De slimme CIO: Aflevering 5 – „Omgaan met onzichtbare uitgaven”

Mark Dunkerley: Ik kan wel 20 jaar teruggaan, en de verborgen kosten waren toen nog vrij traditioneel: „Oh, ik heb een server nodig, ik heb opslagruimte nodig.” En dat is de ouderwetse manier. Plotseling, in de afgelopen vijf, tien jaar, is iedereen overgestapt naar de cloud. Tegenwoordig is AI natuurlijk het grootste onderwerp. Ik denk niet dat iemand weet hoe je de kosten van AI moet berekenen. Als we daar naar kijken vanuit de totale kosten en ook de zaken die we proberen te doorgronden, wordt het steeds uitdagender en moeten we steeds sneller handelen, en we moeten zo actueel mogelijk kunnen zijn, en dat lijkt op dit moment in elke organisatie over de hele linie het geval te zijn.

Bradd Busick: U luistert naar The Savvy CIO, op verstandige wijze gemoderniseerd door Park Place Technologies. Ik ben uw presentator, Bradd Busick, en dit is een programma waarin we het hebben over budgetdruk, de invoering van AI, beveiliging en de kunst om de boel draaiende te houden zonder alles in de lucht te laten vliegen, samen met de mensen die deze problemen elke dag aanpakken. Er zijn veel zichtbare prijskaartjes op de vloer als het om hardware gaat, zoals servers en switches, en zelfs de onderhoudscontracten om deze apparatuur draaiende te houden. Hardware kun je aanraken, je kunt zaken als afschrijving met eigen ogen zien en daar rekening mee houden. Maar net onder dat oppervlak schuilt een hele ijsberg aan kosten die veel moeilijker in de gaten te houden zijn. Zaken als cloudwildgroei, AI-proefprojecten die nooit van de grond zijn gekomen, maar ook nooit zijn geannuleerd en nog steeds in je omgeving rondzwerven. Dure tools die slechts drie gebruikers hebben.

Er zijn ontzettend veel onzichtbare lekken. Die zullen je niet de das omdoen omdat ze zo groot zijn. Ze zullen je juist de das omdoen omdat je helemaal vergeten bent dat ze er waren. Mark Dunkerley is vicepresident van Enterprise Technology Services en CISO bij Coca-Cola Bottlers’ Sales & Services, wat betekent dat hij een van de meest unieke perspectieven in de sector heeft. Hij ondersteunt bijna 60 Coca-Cola-bottelaars in heel Noord-Amerika, dus hij is gewend om op grote schaal en in tientallen verschillende bedrijfsomgevingen met complexe belanghebbenden om te gaan.

Mark weet dat IT-uitgaven tegenwoordig veel minder lijken op een vaste energierekening, en veel meer op een mobiel abonnement uit 2008. Je denkt dat je je voor één ding aanmeldt, maar om de een of andere reden staan er 17 verschillende posten op je rekening waarvoor je niet eens wist dat je daarvoor betaalde. De druk om projecten sneller dan ooit tevoren te ontwikkelen neemt toe, en de klok tikt onverbiddelijk door. Als je dit niet in de gaten houdt, sta je voor een grote, onaangename verrassing wanneer het tijd is om de rekening te betalen. En als je niet oppast, zou wel eens de CIO of CISO met de rekening kunnen blijven zitten. Mark, welkom bij The Savvy CIO.

Mark Dunkerley: Bedankt, Bradd. Ik vind het geweldig om hier te zijn.

Bradd Busick: Ja, ik ben zo blij dat je er bent, man. Je achtergrond is geweldig. Om maar even te beginnen: vertel eens iets over jezelf. Hoe ben je bij deze specifieke functie bij CCBSS terechtgekomen?

Mark Dunkerley: Mijn achtergrond… zoals je waarschijnlijk al aan mijn accent kunt horen: ik woon in Florida, maar ik kom daar niet vandaan. Ik kom uit Newcastle, Engeland, en mijn droom was om voetballer te worden. Maar ik kwam naar de Verenigde Staten, ging met een beurs naar de universiteit om voetbal te spelen, en dat leidde uiteindelijk tot een carrière in de technologie, waarbij ik samenwerkte met de universiteit en de afdeling technologie. Ik begon als netwerkbeheerder, ging daarna verder en kwam in de gezondheidszorg terecht, waar ik veel met samenwerkingstools werkte. Uiteraard gaat dat gepaard met beveiliging, en ik heb in de afgelopen 11 jaar in verschillende onderdelen van het Coca-Cola-systeem gewerkt. Oorspronkelijk was het de bedoeling om te werken binnen de samenwerkingsstack, e-mailbeheer en dat soort tools, maar dat heeft zich ontwikkeld tot verschillende veranderingen binnen het bedrijf die nieuwe kansen hebben bepaald.

Wat me echt opviel, was de kans om aan de slag te gaan binnen onze organisatie voor zakelijke dienstverlening, waar we vanaf nul een geheel nieuwe infrastructuur konden opbouwen. En terwijl we daarmee bezig waren, hield ik meer toezicht op de architectuur. Cyberbeveiliging begon toen steeds meer een rol te spelen. Als je terugkijkt naar zes, zeven, acht jaar geleden, toen begon het echt zichtbaar te worden en verschoof de focus meer naar cyberbeveiliging en de kans om een cyberbeveiligingsprogramma vanaf de basis op te bouwen. En dat heeft geleid tot waar ik nu sta bij Coca-Cola Bottlers’ Sales & Services. Ik weet dat er van oudsher misschien mensen zijn die zich richten op beveiliging, en anderen op IT. Ik heb de kans gehad om echt vanuit de IT-kant de overstap naar cyberbeveiliging te maken en nu echt beide rollen te overzien.

Bradd Busick: Dat is geweldig. En die werelden zijn nu zo met elkaar verweven, als je bedenkt waar jij en ik beiden zijn begonnen, toen ze nog gescheiden waren. Om het in voetbaltermen te zeggen: de middenvelder moet in staat zijn om verdedigend te spelen, maar moet ook als spits kunnen functioneren. Je hebt gewoon zo veel gezien. Ik neem aan dat je patronen begint te zien. Wat is het ene ding dat je tijdens het eerste gesprek is opgevallen en dat je veel vertelt over waar ze staan in hun ontwikkeling? Want je weet al waar je ze naartoe moet leiden. Welke dingen vallen je op?

Mark Dunkerley: Als we het vanuit het oogpunt van beveiliging bekijken, lag de nadruk altijd op technologie – en dat was natuurlijk ook de drijvende kracht achter het bedrijf – maar de afgelopen vijf jaar is er een verschuiving opgetreden. Ik denk dat er een grote kloof bestaat in het begrip van de risico’s die we binnen een bedrijf en in onze omgeving lopen, en misschien is dat wel een van de gelukkige kansen die ik heb gehad: ik heb namelijk een meer risicogerichte mentaliteit. En zelfs verdergaand dan die technologische koploper is dit iets waar wij als leiders breder binnen het bedrijf aan moeten werken: onze mentaliteit moet veranderen. We moeten uitzoeken hoe we samenwerken met onze andere bedrijfsfuncties, en als je kijkt naar de bottelaars en andere entiteiten, helpt dat echt om dat risico te begrijpen en aan te sturen. Het is meestal niet het eerste waar je aan denkt. Ik denk dat we er langzaam komen, omdat er cyberbeveiligingsincidenten plaatsvinden. We beginnen te zien wat de werkelijke gevolgen zijn. Maar bedrijfscontinuïteit en inzicht in je huidige situatie, dat is volgens mij nog een grote achterstand bij veel organisaties. Ik heb altijd de neiging om me erin te verdiepen en te proberen het wat beter te begrijpen.

Bradd Busick: Ja, ik vind dit geweldig, en je benadrukt iets dat ik echt heel belangrijk vind. Ten eerste moet de IT-leider van vandaag net zo goed een zakenman zijn als een technoloog. En ten tweede denk ik dat er eindelijk erkenning begint te ontstaan voor alle cyberdreigingen en risicobeperking, met bijzondere nadruk op bedrijfsveerkracht, om zo te zeggen: ”Wat kost het als ik daadwerkelijk mijn deuren sluit? Wat zijn mijn kosten per minuut?” Vroeger kostte het ons 10.000 dollar per minuut om uit de lucht te zijn.

Als je het nu zo formuleert, zou je denken dat, wanneer de CIO om budget vraagt, het management zou zeggen: „Doe wat je moet doen om ons up-to-date te houden.”

Niet: „Nou, HR overweegt deze nieuwe wervingsmodule.” Het is meer: nee, wil je eigenlijk wel dat je organisatie in staat is om mensen aan te werven? Het is een fundamenteel ander risicoprofiel en een andere houding, denk ik, en ik hoop dat organisaties, besturen en leidinggevenden dat eindelijk beginnen in te zien.

Mark Dunkerley: Ja. Ja. Ik denk dat de boodschap zeker overkomt. We hebben het over verborgen kosten. We zien de kosten van een inbreuk op de cyberbeveiliging, en wat jouw opmerking betreft: ik durf te wedden dat veel organisaties niet weten wat het kost om ook maar één minuut uit de lucht te zijn. En als je die cijfers eenmaal begint door te rekenen, kom je ook andere kosten achter de schermen tegenkomen. Hoe zit het met de reputatie? Hoe zit het met het vertrouwen van klanten en al het andere? Het is dus zeker iets dat veel groter wordt zodra je gaat ontrafelen wat er allemaal deel uitmaakt van dat bredere gesprek.

Bradd Busick: Ja. Ik vind dat briljant, en een deel daarvan wordt een noodzaak wanneer er iets gebeurt in de rol van een CIO of een CISO. Ik denk dat onze advies zou zijn: laten we proactief te werk gaan. We willen dat onze CIO’s en CISO’s de marketingafdeling, het management en de raad van bestuur gaan helpen om enkele van die risico’s onder aandacht te brengen waar niemand zich iets van trekt totdat er daadwerkelijk iets misgaat en je je in een reactieve positie bevindt.

Mark Dunkerley: Precies.

Bradd Busick: Voordat we misschien te diep ingaan op de verborgen uitgaven, denk ik dat we eerst even moeten uitleggen waarom dit zo vaak voorkomt. Iemand zei ooit tegen me: „We willen dat IT zich met zijn eigen zaken bezighoudt.”

En mijn antwoord was: „Nee, laten we dat juist eens omdraaien. Jij bevindt je op mijn terrein. De hele basis van het bedrijf is technologie. En dus heb je zonder technologie geen bedrijf.” Ik zou het geweldig vinden als je misschien wat dieper zou ingaan op hoe je hebt gezien dat de rollen van de CIO en de CISO steeds meer uit elkaar gaan lopen of juist naar elkaar toe groeien.

Mark Dunkerley: Ja, dat is een interessante vraag, want die afdeling is waarschijnlijk een van onze nieuwste organisaties, zou ik zeggen, van de afgelopen 10 tot 20 jaar. En hoewel we al enige tijd bezig zijn met beveiliging, ik bedoel, de afgelopen vijf, tien jaar, is het eigenlijk ineens aanzienlijk gegroeid vanwege eisen, regelgeving en alles wat daar bij komt kijken. En het is interessant om te zien hoe organisaties zijn begonnen met het opzetten van cyberbeveiligings- en beveiligingsfuncties.

En dan is er nog de discussie over aan wie de CISO rapporteert. Moet de CISO zitting hebben in de raad van bestuur? En dan heb je ook nog de CIO. Ik denk dat dit allemaal zeer relevante discussies zijn. Ik denk dat het grotendeels afhangt van de situatie. Ik denk dat je uiteindelijk, als het erop neerkomt, een CISO of CIO zult hebben. Ik denk dat ze niet onafhankelijk kunnen werken, ze kunnen niet los van elkaar werken. En er moet een of andere structuur zijn waarin beiden samen kunnen werken, of ze nu aan elkaar verslag uitbrengen of aan de raad van bestuur.

Maar als je over het juiste personeel beschikt, moeten de CIO en de CISO samenwerken en elkaar begrijpen. Ik denk dat een CIO tegenwoordig over het algemeen over vaardigheden op het gebied van beveiliging en cyberbeveiliging moet beschikken om succesvol te zijn. En ik denk dat het omgekeerde ook geldt: ik denk dat de CISO, de beveiligingsleider, over die technologische vaardigheden moet beschikken en die moet begrijpen. Dus moeten deze functies tegenwoordig nauw samenwerken. Er mag geen scheiding of concurrentie zijn tussen wat ze doen. Alles wat je in je rol doet, is wat het beste is voor de organisatie om de organisatie succesvol en veilig te maken en risico’s te beperken, en hoe we dat doen, is door samen te werken met onze collega’s en anderen binnen de organisatie, en zowel de CIO als de CISO zouden zeker samen moeten werken als het sterkste team.

Bradd Busick: Ik denk dat dat helemaal klopt, en ik heb echt heel geweldige CIO’s gezien die later CISO zijn geworden. Ik heb zelfs echt geweldige CISO’s gezien die de rol van CIO in een andere organisatie zijn gaan vervullen, en ik denk dat het mij duidelijk maakte dat iedereen begrijpt wat risicobeheer inhoudt, en dat het niet langer alleen de taak van een CISO is, of dat het niet langer de taak van een CIO is. Het is een gedeelde verantwoordelijkheid. Ik denk dat we die verhoudingen zouden beginnen te zien veranderen. Dat is tenminste mijn hoop.

Mark Dunkerley: Ja, mee eens, mee eens. Absoluut.

Bradd Busick: Laten we het nu even over een andere boeg gooien. Een deel van het probleem met risicobeheer is natuurlijk dat het opstellen van een langetermijnplanning echt heel, heel moeilijk is. En sommigen zouden zeggen dat het zelfs helemaal niet meer mogelijk is, zoals in de goede oude tijd van tien jaar geleden, toen een CEO nog zou vragen: „Mark, wat is jouw driejarenplan?“ Ik denk dat het 18-maandenplan ook tot het verleden behoort. Hoe kun je nog ook maar een schijn van financiële discipline handhaven in deze razend hyper-agile omgeving waarin jij en ik ons vandaag de dag bevinden?

Mark Dunkerley: Het is niet gemakkelijk, want zelfs vandaag de dag, ik bedoel wanneer we samenwerken met onze respectievelijke besturen en onze leiding, moeten we onze kengetallen en onze doelstellingen vastliggen hebben. Dus die driejarige en eenjarige routekaarten zijn zaken waar we naar moeten blijven streven. We kunnen dus wat dartpijltjes naar het dartbord gooien en weten waar we terechtkomen, maar ik ga in mijn ervaring zelfs terug naar alleen technologie, zelfs in de afgelopen 20 jaar: vóór de opkomst van de technologie was het eenvoudig om een jaarlijks budget en financieel plan op te stellen. Simpel: we wisten wat we wilden doen en wat onze doelstellingen waren voor het komende jaar. Je introduceert technologie en die verandert zo snel dat je met AI nu al niet kunt voorspellen wat er over drie tot zes maanden zal veranderen.

Bradd Busick: Dat klopt precies.

Mark Dunkerley: Dus als je me vraagt waarvoor ik volgend jaar geld moet reserveren, denk ik dat we allereerst we daar transparant over moeten zijn en anderen daarvan op de hoogte moeten brengen, of wanneer ons wordt gevraagd om deze informatie te verstrekken, dat we dat inderdaad kunnen, maar de transparantie is, en andere leiders – die geen technische achtergrond hebben – ervan bewust maken dat de technologie zo snel is gegroeid. Je zult volgend jaar naar me toekomen omdat je ineens iets nodig hebt, of omdat iemand je iets probeert te verkopen en je denkt dat dit zal bijdragen aan het rendement op de investering, wat geweldig is, maar we hebben er geen budget voor uitgetrokken. We moeten er nu eens rustig voor gaan zitten om erover na te denken en te praten, en dit gebeurt voortdurend. Dus vanuit budgettair oogpunt weet ik dat we het beste presteren als we het komende jaar stap voor stap aanpakken. We hebben zeker stappenplannen, en die werken goed, aangezien je te maken hebt met traditionele technologische achterstanden en zaken die je in de levenscyclus moet doorlopen.

Maar aangezien de technologie zich op dit moment zo snel ontwikkelt, laten we het even hebben over de huidige stand van zaken op het gebied van AI en de mogelijkheid om AI-mogelijkheden te benutten. De vraag is: hoe kun je dat het beste plannen en die gesprekken voeren? Zelf en het team zorgen er altijd voor dat er wat budget beschikbaar is voor projecten die zich voordoen. En nogmaals, je moet voorzichtig zijn met hoeveel je vraagt. Je moet een evenwicht vinden tussen wat we nodig hebben om gewoon op veilig te spelen. Maar uiteindelijk komt het, denk ik, neer op het feit dat naarmate de technologie zich ontwikkelt en steeds meer deel gaat uitmaken van het bedrijf, die relaties worden opgebouwd om ervoor te zorgen dat we kunnen samenwerken om uit te zoeken hoe we een nieuw project kunnen aanpakken dat misschien uit het niets is ontstaan, omdat we er niet vroeg genoeg budget voor kunnen reserveren.

Bradd Busick: Zonder die relatie, die je zo net hebt benadrukt, kun je geen succesvolle CIO zijn. Je kunt ook geen succesvolle CISO zijn. Relationeel kapitaal is net zo belangrijk als je cloudgebruik. En ik denk dat de CIO’s, de CISO’s en de IT-leiders die hiernaar luisteren: als je geen band hebt met de rest van het bedrijf, zit je in de verkeerde functie. En dus vind ik het geweldig dat je dat aan de orde hebt gesteld, ik vind dat briljant. Ik denk ook dat dit de wendbaarheid benadrukt die we beginnen te zien vanuit de business, wat van IT zal vereisen dat het net zo wendbaar is.

Stel bijvoorbeeld dat een van je klanten naar je toe komt en zegt: „Hé, er is een nieuw SaaS-platform of een nieuwe AI-overlay waarmee de kwaliteit op de assemblagelijn kan worden bijgehouden,” dan moet je klaar staan om dat onderzoek te doen, te reageren en budget te vinden voor iets dat ofwel herbestemd is, ofwel met hen samen te werken om die gezamenlijke aanvraag in te dienen, want de raad van bestuur zal nu zeggen: ‘Oké, ondernemer, dit gaat onze consumptiekwaliteit verhogen of ons afval met 10% verminderen. Mark, is het veilig?’ En als je dat relationele kapitaal hebt, vallen die dingen plotseling op hun plaats en het is prachtig als dat gebeurt. Helaas gebeurt dat niet altijd, dus ik vind het geweldig om te horen dat je je daarop aan het voorbereiden bent.

Een belangrijk thema dat we dit seizoen al in heel veel gesprekken in de podcast ‘The Savvy CIO’ terugzien, is dat er enorm veel druk vanuit de organisatie en de sector is om met een concrete AI-strategie aan tafel te komen. En meestal is de allereerste vraag die direct daarna wordt gesteld: is het veilig? Wat is het rendement? Ik zou graag jouw mening horen, jouw spontane reactie. Denk je dat er een rendement zit in de projecten waaraan we allemaal werken op het gebied van AI? Wat zie je en hoe meet je dat?

Mark Dunkerley: Ik denk dat er wel praktijkvoorbeelden zijn geweest die een ROI hebben aangetoond, maar ik denk dat die erg beperkt zijn, terwijl er ineens heel veel leveranciers zijn, we geweldige kansen hebben en het bedrijf is verkocht. Wat zou die geweldige ROI dan kunnen zijn? We gaan al deze problemen oplossen. En ik denk dat iedereen eropuit is gegaan om dit te proberen, er veel geld in te steken. En de realiteit is dat het vanuit zakelijk oogpunt veel moeilijker is dan wat ons is voorgespiegeld.

Ik denk dat het neerkomt op een paar dingen. Ten eerste is er nog steeds veel slechte data in omloop, en AI gaat die slechte data niet oplossen. Ten tweede werken de meeste organisaties nog steeds met processen die al jaren oud zijn. En als die processen niet zijn geoptimaliseerd of herzien om aan de huidige situatie en de huidige stand van de technologie te voldoen, zal AI dat ook weer niet oplossen. Dus als we naar de zakelijke kant kijken, denk ik dat we nog een lange weg te gaan hebben als we AI willen inzetten om het bedrijf en de dienstverlening te verbeteren. Er liggen kansen. Ik weet dat we kijken naar AI-agenten en dat de agentische component zich ontwikkelt, maar er zijn nog enkele fundamentele zaken die moeten worden opgelost voordat we volgens mij echt succesvol kunnen zijn met AI op zakelijk vlak.

Wat de productiviteit betreft: daar gebeurt momenteel een snelle ontwikkeling. Ik bedoel, we hebben het over ChatGPT, Copilot en al die tools; dit is waar organisaties zich op dit moment op moeten richten: hoe ze samenwerken met hun gebruikers om de productiviteit uit deze tools te halen, want het is aangetoond. De productiviteit is er, de mogelijkheden zijn er, en we hebben allemaal zo veel te doen. We hebben zoveel repetitief werk, en deze tools stellen ons echt in staat om, denk ik, echt een deel van dat vervelende dagelijkse werk achter ons te laten en ons te richten op de strategische zaken die we voor het bedrijf moeten doen, want het is altijd hetzelfde verhaal: we moeten meer doen met minder.

Bradd Busick: Dat klopt.

Mark Dunkerley: De uitdaging is nu dat alles wat we de afgelopen 20, 30 jaar op technologisch gebied hebben gedaan, nu technisch gezien mogelijk is. Nou, weet je wat? Het is nu de menselijke factor waar we aan moeten werken. Het gaat om de verandering, het gaat om de acceptatie, en daar moeten we ons op richten en echt naar kijken als we naar de productiviteitskant kijken. Hoe stellen we onze programma’s op om die acceptatie te bevorderen, de waarde aan te tonen, hoe het een aanvulling vormt op wat we doen, en hoe het ons werk in de toekomst steeds efficiënter zal maken? Ik denk dat daar op dit moment de focus moet liggen: we moeten proberen te achterhalen hoe de zakelijke kant eruitziet als we kijken naar onze gegevens, onze processen en hoe we AI kunnen inzetten om efficiënter te werken. Wat betreft het rendement op die kant, denk ik dat we daar persoonlijk nog steeds moeite mee hebben om dat te vinden.

Bradd Busick: Ja, ik vind dat goed gezegd. Iemand zei tegen me, wat de productiviteit betreft, ”De manier waarop we de impact van productiviteitstools zullen kunnen meten, is dat we een daling van het aantal echtscheidingen zullen zien, omdat mensen nu niet meer 80 uur per week gaan werken, ze gaan 60 uur werken en die 60 uur kunnen ze, zoals je al aangaf, besteden aan het strategische.”

Mark Dunkerley: Dat vind ik geweldig.

Bradd Busick: Ik vond dat een interessante maatstaf.

De afdeling Verkoop & Dienstverlening van Coca-Cola Bottlings is gigantisch. Ik bedoel, jullie hebben ontzettend veel verschillende onderdelen binnen een enorm gevarieerd scala aan diensten en omgevingen, en toch werken jullie echt als één geheel. Ik bedoel, jullie werken en handelen op een samenhangende manier. Jij en je functie hebben een geweldig overzicht over meer dan 50 bottelaars, waardoor je elke dag op grote schaal kunt zien wat wel en wat niet werkt. Wat is volgens jou de meest voorkomende fout die IT-leiders maken als het gaat om het beheren van uitgaven en misschien ook enkele van die verborgen kosten?

Mark Dunkerley: Als we terugkijken op de afgelopen jaren, dan zie ik dat het over de hele linie vrij consistent is. Ik denk niet dat het echt uniek is. Maar als we naar de levenscyclus kijken – ik bedoel, ik kan wel 20 jaar teruggaan – dan waren de verborgen kosten, de verborgen uitgaven, gewoon traditioneel: „Hé, ik heb een applicatie nodig.”
"Nou, hoe ga je dat hosten?"
"Oh, ik heb een server nodig. Ik heb opslagruimte nodig." En dat is de ouderwetse manier. En toen, ineens, in de afgelopen vijf, tien jaar, is iedereen overgestapt naar de cloud.

Bradd Busick: Ja.

Mark Dunkerley: En dan is het zoiets als: „Oh geweldig, laten we gewoon de cloud opzetten.” En bij grotere organisaties krijg je te maken met schaduw-IT en die verbruikskosten. En zelfs als je een goed, goed beheerd cloudinfrastructuurteam hebt, sta je nog steeds voor de uitdaging van de cloud zelf, en de gebruiks kosten zijn een grote uitdaging; het kost veel moeite om die kosten te beheersen. Ik zie dit dus nog steeds veel bij organisaties die traditioneel on-prem werken en de overstap naar de cloud maken, en die proberen de abonnementskosten te beheren en te begrijpen wat die precies inhouden.

Tegenwoordig is AI natuurlijk het belangrijkste onderwerp. We beginnen nu onze AI-leveranciers te zien. We zijn begonnen met een soort licentiemodel, maar de kosten daarvoor beginnen steeds meer op een token-gebaseerd systeem te lijken, en ik denk niet dat iemand weet hoe je AI-kosten moet berekenen als we daar naar kijken vanuit token-gebaseerde kosten; dat is ook iets waar we nog achter proberen te komen. Dat is er eentje waar iedereen zich vragen over stelt. Ik denk dat een van de andere grotere kwesties waar iedereen nog steeds mee worstelt – ik denk niet dat iemand hier al een oplossing voor heeft gevonden – te maken heeft met technische legacy-schuld. We hebben nog steeds verouderde servers in gebruik, servers die het einde van hun levensduur hebben bereikt; we proberen daar van af te komen en verder te gaan.

Oude applicaties die niet zijn gemoderniseerd en nog gebruikmaken van verouderde authenticatiemethoden: hoe beveilig je die en hoe isoleer je ze? Ik bedoel, als je kijkt naar de technologische achterstand en de legacy-kant, ik bedoel, ik denk dat dat iets is waar iedereen voortdurend mee worstelt. En vooral nu we steeds meer risico’s lopen op het gebied van cyberbeveiliging, wordt het steeds uitdagender en moeten we steeds sneller handelen, steeds sneller moderniseren en zo actueel mogelijk blijven. En dat lijkt op dit moment in elke organisatie over de hele linie het geval te zijn.

Bradd Busick: Dat is inderdaad zo, en dit is, denk ik, de mooie spanning: CEO’s, CFO’s en raden van bestuur zeggen dan zoiets als: „Hé, we moeten AI hebben”, behalve dat ze niet genoeg hebben geïnvesteerd om je zelfs maar zover te krijgen dat je ja kunt zeggen tegen AI. Het is alsof je echt slechte brandstof in een Ferrari giet. Het slaat gewoon nergens op. En dus wat jouw punt betreft, en ik denk ook voor onze luisteraars: goed nadenken over het wegwerken van een deel van die technische schuld, en geen ja zeggen tegen AI totdat je de juiste strategie rond identificatie hebt, totdat je de juiste strategie hebt rond authenticatie, en gewoon enkele basiszaken waar de meeste bedrijven nog niet eens aan toe zijn gekomen omdat ze zich hebben gericht op het hoofd boven water houden. En dus is het alsof je iemand vraagt om ineens een enorme sprong naar strategie te maken, terwijl je nog niet eens de tijd hebt genomen om de basis onder de knie te krijgen.

Mark Dunkerley: Mee eens. Ik denk dat de beveiligingskant me daar echt enorm helpt, omdat de beveiligings- en risicokant, naar mijn mening, veel meer leunt op die fundamentele componenten waarop we ons moeten richten. Best practices op het gebied van identiteitsbeheer, en hoe we authenticatie moeten aanpakken met multifactorauthenticatie en patching. Traditioneel heb je te maken met een patchcyclus van meer dan 30 dagen. Nou, raad eens? Als er een patch wordt uitgebracht, moet die nu geïnstalleerd worden. Dat is de mentaliteit waar je in moet denken. Om de modernisering op peil te houden: al die zaken leunen echt op de cyberbeveiligingskant en het volgen van die kaders om weer terug te leunen op wat nodig is om ondersteuning te bieden. Moderner worden om ondersteuning te bieden, zoals je al aangaf, aan die nieuwere initiatieven waarover de besturen en leidinggevenden zeggen: “Hé, we moeten dit nu doen, nu we nog over een aantal fundamentele zaken beschikken.”

En ik denk dat het, als leidinggevenden, erop neerkomt: hoe zorg je ervoor – en hoe breng je jezelf als CIO en CISO in een positie – dat je terug kunt komen en kunt zeggen: „Nou, we hebben nog wel wat te doen.” En ik pas dit toe op het beveiligingsgebied in mijn rol als CISO: ik leg de gegevens en de feiten op tafel, en dat levert meestal veel op. Het gaat niet om een gesprek, maar om de vraag: hoe breng ik dit op een manier onder de aandacht die doordringt tot het bedrijfsniveau? En voor mij zijn dat statistieken, dat zijn gegevens: wat ik hen kan laten zien om aan te geven waar we staan en waarom we dit moeten doen om dat verhaal op te bouwen.

Bradd Busick: Dus voor die CIO die op dit moment naar dit gesprek luistert en die onder enorme budgettaire druk staat of minder dan 3% van de netto-omzet te besteden heeft – wat neerkomt op het absolute minimum – in de verdediging zit en probeert te reageren in plaats van risico’s te beperken, wat is dan dat één stukje advies dat hij moet gaan doen of moet stoppen met doen om dat momentum te veranderen en het probleem voor te blijven in plaats van erachteraan te rennen?

Mark Dunkerley: Je had het hier eerder al over, maar het gaat erom onze programma’s en mentaliteit aan te passen om proactiever te zijn. Als je kijkt naar de IT door de jaren heen, zijn we altijd in die reactieve stand gebleven, en dat heeft weer te maken met die verborgen kosten. Ik bedoel, proberen duidelijk te maken dat we ineens nu iets moeten doen, maar ik heb geen middelen en hoe ik daar omheen kan werken. En nogmaals, het is niet eenvoudig om daaruit te komen, maar vanuit het oogpunt van beveiliging leg ik sterk de nadruk op proactief in plaats van reactief, en hoe we onszelf positioneren voor succes op de lange termijn? En het gaat er ook om die mentaliteit te veranderen dat het niet alleen de verantwoordelijkheid van de CIO of de CISO is. We hebben de afgelopen jaren te maken gehad met het probleem dat bij een beveiligingsincident de CISO zijn baan verliest.

Bradd Busick: Juist.

Mark Dunkerley: Nou, dat moet veranderen en dat is een kwestie van mentaliteit. En hoe verschuiven we deze verantwoordelijkheid en verantwoording van één persoon, namelijk de CIO en de CISO, naar het uitvoerend management en de raad van bestuur? En het gaat erom hoe je die zichtbaarheid creëert. De manier waarop ik het doe – en waarop we het doen in het cyberbeveiligingsprogramma, en die zou overal moeten gelden – is: hoe kun je je programma’s het beste aansturen? Governance, risico en compliance is een van de belangrijkste programma’s.

En dat geldt ook buiten de cyberbeveiliging, net zoals bij de CIO van een technologiebedrijf. Hoe presenteer en beheer je het programma waarmee die verantwoordelijkheid van één persoon naar het hele bedrijf wordt verschoven? En daar hoort het uiteindelijk ook te liggen. Dus ja, dat is min of meer mijn gedachte. Er zijn gegevens beschikbaar. Ik denk dat we genoeg hebben in de gemeenschap. We doen dit nu al zo lang dat ik denk dat we weten hoe we ons het beste kunnen positioneren voor meer succes dan we in het verleden hebben gehad.

Bradd Busick: Dat vind ik geweldig. Ja, ik heb echt het gevoel dat de toekomst er heel rooskleurig uitziet, en ik vind het woord dat je noemde – namelijk ‘gemeenschap’ – geweldig. Ik heb een WhatsApp-groep met 87 CIO’s met wie ik heb samengewerkt aan enkele van de grootste systemen van het land, en zo worden beslissingen genomen. Ze zouden gewoon zeggen: „Hé, gebruik je product X? En als het goed genoeg is voor Coca-Cola, dan is het ook goed genoeg voor ons.” En zo verloopt de dialoog soms.

En natuurlijk, wanneer er iets zoals CrowdStrike gebeurt, en wanneer er weer een nieuwe zero-day opduikt, is het leuk om te zien hoe de gemeenschap zich verenigt. En eigenlijk geeft dat me heel veel hoop voor de toekomst. Mark, het was me een genoegen om vandaag met je te praten. Hartelijk dank dat je bij ons te gast was in ‘The Savvy CIO’.

Mark Dunkerley: Ja, ik heb hier enorm van genoten, Bradd. Ik waardeer de tijd en de kans die jullie me hebben gegeven, en ik wil jullie allemaal hartelijk bedanken.

Bradd Busick: Ik heb vandaag een afspraak met Mark. Dit is wat ik heb gehoord en wat volgens mij echt de moeite waard is om te onthouden. De oude ‘zwembanen’ en ‘silo’s’ zijn verdwenen; ik denk dat het ontzettend belangrijk is om die samen te voegen tot één enkele ‘baan’ van optimalisatie. Mark benadrukte het belang van zakelijke relaties. Aan Marks houding kun je zien dat hij het bedrijf begrijpt. Hij begrijpt de relaties, en hij zou een zakenpartner nooit in zijn eentje naar de raad sturen. Hij zou samen met hem meegaan, en dat kan alleen door gedeelde ervaring, planning en partnerschap. Mark kan in een oogwenk van koers veranderen omdat hij geen roadmap voor 18 maanden heeft. In het beste geval heeft hij waarschijnlijk een stappenplan van zes maanden met mogelijkheden die volgens hem het bedrijf zouden ondersteunen, niet omdat hij die zelf heeft verzonnen, maar vanwege zijn samenwerking met het bedrijf. En zij zijn het die tegen hem hebben gezegd: „Hé, dit zijn de dingen die we misschien wel zouden willen kunnen doen.” Ik vond Marks visie hierop dan ook geweldig en vond het fantastisch om wat tijd met hem door te brengen om te praten over hoe Coca-Cola het aanpakt.

Dat was het voor vandaag. Hartelijk dank voor het luisteren. Volg ons zodat je geen aflevering mist. Dit was The Savvy CIO, aangeboden door Park Place Technologies. Als je meer wilt weten over Park Place, ga dan naar www.parkplacetechnologies.com.

En nu nog een laatste woord van onze gast. Dus Mark, zoals je weet heet de show *The Savvy CIO*. Een simpele vraag: wat is de slimste keuze die je tot nu toe in je carrière hebt gemaakt?

Mark Dunkerley: Dat is een goede vraag om me in verlegenheid te brengen. De slimste keuze die ik tot nu toe heb gemaakt, was, denk ik, om die functie op het gebied van cyberbeveiliging te omarmen. Het heeft me echt geholpen om te groeien en me verder te ontwikkelen, en ik denk dat het me zal helpen om in de toekomst een betere leider te worden binnen de hele technologische afdeling.

Bradd Busick: 100% tweetalig. Zakendoen en beveiliging, dat is een winnende combinatie.

Ik ben jullie presentator, Bradd Busick, en zoals altijd geldt: IT hoort niet alleen aan tafel te zitten, IT is de tafel.

Mark Dunkerley is een doorgewinterde leidinggevende op het gebied van cyberbeveiliging en technologie met meer dan 20 jaar ervaring in het hoger onderwijs, de gezondheidszorg en Fortune 100-organisaties. Hij is gespecialiseerd in bedrijfsarchitectuur, leidinggeven aan IT-operaties en het opzetten van veerkrachtige, schaalbare cyberbeveiligingsprogramma’s. Mark heeft leiding gegeven aan technologische afdelingen binnen ondernemingen, variërend van infrastructuur en platforms tot dienstverlening, waarbij hij de IT-strategie afstemde op de bedrijfsdoelstellingen. Hij heeft een MBA en diverse branchecertificeringen op zijn naam staan en is een actieve opinieleider, keynote-spreker, lid van adviesraden en gepubliceerd auteur. Hij geniet wereldwijde erkenning en werd uitgeroepen tot Top Cybersecurity Leader (2022), Top Global CISO (2024, 2025) en winnaar van de OnCon Icon Award 2026 voor informatiebeveiliging.