties voor vertragingen en strikte definities van materiële inbreuk als statistisch zeldzaam. Bijvoorbeeld, een contract tussen een stad en een cybersecuritybedrijf dat een boete bevatte voor de stad als zij de betaling zou vertragen, of een clausule die de leverancier toestond zich slechts onder zeer specifieke omstandigheden terug te trekken, werd als ongewoon gemarkeerd omdat de meeste andere contracten in de dataset niet over deze specifieke, dwingende details beschikten. Evenzo werden contracten waarbij zorginstellingen betrokken waren, vaak als uitschieters gezien, waarschijnlijk omdat de hoge inzet bij het beschermen van patiëntgegevens leidde tot meer rigoureuze en specifieke voorwaarden dan de overeenkomsten met kleinere dorpen. De onderzoekers merkten op dat in één extreem geval een contract voor een kleine maandelijkse dienst werd gemarkeerd als ongewoon omdat de kosten een onevenredig groot deel van de totale omzet van de leverancier vertegenwoordigden, een statistische onregelmatigheid die de computer onmiddellijk oppikte.

De onderzoekers waren echter voorzichtig om te verduidelijken dat "anomaal" zijn niet betekent dat een contract juridisch gebrekkig of onrechtvaardig is. De term betekent simpelweg dat het document afwijkt van het statistische gemiddelde. Sterker nog, de studie suggereert dat veel van deze "vreemde" contracten waarschijnlijk het resultaat zijn van partijen die proberen voorzichtiger te zijn. Wanneer een contract een grote som geld of een cruciale dienst zoals ziekenhuisbeveiliging betreft, is het logisch dat de partijen meer regels opschrijven om zichzelf te beschermen. De computer, die een patroon van eenvoudige, laag-risico contracten zag, interpreteerde deze gedetailleerde, hoog-risico overeenkomsten als afwijkingen. De studie benadrukte ook een potentiële blinde vlek in de manier waarop juridische data wordt vastgelegd. Bijvoorbeeld, de onderzoekers codeerden een contract als het hebben van "geen recht op terugtrekking" als de tekst dit niet expliciet vermeldde, ook al zou de wet dat recht wellicht al verlenen. Dit betekende dat de computer soms reageerde op de afwezigheid van een specifieke zin in plaats van de afwezigheid van een juridisch recht.

Uiteindelijk biedt dit werk een nieuwe manier om naar juridische documenten te kijken. Door computers te gebruiken om het landschap van cybersecurity-contracten in kaart te brengen, hebben de onderzoekers een nulmeting gecreëerd van wat gebruikelijk is en wat zeldzaam is. Dit betekent niet dat de zeldzame contracten vermeden moeten worden; het biedt eerder een instrument voor publieke functionarissen om te zien wanneer zij zich op minder verkend terrein begeven. Als een stad een complexe deal met een ziekenhuis overweegt, kan het systeem hen laten zien dat dit type overeenkomst er anders uitziet dan de honderden eenvoudigere contracten die zij gewoonlijk tekenen. Dit bewustzijn stelt hen in staat om dubbel te controleren of de ongewone voorwaarden intentioneel en goed overwogen zijn, in plaats van per ongeluk. De studie concludeert dat hoewel de machine de uitschieters kan opsporen, zij de waarde ervan niet kan beoordelen. Het werkelijke werk om te begrijpen of een complex contract noodzakelijk of excessief is, behoort nog steeds toe aan de menselijke experts die de cijfers moeten interpreteren in de context van de werkelijke behoeften.