Mark Nicholson, Deloitte’s US Cyber Modernization Leader – Interview Series: Een Terugkeer Gesprek

Mark Nicholson, Deloitte’s US Cyber Modernization Leader, is een Principal bij Deloitte met meer dan twee decennia ervaring op het snijvlak van cybersecurity, artificial intelligence en enterprise risk. Hij leidt Cyber AI-initiatieven en de commerciële strategie voor Deloitte’s cyberpraktijk, waardoor grote organisaties hun beveiligingskaders kunnen moderniseren en hun cyberinvesteringen kunnen afstemmen op de evoluerende risicolandschappen. Voordat hij bij Deloitte kwam, was hij mede-oprichter en COO van Vigilant, Inc., een informatiebeveiligingsadviesbureau dat zich richtte op bedreigingsinformatie en kwaadaardige gebeurtenisbewaking. Zijn eerdere carrière in verkoop- en business development-rollen bij verschillende technologiebedrijven gaf hem een sterke basis in zowel de technische als de commerciële aspecten van cybersecurity.

Deloitte is een van ‘s werelds grootste professionele dienstverleners, met diensten zoals audit, consulting, belasting en advies voor organisaties in bijna elke industrie. De cybersecurity-praktijk van het bedrijf richt zich op het helpen van ondernemingen om complexe bedreigingsomgevingen te navigeren en digitale transformatie mogelijk te maken met technologieën zoals artificial intelligence. Het bedrijf biedt diensten op het gebied van cyberstrategie, veerkracht, risicobeheer en ondernemingsbeveiliging, waardoor cybersecurity zowel een beschermende functie als een strategische stimulator van innovatie en groei wordt.

Dit volgt op een eerder interview dat in 2025 werd gepubliceerd.

U bent al sinds de vroege dagen van moderne bedreigingsbewaking betrokken bij cybersecurity, waaronder het mede-oprichten van Vigilant en het helpen van het introduceren van vroege Security Information and Event Management (SIEM) en bedreigingsinformatiecapaciteiten op de markt. Hoe heeft de evolutie van die vroege bewakingsystemen tot de huidige AI-gedreven cyberdefensieplatforms de manier veranderd waarop organisaties bedreigingen detecteren en reageren?

Toen we voor het eerst begonnen met het bouwen van bewakingsplatforms in de vroege dagen van SIEM, was de kernuitdaging het krijgen van alle gegevens op één plek en er zin van maken. Ik herinner me nog toen analisten elke ochtend firewalllogs afdrukten en handmatig doorzochten om afwijkingen te vinden. Zelfs toen SIEM volwassen werd, was er een schaalprobleem. De snelheid van de mens was geen partij voor het enorme aantal gedetecteerde gebeurtenissen. Ondanks het gebruik van automatisering hadden cyberverdedigers nog steeds een probleem met gegevenscorrelatie en -analyse, waarbij ze constant nieuwe regels moesten schrijven, vaak als reactie op bewakingsfouten.

Een van de hoopvolle verwachtingen is dat AI die dynamiek op een fundamentele manier zal veranderen. Door agente-capaciteiten in te zetten om niveau 1-beveiligingsoperaties te automatiseren, belooft AI te helpen bij het verplaatsen van detectie en reactie van “na de feiten” naar “terwijl het gebeurt” door middel van dynamische machinematige afstemming van bewakingsalgoritmen. In sommige gevallen zullen cyberorganisaties ook comfortabel worden met het toestaan dat AI herstelacties initieert.

Maar het moeilijke deel gaat niet weg, het verschuift. Naarmate systemen autonomer en complexer worden, worden vertrouwen en observeerbaarheid een slagveld: Wat doet het systeem, waarom doet het dat en hoe weten we dat het niet gemanipuleerd is? De kans met AI is enorm, maar het verhoogt ook de inzet wanneer de omgeving op machinesnelheid werkt.

U hebt opgemerkt dat AI het voor tegenstanders mogelijk maakt om verkenning te automatiseren, exploits te genereren en aanvalscycli te versnellen. In praktische zin, hoeveel heeft AI de tijd tussen kwetsbaarheidsontdekking en exploitatie samengeperst?

Historisch gezien was er vaak een venster tussen kwetsbaarheidsontdekking en exploitatie. Er was zeker urgentie, maar meestal was er tijd om de bedreiging te begrijpen, te patchen en te mitigeren voordat een aanvaller exploits op grote schaal kon inzetten. AI heeft dat venster bijna geëlimineerd.

Tegenstanders kunnen verkenning automatiseren, voortdurend scannen op blootstelling en AI-geactiveerde tooling gebruiken om delen van exploitontwikkeling en targeting te versnellen. In veel gevallen kan wat eerder weken duurde, nu worden samengeperst in uren, en in hoge mate geautomatiseerde scenario’s kan het sneller zijn dan de meeste beveiligingsprogramma’s zijn gebouwd om aan te kunnen.

De conclusie is eenvoudig: beveiligingsteams hebben automatisering en AI aan de verdedigingskant nodig, in combinatie met sterke controles, als ze gelijk willen houden.

Beveiligingsteams gaan steeds vaker van “human-in-the-loop” naar “human-on-the-loop”-toezichtsmodellen. Wat ziet die verschuiving er operationeel uit in een moderne Security Operations Center (SOC), en hoe moeten organisaties de rollen van analisten opnieuw definiëren als AI meer autonome taken overneemt?

In een traditionele SOC zitten analisten in het centrum van elk beslissingspunt. Alerts komen binnen, analisten triëren ze, onderzoeken ze en bepalen welke acties genomen moeten worden. Die aanpak werkte toen het volume van alerts en het tempo van aanvallen beheersbaar was. Maar in de huidige omgeving is de omvang van de activiteit eenvoudigweg te groot voor mensen om als poortwachter voor elke beslissing te fungeren.

De verschuiving naar human-on-the-loop betekent dat AI-systemen veel van de routine-taken kunnen uitvoeren die analisten eerder afhandelden, zoals het triëren van alerts, het verzamelen van context, het correleren van gegevens en het uitvoeren van bepaalde herstelacties. De rol van de mens wordt een van toezicht en validatie in plaats van handmatige uitvoering.

Operationeel verplaatst die verschuiving de tijd van analisten weg van “alert-grinding” en naar waardevollere werk, zoals bedreigingsjacht, detectie-engineering, adversary-simulatie en het verbeteren van de defensieve architectuur. Mensen blijven essentieel, maar hun rol evolueert naar toezicht, oordeel en strategie in plaats van de primaire verwerker van beveiligingsgegevens.

We horen veel over “Secure AI by Design”. Vanuit uw perspectief, waarom moet dat concept verder gaan dan modelveiligheid naar identiteitssystemen, permissie-architectuur en orkestratielagen?

Veel discussies over beveiligde AI concentreren zich sterk op het model zelf, zoals het beschermen van trainingsgegevens, het voorkomen van modelvergiftiging of het verdedigen tegen prompt-injectie-aanvallen. Die zijn echte problemen, maar ze zijn slechts een deel van het risico.

In de praktijk opereren AI-systemen als onderdeel van veel grotere digitale ecosystemen. Ze krijgen toegang tot gegevens, interactie met API’s, triggeren workflows en opereren steeds vaker via agenten die met een zekere mate van autonomie kunnen handelen.

Wanneer dat gebeurt, worden identiteit en permissies het controlevlak. AI-agenten zijn effectief nieuwe digitale identiteiten binnen de onderneming. Als die identiteiten niet goed worden beheerd, kunnen ze aanzienlijke risico’s introduceren.

Beveiligde AI door ontwerp moet daarom worden uitgebreid naar identiteitsbeheer, toegangscontrole, orkestratielagen en bewakingsystemen die bijhouden wat die agenten doen. Organisaties moeten AI-agenten behandelen als menselijke gebruikers, met gedefinieerde permissies, auditing en toezicht, anders breidt het aanvalsoppervlak zich snel uit.

Veel ondernemingen leggen AI-hulpmiddelen op legacy-beveiligingswerkstromen die zijn ontworpen voor menselijke snelheid. Wat zijn de grootste architectonische veranderingen die organisaties moeten maken om echt van AI in cyberbeveiliging te profiteren?

Een veelvoorkomend patroon is om AI op legacy-processen en -werkstromen te monteren die zijn ontworpen voor door de mens gestuurde operaties. Het is geen slechte eerste aanpak, vooral nu computervisie realiteit is geworden. Bijvoorbeeld, Deloitte heeft een agent gemaakt die kan worden getraind om de mens te vervangen in het identiteitsbeheer- en -administratieproces zonder bestaande op maat gemaakte softwareoplossingen te verwijderen die moeilijk zouden zijn om af te schrijven. Dit kan dramatische kostenbesparingen opleveren.

De toekomstige voordelen zijn echter dat ondernemingen waarschijnlijk hun beveiligingswerkstromen van begin tot eind zullen herbekijken: moderniseren van de gegevensbasis zodat beveiligingshulpmiddelen betrouwbare toegang hebben tot hoogwaardige, goed gestructureerde telemetrie; orkestratie opbouwen zodat detectie-, respons- en identiteitsfuncties opereren als een gecoördineerd systeem, niet als losse hulpmiddelen.

Identiteit blijft een van de meest kritieke controles. Naarmate meer automatisering en AI-agenten worden geïntroduceerd, groeit het aantal niet-menselijke identiteiten aanzienlijk. Het effectief beheren van die identiteiten wordt essentieel om controle te behouden.

AI-natieve beveiliging is uiteindelijk een mix van betere gegevens, betere orkestratie en governance die zowel menselijke als machine-actoren omvat.

Als AI-systemen autonomer worden, breidt het aanvalsoppervlak zich uit naar gebieden zoals agent-orkestratie, API-ketens en geautomatiseerde beslissingspijplijnen. Welk van deze opkomende oppervlakken baart u het meeste zorgen?

Als ik er een moet kiezen, is het identiteit en gegevenstoegangspermissies binnen agent-gedreven systemen.

Naarmate organisaties meer agente AI introduceren, creëren ze een groeiende populatie van autonome actoren die binnen de onderneming opereren. Die agenten kunnen toegang hebben tot gegevens, API’s en workflows die enorm krachtig zijn en dat maakt ze een aantrekkelijke route voor een aanvaller als permissies niet rigoureus zijn ontworpen, gemonitord en geaudit.

API-ketens en geautomatiseerde beslissingspijplijnen introduceren ook risico’s, maar identiteitsbeheer is vaak de fundamentale controle. Als u niet duidelijk kunt zeggen wie een agent is, wat hij kan aanraken en wat hij heeft gedaan, hebt u hem niet echt onder controle.

Vanuit het perspectief van de directiekamer, hoe denken bestuurders en directeuren momenteel over AI-gedreven cyberrisico’s, en waar ziet u de grootste kloof tussen technische realiteit en directiekamer-begrip?

Bestuurders zijn zich steeds meer bewust dat, hoewel AI enorme kansen biedt, het ook significante risico’s met zich meebrengt. De meeste directeuren begrijpen dat AI de zakelijke transformatie zal vormgeven en ze beginnen vragen te stellen over governance, beveiliging en veerkracht.

De kloof manifesteert zich vaak in snelheid en complexiteit. Veel directiekamergesprekken gaan nog steeds over traditionele cyberkaders – die nog steeds belangrijk zijn – maar ze reflecteren niet altijd hoe snel AI-gedreven bedreigingen kunnen evolueren en groeien.

Het andere disconnectiepunt is dat “Is onze AI beveiligd?” klinkt als één vraag, maar het antwoord leeft over data-governance, modelintegriteit, identiteitsbeheer en orkestratie over meerdere systemen. De bestuurders die de kloof dichten, dringen aan op controle-gebaseerde rapportage die die bewegende delen zichtbaar maakt en testbaar, en investeren tijd om directeurbegrip te ontwikkelen, zodat toezicht gelijk blijft met de technologie.

AI wordt steeds vaker gebruikt aan beide kanten van het slagveld. Gaan we een permanente AI-tegen-AI-cyberbeveiligingswedloop in, en zo ja, welke voordelen hebben verdedigers die aanvallers mogelijk niet kunnen repliceren?

We zijn duidelijk in een tijdperk waarin AI wordt gebruikt door zowel aanvallers als verdedigers. Aanvallers passen AI toe om verkenning te versnellen, kwetsbaarheden te identificeren en delen van de aanvalscyclus te automatiseren. Maar verdedigers hebben nog steeds echte voordelen als ze ervoor kiezen om ze te gebruiken.

Verdedigers hebben zicht op hun eigen omgeving, toegang tot interne telemetrie en de mogelijkheid om gelaagde architectuur te bouwen die aanvallers moeten navigeren. AI kan helpen verdedigers enorme volumes aan gegevens over netwerken, eindpunten en identiteiten te analyseren, waardoor ze het potentieel hebben om afwijkend gedrag veel eerder te detecteren.

De catch is adoptie. Als verdedigers vastzitten in handmatige workflows terwijl aanvallers automatiseren, wordt de asymmetrie wreed. De wapenwedloop is echt, en de winnaars zullen zijn diegenen die AI inzetten met sterke governance, niet diegenen die het alleen maar testen.

In uw werk als adviseur voor grote ondernemingen, wat zijn de meest voorkomende fouten die organisaties maken bij het integreren van AI in hun cybersecurity-strategie?

Een van de meest voorkomende fouten die we zien, is het behandelen van AI als een zelfstandig hulpmiddel in plaats van een architectonische verschuiving. Teams voeren geïsoleerde experimenten uit zonder de noodzakelijke data-fundamenten, governance-modellen of operationele processen te upgraden die nodig zijn om impact te behouden, wat leidt tot een plateau in resultaten.

Een andere fout is het inzetten van AI-capaciteiten zonder volledig rekening te houden met de nieuwe risico’s: nieuwe identiteiten, nieuwe gegevensstromen en geautomatiseerde beslissingspijplijnen die het aanvalsoppervlak uitbreiden. Als die zonder de juiste controles worden ingezet, kan AI kwetsbaarheid toevoegen in plaats van veerkracht.

Tenslotte onderschatten veel organisaties het belang van betrokkenheid van de workforce. De beveiligingspraktijken die elke dag beveiligingsoperaties uitvoeren, weten waar de wrijving zit en wat “goed” betekent. De sterkste transformaties brengen die teams vanaf het begin bij het proces, zodat de technologie hun oordeel versterkt in plaats van verstoort.

Als we drie tot vijf jaar vooruitkijken, hoe ziet het AI-natieve beveiligingsoperatiecentrum eruit in vergelijking met de huidige SOC-omgevingen?

Nou, het zal waarschijnlijk heel anders zijn, op veel manieren die ik niet kan voorspellen. Waarschijnlijk zal de toekomstige SOC opereren als een hybride menselijke en digitale workforce. AI-systemen zullen het grootste deel van de gegevensverwerking, correlatie en initiële responsactiviteit afhandelen. Agente-systemen zullen helpen bij het automatiseren van workflows over kwetsbaarheidsbeheer, identiteitsbeheer, incidentrespons en continue controlebewaking.

Menselijke analisten blijven essentieel, maar het zwaartepunt verschuift: toezicht houden op AI-systemen, detectie-use-cases valideren (in plaats van ze te schrijven), complexe bedreigingen onderzoeken en de defensieve architectuur verbeteren.
Het doel is niet om mensen te verwijderen, maar om hun rollen te verheffen. In plaats van tijd te besteden aan het triëren van alerts en het handmatig assembleren van gegevens, zullen analisten zich richten op de strategische aspecten van cybersecurity. De vraag zal zijn: “Hoe zullen we de volgende generatie beveiligingsprofessionals trainen als niveau 1 en 2 volledig geautomatiseerd zijn?” Misschien ligt het antwoord in de dramatische verbetering van simulatie- en trainingsmogelijkheden die AI ons kan helpen ontwikkelen.

De organisaties die successfully builds a successful hybrid workforce, combining human expertise with AI-driven automation, will likely be best positioned to operate at the speed required in the modern threat environment.

Bedankt voor het geweldige interview, lezers die meer willen leren, kunnen Deloitte bezoeken of ons eerder interview lezen.