Gartner schetst cybersecurity-agenda voor komende jaren

Volgens Dupre bevindt de IT- en securitysector zich op een historisch snijpunt. "Geopolitieke conflicten en politieke omwentelingen blijven het risicolandschap voor organisaties direct beïnvloeden," zo stelde hij tijdens zijn presentatie. "In deze omgeving worden cybersecurityprogramma's van vitaal en doorslaggevend belang voor de operationele continuïteit en de strategische autonomie van organisaties." 

Om deze roerige periode niet alleen te overleven maar als organisatie wendbaar te blijven, presenteerde Dupre een driepijlerstrategie voor Chief Information Security Officers (CISO's) en security-investeerders: Architect for resilience (architectuur voor weerbaarheid), Seize the AI moment (het AI-moment benutten) en Expect disruption (anticiperen op continue ontwrichting). 

1. Architectuur voor weerbaarheid: Van techniek naar context

In het eerste deel van zijn presentatie benadrukte Dupre dat het begrip 'resilience' of weerbaarheid niet langer een modewoord mag zijn, maar verankerd moet worden in de fundamenten van de IT-architectuur. Hij onderscheidt daarbij drie kerncomponenten: Security-by-Design, Zero Trust en Continuous Threat Exposure Management (CTEM). 

Security-by-Design 

Security-by-Design is geen nieuw concept, maar wordt volgens Gartner in de praktijk nog te vaak stiefmoederlijk behandeld. "Het basisprincipe is simpel: je ontwerpt beveiliging direct mee vanaf de allereerste schets van een digitaal initiatief, in plaats van het achteraf als een sluitpost toe te voegen," aldus Dupre. Dat geldt voor applicatieontwikkeling, maar net zo goed voor cloudmigraties en AI-implementaties. Eeuwenoude uitgangspunten zoals least privilege, defense-in-depth en separation of duties vormen hierbij nog steeds de basis, maar moeten integraal onderdeel worden van de digitale transformatie. 

Cruciaal hierin is de positionering van security-architectuur binnen het bedrijf. Dupre wees op een hardnekkige misvatting bij veel IT-afdelingen: "Veel organisaties meten hun beveiligingsvolwassenheid af aan de rechterkant van het diagram — aan de hand van de meest geavanceerde of duurste tools van leveranciers. Maar echte volwassenheid zit aan de linkerkant: in het diepe begrip van de business, de juridische en regulatoire kaders, de operationele risico's en de reputatieloopgraven. Pas als je de context van je organisatie begrijpt, kun je de juiste technische keuzes maken." 

Zero Trust als fundament 

Binnen de moderne beveiligingsarchitectuur blijft Zero Trust een onmisbare pijler. Dupre benadrukte dat de sleutel van Zero Trust ligt in het vervangen van impliciet vertrouwen door continu geëvalueerd, expliciet vertrouwen. Identiteitsbeheer (zowel van menselijke gebruikers als van digitale entiteiten en AI-agenten) vormt hierbij het absolute hart. Daarnaast blijven versleuteling van data in transit en at rest, alsmede strikte netwerksegmentatie op basis van identiteit, essentiële voorwaarden. 

Continuous Threat Exposure Management (CTEM) 

Als derde architectuurelement wees Dupre op CTEM. CTEM is geen individueel product dat je bij een leverancier koopt, maar een programma-overstijgende methodiek die risicogebaseerd kwetsbaarheidsbeheer mogelijk maakt. Het proces doorloopt een continue cyclus van vijf fasen: 

• Scoping: Het afstemmen van de beveiligingsfocus op de strategische prioriteiten van de organisatie.
• Discovery: Het in kaart brengen van alle fysieke en virtuele assets, API's en AI-systemen, evenals de bijbehorende kwetsbaarheden.
• Prioritization: Het rangschikken van kwetsbaarheden op basis van het daadwerkelijke zakelijke risico, in plaats van te verdrinken in een oneindige back-log van duizenden CVE's.
• Validation: Het doorlopend testen en valideren of aanvalspaden daadwerkelijk misbruikt kunnen worden.
• Mobilization: Het cross-functioneel remediëren van risico's in nauwe samenwerking met development- en IT-teams. 

2. Het AI-moment grijpen: Kansen, valkuilen en beheer

Het tweede grote thema van de lezing was de dubbelrol van kunstmatige intelligentie. Enerzijds zorgt generatieve en agentische AI voor nieuwe risico's en dreigingen; anderzijds biedt het security-investeerders en SOC-teams ongekende mogelijkheden. 

De schaduwzijde van AI-agenten 

Dupre waarschuwde voor de snelle opkomst van AI-agenten binnen bedrijfsprocessen. Gartner voorspelt dat tot 2029 meer dan 50 procent van de succesvolle cyberaanvallen op AI-agenten gebruik zal maken van zwakheden in toegangsbeheer, waarbij direct of indirect prompt injection het primaire aanvalsvector vormt. Incidenten rondom recente kwetsbaarheden bij bekende AI- platforms laten zien dat beveiliging rondom AI-modellen nog in de kinderschoenen staat. 

Hier komt de koppeling met identiteitsbeheer (IAM) weer om de hoek kijken: "AI-agenten voeren autonoom taken uit. Ze hebben rechten nodig, maar als die rechten niet strikt zijn afgebakend via een Zero Trust-identiteitsmodel, creëer je een gigantisch nieuw digitaal aanvalsvlak," waarschuwde Dupre. 

Slimme inzet van AI in het Security Operations Center (SOC) 

Aan de defensieve kant biedt AI enorme kansen om de overbelasting van SOC-analisten aan te pakken. Uit cijfers van Gartner blijkt dat 63 procent van de organisaties momenteel tools voor AI-SOC-agenten evalueert of test, terwijl 18 procent deze al daadwerkelijk opschaalt of in productie heeft. 

Dupre maande echter tot pragmatisme en een gefaseerde opbouw: 

• Standaard automatisering: Begin met het automatiseren van repetitieve, alledaagse processen. "Laat je door leveranciers niets wijsmaken: basisautomatisering is vaak al voldoende en heeft geen ingewikkelde AI-stempel nodig."
• Human-led AI-assistentie: Zet AI in ter ondersteuning van menselijke analisten. AI is uitermate geschikt voor patroonherkenning en correlatie, maar menselijk inzicht en oordeelsvorming moeten leidend blijven.
• Autonome SecOps & Agentic Pen Testing: Experimenteer voorzichtig met autonome AI-agenten, bijvoorbeeld voor geautomatiseerde penetratietesten op applicaties en infrastructuur binnen het CTEM-validatieproces. 

Het gevaar van vaardigheidsverlies 

Dupre sloeg ook een alarmkreet over de langetermijneffecten van te grote afhankelijkheid van automatisering. Gartner voorspelt dat tegen 2030 maar liefst 75 procent van de SOC-teams te maken zal krijgen met een ernstige aantasting van hun fundamentele analytische beveiligingsvaardigheden als gevolg van een overmatige afhankelijkheid van AI en geautomatiseerde hulpmiddelen. "Technologische vooruitgang is een krachtige versneller, maar we mogen de menselijke expertise en het kritische denkvermogen binnen onze teams niet laten atrophyren," aldus Dupre. 

3. Anticiperen op continue ontwrichting en de post-quantumwereld

Tot slot schetste Dupre een actieagenda om organisaties wendbaar te houden in een tijdperk waarin ontwrichting de enige constante is. Beveiligingsteams kunnen zich niet meer beperken tot het afweren van traditionele malware; ze moeten rekening houden met macro-economische en geopolitieke schokken. 

Dupre presenteerde zes concrete stappen om paraat te zijn voor de nabije toekomst: 

• Diversifieer operaties en update weerbaarheidsplannen: Spreid kritieke infrastructuren en IT-activiteiten over meerdere regio's om de impact van geopolitieke conflicten of fysieke stroom- en datacenteruitval te beperken.
• Beveilig de toeleveringsketen: Richt beveiligingseisen niet alleen op de fysieke toeleveringsketen, maar investeer zwaar in het beveiligen van de software supply chain (zoals de beveiliging van open-source componenten en MCP-servers).
• Herzie dataprivacy en soevereiniteitsplannen: Met de aanscherping van Europese en internationale regelgeving moeten organisaties exact weten waar hun data zich bevindt, wie er toegang toe heeft en welke soevereiniteitseisen gelden voor hun cloudomgevingen.
• Pas threat modeling toe op geopolitieke dreigingen: Voer regelmatig dreigingsanalyses uit om te begrijpen hoe specifieke geopolitieke spanningen of statelijke actoren de specifieke sector of regio waarin een organisatie actief is kunnen treffen.
• Reageer op incidenten met de snelheid van geopolitieke gebeurtenissen: Zorg dat incident response-processen en escalatiepaden zijn ingericht op snelle besluitvorming wanneer crisissituaties zich in hoog tempo voltrekken.
• Bereid je voor op de post-quantumwereld via crypto-agility: De komst van effectieve quantumcomputers nadert snel. Bestaande encryptiestandaarden zullen op termijn onveilig worden. Dupre roept organisaties op om nu al hun cryptografische assets te inventariseren en over te stappen op een 'crypto-agile' architectuur, waarmee alvast kan worden gemigreerd naar post-quantum cryptografie. 

Conclusie: De tijd van afwachten is voorbij

Dupre sloot zijn presentatie in Londen af met een citaat uit Shakespeare's Richard II: "I wasted time, and now doth time waste me". 
De boodschap aan de zaal vol IT- en security-executives was klip-en-klaar: de dynamiek van geopolitieke spanningen, de razendsnelle opkomst van AI-ontwrichting en de naderende quantumsprong laten geen ruimte voor uitstelgedrag. Wie nu niet investeert in een hechte Security-by-Design architectuur, wie AI niet op een gecontroleerde en soevereine manier omarmt, en wie nalaat om crypto-agiel te worden, zal door de feiten worden ingehaald. Echte digitale weerbaarheid ontstaat niet door het aanschaffen van nog meer losse tools, maar door het diep verankeren van beveiliging in de strategische doelen van de organisatie.