Interview | Mandy Andress (ciso Elastic) over fundamentele verschuiving in cybersecurity
Jarenlang draaide cybersecurity om het implementeren van controles, het naleven van regelgeving en het afvinken van compliance-eisen. Maar volgens Mandy Andress, chief information security officer (ciso) van Elastic, is dat tijdperk niet langer toereikend en staan we op een kantelpunt in cybersecurity. Volgens haar maken ai en autonome ai-agents traditionele beveiligingsmodellen steeds minder effectief en moeten organisaties fundamenteel anders naar risico gaan kijken.
Mandy Andress is een van de keynotesprekers op Cybersec Netherlands 2026 (9 en 10 september, Jaarbeurs, Utrecht). Tijdens haar keynote Redefining Risk in the Age of AI: Cybersecurity at a Tipping Point op dag twee zal zij uiteenzetten waarom artificiële intelligentie (ai) organisaties dwingt hun kijk op risico volledig te herzien. ‘Ai is niet langer een opkomende technologie; het is een kracht die vandaag al fundamenteel invloed heeft op het cyberdreigingslandschap. De vraag is niet meer of cybersecurity moet veranderen, maar hoe ingrijpend en hoe snel die verandering moet plaatsvinden.’
Die boodschap komt op een moment waarop organisaties wereldwijd worstelen met de impact van ai. Niet alleen omdat medewerkers steeds vaker ai-tools gebruiken, maar ook omdat cybercriminelen dezelfde technologie inzetten om aanvallen sneller, slimmer en op grotere schaal uit te voeren.
Fundamentele verschuiving
Volgens Andress is de huidige ontwikkeling niet vergelijkbaar met eerdere technologische veranderingen binnen cybersecurity. ‘We bevinden ons op een echt omslagpunt. Dit is geen geleidelijke evolutie. Organisaties moeten stoppen met het benaderen van security als een compliance-oefening en het gaan behandelen als een strategische, risicogedreven discipline.’
Dat sluit aan bij een bredere ontwikkeling in de markt. De afgelopen jaren lag de focus sterk op regelgeving en aantoonbare beheersmaatregelen. Met de komst van onder meer Nis2, Dora en strengere eisen rondom digitale weerbaarheid investeren organisaties volop in governance, rapportages en compliance-trajecten.
Toch groeit binnen de sector het besef dat voldoen aan wet- en regelgeving niet automatisch betekent dat een organisatie voldoende beschermd is. Compliance kijkt immers vaak naar bekende risico’s, terwijl ai juist nieuwe en voortdurend veranderende dreigingen introduceert. Volgens Andress moeten bestuurders, ciso’s en risicomanagers daarom een andere vraag centraal stellen: hoeveel risico is een organisatie werkelijk bereid te accepteren?
Cybercriminelen profiteren als eerste
De snelheid waarmee ai zich ontwikkelt, maakt die discussie urgenter dan ooit. Cybercriminelen experimenteren inmiddels volop met generatieve ai voor phishing, social engineering, malwareontwikkeling en geautomatiseerde verkenning van kwetsbaarheden.
Waar aanvallen vroeger aanzienlijke voorbereiding vereisten, kunnen kwaadwillenden vandaag de dag veel sneller opereren en hun activiteiten eenvoudiger opschalen. ‘Aanvallers gebruiken ai nu al om sneller, op grotere schaal en met meer verfijning aan te vallen dan traditionele beveiligingsmodellen ooit zijn ontworpen om te kunnen verwerken’, aldus Andress.
Volgens haar ligt daar een van de grootste uitdagingen voor organisaties. Securityprogramma’s zijn vaak gebaseerd op een dreigingsbeeld dat relatief stabiel was. Maar de snelheid waarmee ai nieuwe mogelijkheden creëert, zorgt ervoor dat bestaande modellen steeds sneller verouderen. Andress: ‘Vroeger deed ik voorspellingen voor de komende tien jaar. Tegenwoordig is mijn horizon teruggebracht naar vijf jaar en soms zelfs tot één kwartaal. De snelheid van verandering is ongekend.’
“Ai-agents creëren volledig nieuwe risicocategorieën waarvoor de meeste organisaties nog geen beoordelingskader hebben ontwikkeld”
Naast de dreiging van ai-gedreven aanvallen ziet Andress een tweede ontwikkeling die grote gevolgen zal hebben voor organisaties: de opkomst van ai-agents. Deze systemen gaan verder dan traditionele ai-assistenten. Ze kunnen zelfstandig informatie verzamelen, beslissingen nemen, workflows uitvoeren en acties ondernemen binnen bedrijfsomgevingen.
Dat biedt enorme kansen voor efficiëntie en innovatie, maar introduceert tegelijkertijd risico’s die veel organisaties nog nauwelijks in kaart hebben gebracht. ‘Ai-agents creëren volledig nieuwe risicocategorieën waarvoor de meeste organisaties nog geen beoordelingskader hebben ontwikkeld’, waarschuwt Andress.
Vragen over autonomie, toegangsrechten, besluitvorming, datagebruik en verantwoordelijkheid worden daardoor steeds belangrijker. Wie is aansprakelijk wanneer een ai-agent een verkeerde beslissing neemt? Hoe monitor je systemen die zelfstandig handelen? En hoe voorkom je dat ai-agents een nieuwe ingang vormen voor aanvallers? Het zijn vraagstukken waarvoor veel bestaande securityframeworks nog geen eenduidig antwoord bieden.
Ai is ook de oplossing
Toch ziet Andress ai nadrukkelijk niet uitsluitend als een bedreiging. Integendeel. Volgens haar kan dezelfde technologie die aanvallers sterker maakt ook een cruciale rol spelen in de verdediging. In security operations centers (soc’s) verschuift ai van experimentele toepassing naar standaard onderdeel van de operatie, waar het wordt ingezet voor het detecteren van afwijkend gedrag, het analyseren van incidenten en het versnellen van respons op dreigingen. Juist in een tijd waarin organisaties kampen met een tekort aan securityspecialisten kan ai helpen om sneller inzicht te krijgen in risico’s en dreigingen.
‘Ai is zowel de dreiging als de kans’, zegt Andress. ‘De organisaties die ai actief inzetten als verdedigingsmiddel en deze transitie bewust leiden, zullen uiteindelijk een voorsprong opbouwen.’ Daarmee verschuift cybersecurity volgens haar van een reactieve naar een proactieve discipline. Niet langer draait het uitsluitend om het blokkeren van aanvallen, maar om het continu begrijpen, voorspellen en beheersen van risico’s in een dynamische digitale omgeving.
Nieuw tijdperk voor cybersecurity
Volgens Andress staan we aan de vooravond van de meest ingrijpende verandering die de cybersecuritysector ooit heeft meegemaakt. Niet alleen technologie verandert, maar ook de manier waarop organisaties naar beveiliging, governance en risicomanagement kijken. ‘Cybersecurity staat aan de vooravond van zijn grootste transformatie ooit’, meent Andress. ‘De organisaties die succesvol zullen zijn, zijn degenen die afstappen van puur compliance-gedreven modellen, AI omarmen als verdedigingsmechanisme en actief richting geven aan deze verandering.’
Die boodschap zal centraal staan tijdens haar keynote op Cybersec Netherlands 2026. Want als één conclusie uit de huidige ontwikkelingen kan worden getrokken, dan is het volgens Andress dat de tijd van reactieve cybersecurity ten einde loopt. De toekomst behoort toe aan organisaties die risico’s opnieuw durven te definiëren, en daar vervolgens naar handelen.
