IT-Realiteit

Zero Trust is geen product. En zeker geen knop die je omzet zodra je Zscaler, Cloudflare of Microsoft hebt afgevinkt in je architectuur. Toch doen we alsof het zo werkt. We kopen tooling, zetten het op een slide en noemen het “Zero Trust implementatie”. Klaar. Veilig. Gecontroleerd. Alleen klopt het niet. Zero Trust is geen technologie, het is een principe dat behoorlijk ongemakkelijk is als je het serieus neemt. Het zegt eigenlijk: vertrouw niets standaard, ook niet wat je al 20 jaar “intern veilig” noemt. En daar wringt het. Want in de praktijk blijkt: legacy systemen willen niet meedoen rechten zijn historisch gegroeid in plaats van ontworpen en gemak wint het vaak van beveiliging Dus wat doen we? We plakken er een platform overheen en hopen dat het gedrag verandert. Dat is geen transformatie, dat is cosmetica met een security label. De industrie helpt daar niet altijd bij. “Zero Trust ready”, “Zero Trust enabled”, “Zero Trust platform”. Het klinkt goed in sales decks, maar het verbergt de echte vraag: heb je je fundamentele aannames eigenlijk wel veranderd? Zero Trust wordt pas echt interessant als het pijn doet. Als je privileges moet afpakken. Als je legacy moet isoleren in plaats van negeren. Als je moet accepteren dat vertrouwen nooit statisch is geweest, maar altijd al een risico-inschatting. De waarheid is simpel, maar niet populair: Zero Trust koop je niet. Je bouwt het. En je blijft het opnieuw uitvinden. Alles daarbuiten is vooral geruststellende marketing.

Stop met interne ontwikkelteams bouwen als je software niet je product is Veel organisaties praten eindeloos over “waarde toevoegen voor de business”. Vervolgens bouwen ze een intern ontwikkelteam en noemen dat strategie. Dat is een beetje alsof je een eigen bakkerij begint omdat je af en toe een brood nodig hebt. Het ruikt professioneel, maar de rekensom klopt zelden. De realiteit is vrij simpel. Een intern ontwikkelteam moet continu werk hebben. Ontwikkelaars die niets bouwen zijn namelijk dure decoratie. Dus wat gebeurt er? Er wordt maatwerk gebouwd omdat het kan. Niet omdat het moet. En voor je het weet staat er een landschap vol systemen die alleen bestaan omdat er een team was dat iets wilde maken. Een regiemodel draait dat om. Daar zit de waarde niet in bouwen, maar in begrijpen. In het vertalen van de vraag van de business naar een oplossing. Soms is dat standaardsoftware. Soms een uitbreiding van een platform. Soms maatwerk. Alleen wordt dat maatwerk dan gebouwd door externe partijen. Dat heeft twee voordelen waar verrassend weinig organisaties eerlijk naar kijken. Capaciteit wordt flexibel. En de kosten van maatwerk landen bij de juiste kostendrager, in plaats van ergens verstopt in het IT-budget waar niemand ze nog terugziet. De ongemakkelijke waarheid: voor de meeste organisaties is software bouwen geen kernactiviteit. Regie voeren wel.

Iedereen heeft een mening over Chinese hardware. “Geen Huawei in mijn netwerk.” “Kwestie van security.” “Kwestie van principes.” Klinkt daadkrachtig. Tot je iets verder kijkt. De chips in je “veilige” netwerkapparatuur? Grote kans dat ze uit dezelfde regio komen. De firmware? Ontwikkeld door teams verspreid over de hele wereld. De risico’s? Die stoppen niet bij een landsgrens. En dan de interessante vraag die bijna niemand hardop stelt: Vertrouw je een Chinese leverancier niet vanwege mogelijke staatsinvloed… maar ga je er wél vanuit dat Amerikaanse vendors volledig buiten het bereik van hun overheid opereren? Dat is geen securitystrategie. Dat is selectief vertrouwen. Ondertussen voeren we discussies over merken, terwijl het echte probleem ergens anders zit: We bouwen infrastructuren die ervan uitgaan dat leveranciers te vertrouwen zijn. Terwijl de enige realistische aanname zou moeten zijn dat dat niet zo is. Dus misschien is de vraag niet: “Moeten we Huawei weren?” Maar: “Waarom ontwerpen we nog steeds systemen die instorten zodra één leverancier faalt of gecompromitteerd raakt?” Vendor-keuze voelt als controle. Architectuur ís controle. En dat verschil bepaalt uiteindelijk je risico.

Gratis tot 50.000 gebruikers? Of het begin van een dure gewoonte? Steeds meer teams starten met Microsoft Entra External ID zonder echt stil te staan bij wat ze kiezen. Want het werkt, het is snel, en het kost… voorlopig niets. Maar identity is geen feature. Het is je fundament. En precies daar gaat het vaak mis. Wat begint als een slimme, snelle keuze, groeit ongemerkt uit tot iets waar je lastig van loskomt. Kosten, afhankelijkheden en architectuurkeuzes komen pas in beeld als je eigenlijk al te ver bent. De vraag is dus niet: werkt het vandaag? De vraag is: past het nog over drie jaar? Ik heb het uitgewerkt in een artikel waarin ik de voor- en nadelen naast elkaar zet. Met één duidelijke boodschap: Bezin voor je begint. #Entra #CIAM #ITarchitectuur

AI vindt 10.000 kwetsbaarheden. En nu? De securitywereld applaudisseert voor AI die bugs op industriële schaal kan vinden. Klinkt indrukwekkend. Is het ook. Maar laten we de ongemakkelijke vraag stellen: Wat verandert er precies als organisaties vandaag al duizenden bekende kwetsbaarheden open hebben staan? Security heeft al lang geen discovery-probleem meer. Security heeft een executieprobleem. Meer findings betekenen niet automatisch meer veiligheid. Ze betekenen ook meer triage, meer patchdruk, meer ruis en nog meer dashboards die suggereren dat inzicht hetzelfde is als controle. AI legt daarmee vooral iets pijnlijks bloot: We zijn geweldig geworden in het vinden van problemen. Maar opvallend middelmatig in het oplossen ervan. Misschien moeten we dus stoppen met juichen over hoeveel kwetsbaarheden AI kan vinden… …en beginnen met vragen hoeveel organisaties er daadwerkelijk iets mee doen. Want 10.000 gevonden kwetsbaarheden zijn geen overwinning. 10.000 opgeloste misschien wel.

AI schuift sneller richting geopolitiek terrein dan veel mensen doorhebben. De afgelopen dagen zagen we hoe Anthropic’s nieuwe Fable 5 en Mythos 5 modellen vrijwel direct na release weer wereldwijd werden uitgeschakeld, na een Amerikaanse exportcontrole die toegang voor buitenlandse gebruikers én zelfs buitenlandse medewerkers blokkeerde. Dat is geen detail. Dat is een signaal. AI wordt niet langer behandeld als “software in de cloud”, maar als strategische infrastructuur. Net als chips en energie begint toegang tot modellen onderdeel te worden van nationale veiligheid. Tegelijk zie je de kloof in benadering groeien. In de VS wordt AI steeds nadrukkelijker gekoppeld aan concurrentiekracht en geopolitieke positie. In Europa blijft de focus vooral liggen op regulering en risico’s. Beide zijn terecht, maar samen creëren ze een ongemakkelijke asymmetrie: wie bepaalt de technologie, en wie bepaalt alleen de regels eromheen? Dit is niet hetzelfde als de cloud-revolutie van twintig jaar geleden. Toen ging het om infrastructuur. Nu gaat het om cognitieve capaciteit: systemen die werk, analyse en besluitvorming steeds vaker mede bepalen. De echte vraag is dus niet of AI belangrijk wordt. Die is al beantwoord. De vraag is wie er straks nog toegang heeft tot de meest geavanceerde vormen ervan, en onder welke voorwaarden. En dat is geen technologiediscussie meer. Dat is machtspolitiek in softwarevorm.

Frankrijk wil af van Windows en overstappen op Linux. Niet omdat Linux ineens magisch beter is. Maar omdat afhankelijk zijn van één partij zoals Microsoft een strategisch risico begint te worden. Klinkt logisch. Tot je het probeert. Want dit is geen IT-migratie. Dit is een ingreep in alles: systemen, processen, mensen. De realiteit? De meeste organisaties krijgen nog geen eenvoudige cloudmigratie zonder gedoe afgerond. Laat staan dat ze hun hele werkplek-ecosysteem opnieuw uitvinden. Dus wat gebeurt hier echt? We zien een verschuiving van “wat werkt het beste” naar “waar willen we afhankelijk van zijn”. En dat is interessant. Want die vraag stellen we in de meeste organisaties veel te weinig. Niet: Welke tooling is het handigst? Maar: Welke afhankelijkheden accepteren we eigenlijk? Frankrijk dwingt zichzelf om die vraag wél te beantwoorden. Met alle risico’s van dien. Of dit succesvol wordt? Waarschijnlijk half. Maar het zet wel iets in beweging waar we niet meer omheen kunnen. 👉 Lees het volledige artikel hier: [link]

Hybrid Join is vaak geen strategie. Het is een workaround. Veel organisaties willen naar volledig Entra Joined Windows 11-devices, Intune en passwordless. Maar één hardnekkige blokkade hield ze tegen: legacy on-prem resources die nog steeds Kerberos verwachten. Dus bleef Hybrid Join in leven. Niet omdat het mooi is. Maar omdat fileshares, printers en legacy apps nog niet mee waren. Microsoft Entra Kerberos verandert daar iets fundamenteels in. Cloud-native devices kunnen Kerberos-tickets krijgen voor on-prem resources, zonder dat je devices in twee identity-werelden hoeft te blijven hangen. Dat betekent minder architectuur-compromissen, minder Hybrid Join-afhankelijkheid en eindelijk een realistischer pad naar modern endpointbeheer. De echte vraag is dus niet meer: hebben we Hybrid Join nodig? Maar: houden we het nog in stand omdat legacy dat écht vereist… of omdat we gewend zijn geraakt aan de workaround? #MicrosoftEntra #Kerberos #Windows11 #Identity #ModernWorkplace

Iedereen wil ineens “iets met AI”. Niemand wil de businesscase maken. Want dan komen de ongemakkelijke vragen: Hoeveel extra beheer krijg je erbij? Wie controleert hallucinerende output? Wat kost compliance? Welke processen zijn eigenlijk al kapot vóór je AI toevoegt? En levert het onderaan de streep écht iets op? Veel AI-projecten draaien momenteel op een mix van boardroomdruk, FOMO en LinkedIn-paniek. Alsof je een strategie bouwt op basis van applaus en keynote-slides. De pijnlijke realiteit: een slecht proces wordt niet slim door er AI bovenop te plakken. Het wordt sneller slecht. De organisaties die straks echt winnen met AI zijn waarschijnlijk niet degene die het hardst “AI-first” roepen, maar degene die saai genoeg zijn om eerst de rekensom te maken. Dat leest een stuk minder futuristisch. Wel opvallend goedkoper.

Nederland draait op Amerikaanse tech. Dit is de rekening. Het nieuws dat Microsoft gegevens van Nederlandse ambtenaren heeft gedeeld met Amerikaanse autoriteiten wordt nu behandeld alsof het een incident is. Dat is het niet. Dit is gewoon de realiteit van een overheid die haar digitale fundament grotendeels op buitenlandse technologie heeft gebouwd. We doen in Europa graag alsof data in Europese datacenters automatisch betekent dat we controle hebben. Maar als de juridische sleutel ergens anders ligt, is dat vooral een geruststellende illusie. En daar zit de pijn. Onze overheid, onze werkplekken, onze identiteiten, onze data, onze processen… draaien massaal op Amerikaanse ecosystemen. Niet omdat bestuurders dom zijn, maar omdat die technologie jarenlang beter, sneller en schaalbaarder was dan Europese alternatieven. Dat is de ongemakkelijke waarheid.

AI vindt sneller. Organisaties blijven trager. En dáár zit het echte beveiligingsprobleem. AI vindt kwetsbaarheden sneller dan ooit, maar daar zit niet automatisch de winst. Want een lek dat in minuten wordt ontdekt en pas weken later wordt opgelost, blijft gewoon een open risico. We praten in cybersecurity graag over detectie, slimme tooling en AI, maar het echte probleem zit vaak in de tijd daarna. Niet het vinden van de kwetsbaarheid, maar het dichten ervan blijkt de zwakste schakel. En misschien is dat wel de ongemakkelijke waarheid: we worden steeds beter in zien wat er mis is, terwijl de organisatie erachter nog niet altijd sneller handelt. In mijn nieuwste artikel kijk ik naar het gat tussen ontdekking en remediatie, waarom dat risico groter wordt in een AI-tijdperk en welke oplossingen dat gat kunnen verkleinen zonder nieuwe problemen te creëren. Want security draait uiteindelijk niet om wat je weet, maar om hoe lang je ermee blijft zitten.

Als je haast hebt, ga dan even zitten, misschien is dat het beste AI-advies van dit moment. Iedereen wil agents bouwen. Agents op workflows. Agents op rapportages. Agents die weer andere agents aansturen alsof we collectief hebben besloten om managementlagen opnieuw uit te vinden, maar dan duurder en met tokenkosten. Maar de echte vraag is: Heb je hier überhaupt AI voor nodig? Veel processen zijn niet “te dom”. Ze zijn gewoon slecht georganiseerd. Die Excel-rapportage die elke week stukloopt? Dat los je vaak beter op met normale automation dan met een AI-agent die drie API’s, een vector database en existentiële onzekerheid nodig heeft om een CSV te lezen. Niet elk probleem vraagt om AI. Soms vraagt het om structuur, discipline en een keer eerlijk kijken naar je proces zonder eerst “agentic framework” te roepen op LinkedIn. Minder AI blijkt verrassend vaak beter werk.

Digitale soevereiniteit is ineens hét onderwerp. Minder afhankelijk van Microsoft. Meer controle over onze data. Strategisch volwassen worden. Klinkt goed. Tot je het serieus neemt. Want echte onafhankelijkheid betekent dat je afscheid neemt van wat vandaag gewoon werkt. Dat je accepteert dat productiviteit daalt. Dat je jarenlang bezig bent met iets waarvan je niet zeker weet of het beter wordt. En precies daar haakt iedereen af. De meeste organisaties willen namelijk geen onafhankelijkheid. Ze willen stabiliteit. Voorspelbaarheid. Systemen die het gewoon doen zonder gedoe. Dus blijven we waar we zitten. En noemen we dat “strategie”. In mijn nieuwste artikel trek ik dat verhaal verder uit elkaar. Niet hoe het zou moeten, maar hoe het daadwerkelijk zit.

Cyberrisico’s zitten al in de boardroom. De CISO vaak nog niet. In veel organisaties wordt de CISO nog steeds ergens onder IT geplaatst. Logisch misschien, want security komt uit de techniek. Maar de risico’s waar de CISO voor waarschuwt zijn allang geen IT-problemen meer. Ransomware legt productie stil. Datalekken raken reputatie en juridische aansprakelijkheid. Manipulatie van data kan direct impact hebben op besluitvorming. Dat zijn geen technische incidenten. Dat zijn bedrijfsrisico’s. Toch verwachten we van de CISO dat hij of zij die risico’s bewaakt, terwijl de strategische keuzes vaak elders worden gemaakt. Dan ontstaat een vreemd model: de persoon die het cyberrisico moet duiden zit niet aan de tafel waar het risico wordt geaccepteerd. De echte vraag is daarom niet of de CISO formeel in de board moet zitten. De echte vraag is deze: als cyberrisico’s een strategisch risico zijn, waarom behandelen we de functie die dat risico bewaakt dan nog zo vaak als een IT-rol? #cybersecurity #ciso #governance

Mensen willen altijd iets “slims” zeggen over security. Zero trust. AI. XDR. Buzzword bingo waar je een halve consultancy op kunt laten draaien. Ondertussen ligt de basis nog steeds te rotten. Signing keys die jaren blijven bestaan. Private keys die ergens op een server staan “voor het gemak”. Geen idee wie er toegang toe heeft. Geen rotatie. Geen monitoring. Maar wel doen alsof je security volwassen is omdat je een mooi dashboard hebt. Realiteit: als je je signing keys niet onder controle hebt, is alles wat je daarna bouwt cosmetisch. Dan vertrouwt je hele omgeving op aannames die je niet kunt waarmaken. En het pijnlijke is, dit is geen complex probleem. Het is geen innovatievraagstuk. Het is discipline. Structuur. Gewoon doen wat al twintig jaar bekend is. Maar dat verkoopt niet lekker. Dus schuiven we het voor ons uit en investeren we liever in iets wat wél indruk maakt in een boardroom. Tot het een keer misgaat. En dan blijkt ineens dat je geen securityprobleem had, maar een fundamentprobleem.

Iedereen wilde Kubernetes. Niemand wilde de complexiteit die erbij kwam. Dus bouwden we massaal platformen die alleen nog te begrijpen zijn door specialisten die je óf niet kunt vinden, óf niet kunt betalen. En nu, jaren later, komt het inzicht: misschien hadden we helemaal geen Kubernetes nodig. Misschien wilden we vooral niet achterblijven. De meeste organisaties hebben geen hyperscale-probleem. Ze hebben een focusprobleem. Te veel tijd naar infrastructuur. Te weinig naar waarde leveren. Kubernetes is niet het probleem. De reflex om het overal op te plakken wel. De echte volwassen stap in IT? Niet kiezen wat het krachtigst is. Maar wat het simpelst werkt. Alles daarboven is vaak gewoon technisch ego.

Identity provisioning wordt opnieuw “simpel” genoemd met SCIM 2.0 in Microsoft Entra. Maar in veel organisaties verandert er minder dan de aankondiging doet vermoeden. SCIM 2.0 in Microsoft Entra ID is technisch gezien een nette stap vooruit. Standaard API’s, JSON, betere foutafhandeling, en eindelijk minder afhankelijkheid van maatwerk connectors richting SaaS-platformen zoals Salesforce en ServiceNow. Alleen… dat is de buitenkant. In de praktijk draait identity in veel omgevingen nog steeds om een lokale Active Directory die leidend is, met synchronisatie via Entra Connect richting de cloud. En precies daar ontstaat de spanning die geen enkele SCIM-update oplost. Want SCIM optimaliseert distributie, niet eigenaarschap. Het maakt provisioning consistenter, maar het verandert niets aan de fundamentele vraag: waar ligt de bron van waarheid? HR, AD, of Entra? Zolang dat niet helder is, automatiseer je vooral de verspreiding van inconsistentie. Dat is ook de ongemakkelijke realiteit achter veel “modern IAM”-trajecten. Nieuwe standaarden worden toegevoegd bovenop bestaande structuren, zonder dat de onderliggende architectuur opnieuw wordt bekeken. Het resultaat is vaak geen eenvoud, maar gestandaardiseerde complexiteit. SCIM 2.0 is daarmee geen eindpunt, maar een spiegel. Het laat vooral zien hoe volwassen of hoe versnipperd je identity-landschap eigenlijk is. Wie dit goed wil inzetten, moet minder kijken naar wat de technologie kan, en meer naar wat de architectuur toelaat.