Waarom de boardroom nu zélf de CISO belt

Van ad-hoc crisismanagement naar langetermijnstrategie

De enterprise-markt bevindt zich in een fundamenteel andere fase dan enkele jaren geleden. "Toen ik twee jaar geleden binnenkwam, zaten we nog in de staart van de COVID-dynamiek," blikt Karen Weebers terug. "Iedereen stond in de rij om thuiswerkers snel te beschermen. Het was ad-hoc en gedreven door korte-termijnbehoeften. Inmiddels is er een wereldwijde verschuiving gemaakt naar de lange termijn, zowel in onze eigen teams als bij onze partners en klanten."

Het klassieke security-denken binnen de 'vier muren van het kantoor' is definitief verleden tijd. Organisaties zijn massaal overgegaan naar een model dat gebruikers, workloads en remote locaties naadloos verbindt. Dat brengt echter nieuwe complexiteit met zich mee, waarbij CIO's en CISO's worstelen met een wildgroei aan point-solutions (ook bekend als tool sprawl).

De paradox van AI: innovatiedrang versus Shadow AI

De absolute hoofdtoon in Wenen wordt gevoerd door kunstmatige intelligentie. Volgens Weebers is AI in een stroomversnelling geraakt die zijn weerga in haar dertigjarige carrière niet kent.

"Vroeger moesten we op de deur kloppen van de boardroom en kregen we weken later een keer gehoor. Nu bellen bestuursleden míjn team op met de vraag: 'Kom het uitleggen en zeg maar wanneer.' AI is in een vogelvlucht een absoluut board-issue geworden."
Hierbij is een duidelijke paradox zichtbaar tussen de innovatiedrang van de business (en de CEO) en de risico-afweging van de CISO. Weebers waarschuwt voor de risico's van Shadow AI: "Ik sprak hier op de beursvloer een CISO die zei dat ze er nog niet zo mee bezig waren. Dan zeg ik: jij misschien niet, maar je medewerkers wel. Als het niet op de bedrijfscomputer mag, dan doen ze het wel op hun privé-device. Je kop in het zand steken werkt niet; je moet faciliteren binnen veilige kaders."

Zscaler benadert dit via twee lenzen: AI als product waartegen je moet beschermen (dataverlies voorkomen via bijvoorbeeld Agentic AI connectors), en AI als security-instrument om sneller dreigingen te detecteren. De eerste stap voor organisaties is het simpelweg in kaart brengen van de assets: wie gebruikt welke AI-toepassing en op welke manier?

Platformconsolidatie: weg met de legacy technical debt

Een andere grote frustratie onder IT-beslissers is de complexiteit en de kosten van verouderde infrastructuren. CISO's kiezen steeds vaker resoluut voor platformconsolidatie om afscheid te nemen van hun technical debt.

"Een platform is een mooi uitgangspunt, al pretenderen wij niet álles te doen; we opereren nadrukkelijk in een ecosysteem," nuanceert Weebers. Het fundamentele verschil zit volgens haar in de architectuur. Veel traditionele vendors claimen een platform te zijn, maar leveren 'bootstrapped' on-premise oplossingen onder een nieuwe marketingnaam. Zero Trust vereist echter een compleet andere manier van denken.

De businesscase voor een modern cloud-native platform is volgens de Benelux-VP klip-en-klaar:

• Eenvoud: Het fysiek vervangen van firewalls en traditionele VPN-hubs reduceert de complexiteit drastisch.
• Kostenbesparing: Grote 'cost-takeout' trajecten hoeven geen jaren te duren. "In de grote businesscases zien we dat organisaties al binnen een paar weken of maanden substantiële besparingen realiseren."

Digitale gebruikerservaring (DEM) en de C-level test

Security mag de business niet vertragen. Daarom is het optimaliseren van de digitale gebruikerservaring (Digital Experience Monitoring, ofwel DEM via Zscaler Digital Experience) een strategisch doel geworden. Businessgebruikers en IT-beslissers willen geen cryptische logbestanden, maar intuïtieve dashboards die direct inzicht bieden.

Weebers illustreert dit met een praktijkvoorbeeld uit de Benelux-regio: "Een grote internationale klant had een servicecenter in mijn regio. De laptop van een C-level executive functioneerde niet naar behoren. Als de IT-afdeling dan niet binnen enkele seconden de vinger op de zere plek kan leggen, is de frustratie enorm. Door onze monitoring aan te zetten, zagen ze direct waar de bottleneck zat — het lag niet aan de security of het bedrijfsnetwerk, maar aan de lokale internetverbinding. Het snel en autonoom kunnen aanwijzen van de oorzaak, zonder dat je een diepgaande techneut hoeft te zijn, is cruciaal om de business mee te krijgen."

Europese Realiteit: NIS2 en Soevereiniteit

Tot slot blijft de Europese wet- en regelgeving, met compliance-richtlijnen zoals NIS2, een continu agendapunt voor de Benelux-markt. Zscaler speelt hierop in met specifieke governance- en compliance-tools die breder kijken dan alleen de EU AI Act.

Ook digitale soevereiniteit blijft een 'hot topic', met name binnen de overheid en vitale sectoren. "Europa moet zich hier absoluut mee bezig blijven houden," stelt Weebers. "We zijn hierin proactief partnerschappen aangegaan. De Nederlandse overheid was begin dit jaar positief verrast over onze benadering op het gebied van soevereiniteit. Ze zeiden: 'Goh, jullie zijn de eersten die proactief het gesprek met ons aangaat.' Dat was een mooi compliment."

De takeaway: terug naar de basis

Ondanks de geavanceerde discussies over AI en soevereiniteit in Wenen, blijft de belangrijkste boodschap van Weebers aan IT-Nederland verrassend nuchter: educatie en inzicht in de basis.

"Er is een enorme tweedeling. Sommige klanten lopen voorop en zijn al volop bezig met AI-governance. Maar ik spreek nog genoeg organisaties waar we het concept van Zero Trust of basale netwerkzichtbaarheid vanaf de grond moeten uitleggen. De reis is voor iedereen anders, maar het begint altijd bij dezelfde vraag: weet je daadwerkelijk wat je in huis hebt en hoe alles geconnecteerd is?"