Arjen van der Meer, Sophos: 'AI dwingt security operations naar een nieuw model'

“De wereld van platformen zoals wij die kennen, biedt onvoldoende integratiemogelijkheden”, zegt van der Meer. “De verschillende databronnen worden onvoldoende op een laag niveau geïntegreerd, waardoor het erg lastig is om op dreigingen te acteren en ze tijdig te herkennen.”  

De link met Gartner IT Symposium/Xpo in Barcelona ligt voor Sophos bij de marktontwikkeling rond Integrated Security Operations Center Solutions. Gartner gebruikt die categorie voor oplossingen die threat detection, investigation and response samenbrengen in één geïntegreerde benadering. Voor van der Meer raakt dat direct aan wat klanten nu vragen: minder versnippering, meer handelingssnelheid en een manier om securityteams niet te laten vastlopen in volume.

“Cybersecurity gaat een stuk verder dan beheren vanuit een unified omgeving”, zegt hij. “De mens bleef altijd nog een factor van belang, maar ook een vertragende factor. Omdat de wereld zo snel wordt, ook met AI, kun je als menselijk SOC niet meer alle dreigingen tijdig mitigeren.”

Van beheer naar verdediging

Sophos positioneert zijn aanpak daarom niet als een extra beheerlaag, maar als een cyberdefense system. De overname van Secureworks speelde daarin volgens van der Meer een belangrijke rol, vooral door het onderliggende platform en de datalaag die daarmee beschikbaar kwamen. “Het platform heeft ons in staat gesteld om wat wij nu Sophos FUSION noemen uit te brengen”.

De verschuiving is volgens hem belangrijk omdat klanten niet meer alleen zoeken naar een product dat een specifiek probleem oplost. “Wij verkopen eigenlijk allang geen technologie meer”, zegt van der Meer. “Als een organisatie zich strategisch voor meerdere jaren aan je wil binden, is daar vertrouwen voor nodig.”

In gesprekken met klanten draait het steeds vaker om voorspelbaarheid. “De vraag van veel CIO’s en CISO’s was de afgelopen jaren: kunnen jullie de ontwikkelingen bijhouden?”, zegt hij. “Hoe zorg je dat je het iedere keer goed hebt, en dat ik het van jullie hoor als het fout gaat en niet in de krant moet lezen?”

Van der Meer ziet dat geavanceerde modellen niet alleen worden gebruikt om te verdedigen, maar ook om sneller kwetsbaarheden te vinden en aanvallen voor te bereiden. “Meer geavanceerde modellen kunnen in seconden een vulnerability ontdekken in broncode en daar ook een exploit op bouwen”.

Daarmee verandert ook het begrip tijd in cybersecurity.  

“Een vulnerability en de bijbehorende exploit kunnen binnen seconden worden ingezet door hackers die daar geld voor over hebben. Ze hoeven zelf ook niet heel slim te zijn. Ze hoeven alleen toegang tot omgevingen te hebben, en die kun je tegenwoordig ook gewoon kopen.”

Snelheid als dreiging

Gevraagd naar de belangrijkste dreiging voor organisaties noemt van der Meer niet één aanvalsvorm, maar het tempo waarin het geheel zich ontwikkelt. AI vergroot de slagkracht van verdedigers, maar maakt dezelfde versnelling beschikbaar voor aanvallers. “De snelheid is eigenlijk de grootste dreiging nu”, zegt hij.

Daarbij kijkt Sophos niet alleen naar technologie, maar ook naar de context waarin modellen worden ontwikkeld en gebruikt. “We leven nu in een wereld waarin AI niet alleen aan de goede, maar ook aan de kwade kant ter beschikking wordt gesteld.  Daarom moeten organisaties hun verdedigingsmodel aanpassen aan een realiteit waarin aanvallen sneller, goedkoper en toegankelijker worden.”

Integrated SOC

De categorie Integrated SOC past volgens van der Meer bij die ontwikkeling, omdat losse technologieën niet meer voldoende zijn. “Securitydata moet niet alleen zichtbaar zijn, maar ook direct bruikbaar worden voor detectie, analyse en respons. Dat vraagt om integratie op een dieper niveau dan alleen een centrale interface. Dus dat Integrated SOC, zoals Gartner dat noemt, is een vereiste op weg naar de toekomst. En die toekomst begint eigenlijk al nu.”

Een van de centrale begrippen in het Sophos-verhaal is human-on-the-loop. “We kunnen dit niet zonder mens. Maar het klassieke uitgangspunt van human-in-the-loop werkt niet altijd meer wanneer het aantal signalen stijgt en de tijd om te reageren afneemt. Dat maakt de mens de beperkende schakel. Daarom laten we het systeem in bepaalde gevallen autonoom handelen.”

“Wij hebben met onze generatieve modellen in ons cyberdefense system nu de capaciteit om 52 procent van de remediation zonder menselijke handelingen uit te voeren. Binnen 89 seconden gemiddeld. Die resterende 48 procent, daar is menselijke beoordeling en een menselijk besluit voor nodig.”

Niet alles automatisch

Het onderscheid tussen automatische actie en menselijke beoordeling is volgens van der Meer essentieel. “In sommige gevallen kan een systeem snel en verantwoord ingrijpen. In andere gevallen kan een ingreep meer schade veroorzaken dan de dreiging zelf. Je kunt niet alles aan AI overlaten, want dan leggen we binnen milliseconden een heel bedrijf plat.” Daarom wordt de mens niet uit het proces gehaald, maar op een ander moment betrokken. Het systeem doet het voorbereidende werk en schakelt de analist in wanneer context en verantwoordelijkheid nodig zijn.

Zelf doen of uitbesteden

Voor klanten ziet Sophos twee routes. Organisaties met een eigen SOC kunnen gebruikmaken van de technologie en modellen binnen de Sophos-omgeving. Zij houden dan hun eigen operationele verantwoordelijkheid, maar profiteren wel van automatisering en detectiecapaciteit. De tweede route is Managed Detection and Response. Die is bedoeld voor organisaties die niet zelf continu de capaciteit willen of kunnen organiseren om dreigingen op te volgen.

Volgens van der Meer verandert ook de focus van detectie. Technologie die bekende kwetsbaarheden en patronen vindt blijft nuttig, maar is niet voldoende voor een markt waarin AI onbekende aanvalspaden sneller kan blootleggen. “Vroeger hadden we vulnerability detection and response. Dat is zeer nuttige technologie. Maar er komt een nieuwe wereld aan waarin het vinden van bekende dreigingen eigenlijk geen rol meer speelt. Je moet een onbekende dreiging zien te vinden. En dat doe je met geïntegreerde security operations.”