AI verandert de machtsverhouding tussen cyber-criminelen en verdedigers. Waar aanvallers vroeger technische expertise en veel tijd nodig hadden om een geloofwaardige phishing-campagne, malware of een gerichte aanval op te zetten, kunnen AI-modellen een aanzienlijk deel van dat werk automatiseren.

Ook minder ervaren aanvallers kunnen daardoor relatief snel phishing-berichten in verschillende talen genereren, malware-code ontwikkelen of zich digitaal als iemand anders voordoen. Tegelijk kunnen grote aantallen unieke aanvallen worden opgezet waardoor traditionele security teams steeds moeilijker iedere waarschuwing afzonderlijk kunnen onderzoeken.

Voor verdedigers biedt dezelfde technologie echter schaalvoordelen. AI-systemen kunnen signalen uit onder meer identity-management, e-mail, endpoints en cloud-omgevingen automatisch combineren. Onderzoeken die manueel uren in beslag nemen, kunnen daardoor sterk worden versneld.

De rol van security-analisten verschuift daarbij van het verwerken van grote hoeveelheden alerts naar het beoordelen van complexere incidenten en nieuwe aanvalstechnieken.

Ransomware wordt verder geïndustrialiseerd

Die versnelling is duidelijk zichtbaar bij ransomware. De ransomware-markt heeft zich de voorbije jaren ontwikkeld tot een professioneel ecosysteem waarin ontwikkelaars hun infrastructuur en malware via Ransomware-as-a-Service aanbieden aan andere cyber-criminelen.

Daardoor hoeft degene die een aanval uitvoert niet noodzakelijk zelf over diepgaande technische expertise te beschikken. AI verlaagt die toegangsdrempel verder doordat bepaalde onderdelen van een aanval sneller kunnen worden ontwikkeld of aangepast.

Belangrijk gevolg is de dalende zogenaamde dwell time: de periode tussen het eerste binnendringen in een organisatie en de uiteindelijke impact van de aanval.

Aanvallen waarvoor vroeger dagen of weken nodig waren, kunnen steeds sneller worden uitgevoerd. Daardoor wordt niet alleen detectie belangrijk maar vooral de snelheid waarmee organisaties na een detectie kunnen reageren. Wanneer een security team uren nodig heeft om een incident te onderzoeken terwijl een aanvaller binnen minuten kritieke systemen kan versleutelen, volstaat een goede detectie op zichzelf niet meer.

Meer security-analisten aannemen is niet schaalbaar

Ook het traditionele personeelsmodel binnen cybersecurity komt hierdoor onder druk te staan. Security teams kregen jarenlang meer medewerkers wanneer het aantal waarschuwingen toenam. Door de sterke stijging van het aantal alerts is dat volgens Khan geen houdbare strategie meer.

Niet alleen groeien security-budgetten minder snel dan het aantal mogelijke incidenten, er blijft bovendien een tekort aan gespecialiseerde security professionals.

Wanneer hooggekwalificeerde medewerkers een groot deel van hun tijd besteden aan vals-positieven en repetitieve controles, vergroot bovendien de kans op hoge werkdruk en personeelsverloop. Organisaties verliezen daardoor niet alleen medewerkers maar ook opgebouwde kennis over hun eigen infrastructuur en dreigingslandschap.

AI en automatisering moeten daarom vooral het repetitieve analysewerk overnemen. Security-specialisten kunnen zich vervolgens concentreren op taken waarbij menselijke beoordeling, context en besluitvorming noodzakelijk blijven.

Identiteit wordt de nieuwe perimeter

Tegelijk verandert ook wat precies beveiligd moet worden. Traditionele cybersecurity was sterk rond het bedrijfsnetwerk georganiseerd. Organisaties beschermden hun netwerkgrenzen en beschouwden systemen en gebruikers binnen die perimeter grotendeels als betrouwbaar.

Cloud computing, SaaS-toepassingen en hybride werken hebben dat model grotendeels doorbroken.

Identiteit neemt daardoor steeds meer de functie van de vroegere netwerkperimeter over. Aanvallers hoeven niet noodzakelijk technisch binnen te breken wanneer ze geldige gebruikersgegevens kunnen bemachtigen. Phishing, gestolen wachtwoorden, sessie-cookies en andere vormen van identity compromise worden daardoor belangrijker.

Security-architecturen moeten volgens Barracuda daarom signalen uit verschillende domeinen gezamenlijk beoordelen in plaats van netwerk-, identity-, endpoint- en e-mail beveiliging als afzonderlijke silo's te behandelen.

Cybersecurity-functies veranderen mee

De opkomst van AI heeft ook gevolgen voor de vaardigheden die cybersecurity professionals nodig hebben.

Repetitieve startersfuncties, zoals het manueel beoordelen en filteren van grote aantallen SOC-alerts, behoren tot de taken die relatief gemakkelijk kunnen worden geautomatiseerd. Technische medewerkers die zelf automatiseringen kunnen bouwen, API's kunnen koppelen en AI-agents kunnen inzetten binnen security workflows worden daardoor belangrijker.

Kennis van programmeertalen zoals Python, AI-modellen en agentic workflows wordt zo een aanvulling op klassieke security-kennis.

De fundamentele uitdaging voor organisaties verschuift daarmee. Het gaat niet alleen meer om sneller cyber-aanvallen detecteren maar om security-processen zo te organiseren dat machines het volume en de snelheid kunnen verwerken terwijl menselijke experts zich concentreren op uitzonderingen en beslissingen waarvoor context en expertise noodzakelijk blijven.

(+ VISUAL)

(Adam Khan, vice-president Global Security Operations bij Barracuda)