Ali Hayat, CEO en oprichter van Axipro – interviewreeks

Ali Hayat is CEO en oprichter van Axipro. Hij combineert een achtergrond in industrieel risicobeheer en ISO-audits met ervaring in cybersecurity- en complianceadvies. In zijn eerste functies werkte hij in industriële omgevingen met hoge risico’s, waar veiligheid, wettelijke vereisten en operationele risico’s centraal stonden. Later bouwde hij Axipro op zonder externe investeringen, met als doel groeiende bedrijven te helpen praktische beveiligingsmaatregelen in te voeren, zich op audits voor te bereiden en nieuwe risico’s rond AI te beheersen.

Axipro is een adviesbureau voor cybersecurity en compliance dat organisaties ondersteunt bij onder meer SOC 2, ISO 27001, ISO 42001 en vereisten op het gebied van gegevensbescherming. Het combineert advies, automatisering van compliance, auditvoorbereiding en beveiligingstests, met de nadruk op doorlopende monitoring en menselijk toezicht. In dit interview bespreekt Hayat complianceprocessen op basis van AI, shadow AI, de risico’s van autonome agents, regionale verschillen in governance en de kloof tussen certificering en cyberweerbaarheid.

Je carrière begon in industriële omgevingen met hoge risico’s, waar je werkte aan projecten met Saudi Aramco, ADNOC en TotalEnergies. Veiligheid, risicobeheer en naleving van regelgeving waren daar van cruciaal belang. Wat bracht je ertoe om de overstap te maken van industriële veiligheid en audits naar cybersecurity, en wat motiveerde je uiteindelijk om Axipro op te richten?

Ik heb Axipro opgericht omdat ik tijdens mijn werk in kwaliteitsmanagement een gat in de markt zag. In 2021 merkte ik dat er veel nieuwe cybersecurityplatforms op de markt kwamen met semigeautomatiseerde platforms voor SOC 2- en ISO 27001-compliance.

Het werd duidelijk dat deze platforms technische teams weliswaar een groot deel van de compliance-last uit handen namen, maar nog steeds moesten worden ingesteld en onderhouden. Start-ups, die al moeite hadden om de groei bij te benen, zouden daarom een team onder leiding van mensen inhuren om de compliance op orde te houden. Zo is Axipro ontstaan.

In 2022 werden vervolgens de eerste AI-platforms uitgebracht. Dat was opnieuw een aha-moment. Terwijl veel mensen in de sector bang waren dat ze overbodig zouden worden, zag ik al snel dat dit een enorme kans was. AI zou cyberaanvallen waarschijnlijk exponentieel doen toenemen, en deskundige mensen zouden nodig zijn om start-ups te begeleiden bij hun beveiligings- en compliancebehoeften.

Vandaag zijn we een elitepartner van Drata en een voorkeurspartner van Vanta, en hebben we meer dan 300 bedrijven begeleid bij het voldoen aan toonaangevende cybersecurity- en AI-normen.

Je hebt Axipro van de grond af opgebouwd zonder externe investeringen en uitgebouwd tot een internationaal adviesbureau dat honderden klanten bedient. Wat waren de grootste uitdagingen bij het opbouwen van een cybersecuritybedrijf zonder externe financiering, en hoe hebben technologie en automatisering je geholpen de bedrijfsvoering op te schalen en tegelijk de kwaliteit van de dienstverlening te waarborgen?

De eerste jaren waren buitengewoon zwaar. Van het uitgeven van mijn spaargeld terwijl er een baby op komst was tot het meemaken van de eerste AI-modellen die de sector overnamen: die eerste 2 tot 3 jaar zijn waarschijnlijk de oorzaak van de grijze haren die ik nu heb.

Ik moest concurreren met een paar Goliaths met een gevestigde reputatie, grote kantoren en ruime marketingbudgetten. Ik was gevestigd in Bahrein, had een achtergrond in kwaliteitsmanagement en mijn marketingbudget was 0.

Ik koos voor een andere aanpak: ik hield mijn organisatie klein en efficiënt en hanteerde lagere prijzen dan de grote gevestigde spelers.

Dit leverde me veel nieuwe klanten op, maar onze marges waren klein. Cashflowbeheer werd een kunst op zich en we overleefden die eerste 2 jaar maar net. Alles veranderde toen we onze eerste overeenkomst met een waarde van vijf cijfers afsloten, voor meerdere frameworks. Daardoor kregen we wat meer financiële armslag, kon ik mijn eerste voltijdse medewerkers aannemen en kon ik gaan nadenken over marketing buiten samenwerkingen en doorverwijzingen om.

Axipro richt zich op het vereenvoudigen van complexe complianceframeworks met behulp van digitale transformatie en automatisering. Hoe verandert kunstmatige intelligentie traditionele complianceprocessen, en welke activiteiten bieden volgens jou de grootste kansen voor meer efficiëntie dankzij AI?

De compliancesector heeft veel baat gehad bij AI. Voorheen was er veel repetitief werk nodig, zoals bewijsstukken verzamelen en in kaart brengen, beveiligingsvragenlijsten invullen en beleid opstellen. Deze taken zijn nu vrijwel allemaal geautomatiseerd. AI maakt ook doorlopende monitoring en risicosignalering mogelijk voor risico’s op het gebied van cybersecurity en compliance.

AI speelt inmiddels een rol in vrijwel alle stappen van het complianceproces. Zodra we een nieuwe klant aan boord halen, voert onze interne AI een geautomatiseerde risicobeoordeling uit op basis van de sector, omvang en locatie van het bedrijf. We beschikken over een grote database met eerdere opdrachten, waarmee we mogelijke risico’s en waarschuwingssignalen automatisch kunnen opsporen. Dat levert waarschijnlijk de grootste meerwaarde van AI op.

Ook cyberaanvallers hebben baat gehad bij AI, en het aantal aanvallen is exponentieel toegenomen. Er is sprake van een soort AI-tegen-AI-wapenwedloop: bedrijven zoals het onze werken aan automatische dreigingsdetectie, terwijl hackers hun aanvallen automatiseren.

Daar komt menselijk beoordelingsvermogen om de hoek kijken, en dat staat centraal in onze werkwijze: AI moet repetitieve taken uitvoeren en de operationele efficiëntie verhogen, zodat mensen zich kunnen richten op het beoordelen van dreigingen en de respons daarop.

Veel organisaties benaderen naleving van cybersecurityvoorschriften nog altijd als een periodieke exercitie die draait om de voorbereiding op audits. Hoe veranderen AI-tools en platforms voor continue monitoring, zoals Drata, deze aanpak, en wat betekent de overgang naar voortdurende naleving voor bedrijven?

Toen ik in compliance ging werken, zag iedereen op tegen het auditseizoen. Bedrijven besteedden het grootste deel van het jaar geen aandacht aan hun beheersmaatregelen en waren vervolgens wekenlang bezig met het verzamelen van schermafbeeldingen en logboeken, vlak voor de auditdeadline. Als je slaagde, betekende dat dat je op die dag aan de eisen voldeed, en daar bleef het zo ongeveer bij.

Drata en vergelijkbare platforms hebben daar verandering in gebracht. Ze maken verbinding met de cloud- en HR-tools van een bedrijf en controleren de beheersmaatregelen dagelijks. Als iemand MFA uitschakelt of een voormalige werknemer nog steeds toegang heeft, komt dat meteen aan het licht en lost ons team het direct op.

Voor bedrijven is compliance geen jaarlijks project meer, maar onderdeel van de normale bedrijfsvoering. Audits duren korter en zijn goedkoper, en verkoopteams kunnen zakelijke klanten op verzoek laten zien hoe het met hun beveiliging staat. Dat helpt om sneller deals te sluiten.

Gegevensbescherming en cybersecurity veranderen langzaam van vereisten om in gevoelige sectoren te kunnen werken in marketingtroeven die extra waarde bieden.

Nu organisaties steeds vaker op AI vertrouwen om beveiligingsdocumentatie op te stellen, risico’s te beoordelen en bewijsmateriaal voor compliance te controleren, hoe kunnen ze ervoor zorgen dat deze systemen nauwkeurige en betrouwbare resultaten opleveren? Waar blijft menselijke deskundigheid onmisbaar in het audit- en certificeringsproces?

AI is heel goed in het schrijven van documenten die overtuigend klinken. Een beleid kan er perfect uitzien en toch processen beschrijven die het bedrijf helemaal niet heeft.

Wij pakken dit zo aan: AI maakt een eerste versie en signaleert problemen, maar iemand uit ons team controleert alles voordat het naar de klant of de auditor gaat. Alles wat AI produceert, moet bovendien terug te voeren zijn op het onderliggende bewijsmateriaal, zodat we het kunnen verifiëren.

Bij interne en externe audits trek ik een duidelijke grens. Auditors zetten hun naam en professionele reputatie onder hun oordeel. AI kan hen helpen bewijsmateriaal sneller door te nemen, maar de beslissing of een bedrijf wordt gecertificeerd, moet bij een mens blijven. Als niemand verantwoordelijk is, verliest het certificaat zijn waarde.

Axipro ondersteunt organisaties bij het navigeren door normen zoals ISO 27001, SOC 2 en ISO 42001, de internationale norm voor AI-managementsystemen. Met welke nieuwe uitdagingen krijgen bedrijven te maken wanneer ze verantwoorde AI-governance proberen in te voeren, en waarin verschilt het beheersen van AI-gerelateerde risico’s van traditionele naleving van informatiebeveiligingsvoorschriften?

De meeste bedrijven waarmee we spreken, weten niet eens hoeveel AI ze gebruiken. Dit wordt ‘Shadow AI’ genoemd.

Marketing heeft zich aangemeld voor de ene tool, ontwikkelaars hebben een model in het product geïntegreerd en iemand van financiën plakt spreadsheets in een chatbot. Dat gebeurt allemaal zonder kwade bedoelingen: mensen proberen sneller te werken en AI-tools zijn goedkoop en snel. Toch kunnen bedrijfsgegevens hierdoor gemakkelijk worden blootgesteld.

De eerste en belangrijkste stap bij de meeste ISO 42001- en AI-complianceprojecten is alles in kaart brengen. We bekijken onkostendeclaraties, aanmeldingen voor software en netwerkgegevens, en bespreken met elk team welke tools het dagelijks daadwerkelijk gebruikt. De lijst die daaruit voortkomt, is bijna altijd langer dan verwacht.

AI verbieden werkt zelden en is contraproductief en inefficiënt. We willen dat onze klanten kunnen profiteren van de efficiëntiewinst die AI-modellen opleveren. Een betere aanpak is medewerkers goedgekeurde tools te geven die hun werk doen, duidelijke regels op te stellen voor de gegevens die ze daarin mogen invoeren en het eenvoudig te maken om nieuwe tools aan te vragen.

AI-governance roept ook vragen op die bij informatiebeveiliging nooit aan de orde waren. Bij ISO 27001 draait het vooral om ervoor te zorgen dat de verkeerde mensen geen toegang tot je gegevens krijgen. Bij ISO 42001 moet je ook weten of de AI zich naar behoren gedraagt, of je de beslissingen ervan kunt uitleggen en wie verantwoordelijk is als er iets misgaat.

Deze risico’s veranderen ook sneller. Een leverancier kan een model van de ene op de andere dag bijwerken en daarmee het gedrag van je product veranderen, zonder dat je zelf iets hebt aangepast.

Bedrijven die al ISO 27001-gecertificeerd zijn, beginnen met een voorsprong. Beide normen gebruiken dezelfde structuur voor managementsystemen, dus een groot deel van de basis is al gelegd.

Nu autonome AI-agenten opkomen die toegang hebben tot gevoelige informatie, met bedrijfssystemen communiceren en bedrijfsprocessen uitvoeren, op welke nieuwe risico’s voor cybersecurity en compliance moeten organisaties zich voorbereiden? Zijn bestaande beveiligingskaders geschikt om deze steeds autonomere systemen aan te pakken?

Agenten zijn momenteel het gebied dat ik het nauwlettendst in de gaten houd. Gewone software doet precies wat haar wordt opgedragen. Een agent neemt zelf beslissingen en kan worden misleid en zelf anderen misleiden, zoals we zagen bij het incident met Hugging Face.

Het risico dat we het vaakst zien, is promptinjectie. Een aanvaller kan instructies verbergen in een e-mail of pdf. Wanneer je agent die leest, voert hij ze uit met alle toegangsrechten die je hem hebt gegeven.

Het tweede risico is dat bedrijven agenten veel te veel toegang geven omdat dat gemakkelijker is. Vaak geven medewerkers AI-agenten toegang via hun eigen e-mailaccounts in plaats van via speciale accounts, waardoor het bijzonder moeilijk wordt om vast te stellen of een mens of een bot een wijziging heeft aangebracht. Als de logregistratie ook tekortschiet, weet je misschien niet eens wat de agent heeft gedaan.

ISO 27001 en SOC 2 dekken nog steeds basiszaken zoals toegangsbeheer en logregistratie, en ISO 42001 helpt op het gebied van AI. Geen van deze standaarden is echter opgesteld met autonome agenten in gedachten, en ik verwacht binnenkort nieuwe richtlijnen.

AIUC-1 ontwikkelt zich tot een toonaangevende standaard voor AIUC-1 en we zijn net begonnen ons personeel op te leiden om de standaard toe te passen. We hebben er een paar gesprekken met klanten over gevoerd, maar hebben nog geen casestudy’s om te presenteren. De standaard krijgt stevige steun van grote cybersecuritybedrijven, dus verwachten we dat dit raamwerk uitgroeit tot de toonaangevende standaard voor AI-agenten.

Je hebt in het Midden-Oosten, Europa en de Verenigde Staten gewerkt en daarbij verschillende regelgevingsomgevingen en benaderingen van risicobeheer leren kennen. Hoe beïnvloeden regionale verschillen in AI-governance en gegevensbescherming de manier waarop bedrijven AI inzetten, en welke uitdagingen ontstaan er wanneer organisaties in meerdere rechtsgebieden actief zijn?

Omdat ik in Bahrein woon en met klanten in Europa en de VS werk, verwacht ik niet langer dat AI-regels naar elkaar toe zullen groeien. De regio’s bewegen juist steeds verder uit elkaar.

Europa reguleert met wetgeving. De EU AI Act deelt AI-systemen in op basis van risico en bepaalt wat elke categorie moet doen. Europese bedrijven gaan daarom doorgaans voorzichtig te werk en documenteren alles. De VS heeft geen federale AI-wetgeving en de markt reguleert het meeste. Opdrachtgevers vragen in hun contracten om raamwerken zoals het AI RMF van NIST, en voor de rest zorgt aansprakelijkheid. China kiest een derde aanpak en stelt telkens nieuwe regels op wanneer een technologie een nieuw risico met zich meebrengt.

De Golfregio vind ik het interessantst. Saudi-Arabië heeft bijvoorbeeld nog geen horizontale AI-wet. De meeste bindende regels zijn opgenomen in de wetgeving inzake gegevensbescherming en in de overheidsaanbestedingen, omdat de staat in de regio de grootste afnemer van technologie is. Aan welke regels je moet voldoen, hangt sterk af van wie je klant is. Toen SDAIA, de Saudische toezichthouder, in 2024 zelf ISO 42001-gecertificeerd werd, liet dat de markt zien naar welke standaard de organisatie in aanbestedingen zou vragen.

Het wordt het lastigst wanneer een bedrijf in meer dan één van deze regio’s actief is. Een SaaS-bedrijf uit Riyad dat aan Europa verkoopt, kan voldoen aan de technische eisen van de EU en in Saudi-Arabië toch tekortschieten op het gebied van gegevensregistratie en regels voor gegevensoverdracht. Geen van beide partijen accepteert de documentatie van de andere.

Onze aanpak is om één basis te ontwikkelen die overal toepasbaar is: ISO 42001 naast ISO 27001. Vervolgens voegen we daar de vereisten van elke regio aan toe. ISO 42001 zorgt op zichzelf nergens voor wettelijke naleving, maar komt het dichtst in de buurt van een gemeenschappelijke taal die al deze regio’s accepteren.

Er gaapt vaak een aanzienlijke kloof tussen het behalen van een beveiligingscertificering en het behouden van echte digitale weerbaarheid. Hoe kunnen organisaties AI en automatisering inzetten om verder te gaan dan naleving op papier en beveiligingspraktijken te ontwikkelen die zich voortdurend aanpassen aan nieuwe bedreigingen?

Ik heb bedrijven gezien met een gloednieuw SOC 2-rapport en elementaire beveiligingslekken die niemand had opgemerkt. Hun doel was geweest om de audit te doorstaan. Een certificaat toont aan dat een bedrijf op een bepaalde datum aan een standaard voldeed, maar zegt niet of het een aanval kan tegenhouden.

Om verder te komen, moet je nagaan of elke beheersmaatregel een test zou doorstaan. Automatisering helpt daarbij enorm. Doorlopende monitoring spoort problemen op zolang ze nog klein zijn, en actuele dreigingsgegevens zorgen ervoor dat risicobeoordelingen aansluiten op wat aanvallers op dit moment doen. Regelmatige penetratietests en aanvalssimulaties laten vervolgens zien of de maatregelen in de praktijk werken.

Dat we dit jaar CREST-gecertificeerd zijn geworden, maakte daar deel van uit. We wilden de beveiliging van onze klanten testen en de bevindingen documenteren.

Hoe denkt u dat AI de adviessector voor cybersecurity en compliance de komende drie tot vijf jaar zal veranderen? Denkt u dat AI-agenten uiteindelijk de meeste routinematige compliance-activiteiten zelfstandig zullen uitvoeren, en hoe ziet u Axipro zich ontwikkelen naarmate deze technologieën volwassener worden?

Ik denk dat AI-agenten binnen vijf jaar het meeste routinematige compliancewerk voor hun rekening zullen nemen, zoals het verzamelen van bewijsmateriaal, het bijwerken van beleid en het invullen van beveiligingsvragenlijsten. Bedrijven die hun geld verdienen met het factureren van uren voor dat werk, zonder aantoonbare expertise, zullen het moeilijk krijgen.

Ik denk echter niet dat agenten compliance volledig zelfstandig zullen uitvoeren. Hoe meer werk AI overneemt, hoe belangrijker de beslissingen worden die overblijven. Iemand moet nog steeds een audit goedkeuren en de gevolgen opvangen wanneer er iets misgaat. Omdat aanvallers ook AI gebruiken, blijft de vraag naar deskundige verdedigers groeien.

Bij Axipro zie ik dat we minder tijd aan documentatie en meer aan advies voor klanten en het testen van hun beveiliging besteden. Onze eigen AI zal meer uitvoerend werk op zich nemen, terwijl ons team zich richt op beslissingen waarvoor menselijk inzicht nodig is. In 2022 dachten veel mensen dat AI bedrijven als het onze overbodig zou maken. Tot nu toe is het tegenovergestelde gebeurd: we zijn gegroeid, soms met meer dan 10% maand op maand, en hebben soms meer werk dan we aankunnen. We verwachten niet dat het rustiger wordt.

Bedankt voor het geweldige interview. Lezers die meer willen weten over naleving van cybersecurityvoorschriften, AI-governance en het opbouwen van doorlopende beveiligingspraktijken, kunnen terecht bij Axipro.