Inmiddels heeft elke beveiligingsmanager de belofte wel gehoord: AI zal de beveiligingsprocessen transformeren.
Het zal de alarmmoeheid verminderen. Het zal onderzoeken versnellen. Het zal analisten productiever maken. Het zal teams helpen meer te doen met minder middelen.
De belofte is reëel, maar er zit een addertje onder het gras. AI verbetert de beveiliging niet simpelweg omdat er een model beschikbaar is. AI verbetert de resultaten pas als het de juiste context heeft, binnen de juiste workflow opereert, de juiste controles volgt en het vertrouwen wint van de mensen die de output ervan moeten gebruiken.
Dat is waar veel AI-beveiliging Gesprekken schieten tekort. De meeste SecOps-teams hebben geen gebrek aan tools. Ze hebben echter een tekort aan tijd, context, consistentie en zelfvertrouwen. Alerts komen van tientallen bronnen. Analisten schakelen tussen verschillende consoles. Cases worden handmatig aangemaakt. Reacties vinden vaak plaats in verschillende systemen. MSSP's Dit alles moet beheerd worden voor een groot aantal klanten, die elk hun eigen tools, dataformaten, escalatieprocedures en operationele modellen hanteren.
In die omgeving lost het toevoegen van een generieke AI-assistent het kernprobleem niet op. Het kan een melding samenvatten of een vraag beantwoorden, maar als het buiten de eigenlijke workflow voor detectie, triage, onderzoek en respons valt, wordt het een extra hulpmiddel dat beheerd moet worden.
De volgende fase van AI in beveiligingsoperaties draait niet om het toevoegen van meer AI, maar om het gereedmaken van beveiligingsworkflows voor AI.
AI heeft meer nodig dan een prompt.
Om AI nuttig te laten zijn in SecOps, heeft het een operationele context nodig. Het moet de situatie begrijpen. Het moet toegang hebben tot details over waarschuwingen, getroffen gebruikers, activa, tenants, tijdlijnen, telemetrie, risicoscores, historische activiteiten en beschikbare reactieopties. Het moet bovendien binnen duidelijke machtigingen en kaders kunnen werken.
Dit is vooral belangrijk voor MSSP's en MDR Aanbieders. In een omgeving met meerdere tenants kan AI de klantgrenzen niet vervagen. Het kan niet handelen zonder medeweten van de tenant. Het kan niet alle gegevens als gelijk toegankelijk beschouwen. Het moet rekening houden met toegangscontrole, gegevensscheiding, klantspecifieke beleidsregels en operationele richtlijnen.
Daarom introduceert Stellar Cyber 6.5 Early Access-ondersteuning voor de Stellar Cyber MCP-server, waardoor goedgekeurde AI-clients via het Model Context Protocol verbinding kunnen maken met het Stellar Cyber-platform.
Het belang hiervan is niet alleen dat er weer een AI-integratie bestaat. Het belangrijkste punt is dat MCP een gecontroleerd pad creëert voor AI om te interageren met een gestructureerde SecOps-context. In plaats van AI te behandelen als een losgekoppelde assistent, creëert Stellar Cyber een manier voor goedgekeurde AI-clients om te werken met relevante casus- en waarschuwingsgegevens, gecontroleerde toegang en context die rekening houdt met de specifieke tenant.
Dat is het soort fundament dat AI nodig heeft als het een integraal onderdeel wil worden van daadwerkelijke veiligheidsoperaties.
Dit is waar AI nuttig wordt.
Beveiligingsoperaties zouden niet moeten draaien om geïsoleerde meldingen, maar om concrete gevallen. Een melding vertelt je dat er iets is gebeurd. Een concreet geval helpt je te begrijpen of het relevant is.
Casussen brengen gerelateerd bewijsmateriaal samen: waarschuwingen, waarneembare gegevens, gebruikers, hosts, netwerkactiviteit, cloudgebeurtenissen, identiteitssignalen, tijdlijnen, MITRE ATT & CK Context, risicoscores en aanbevelingen voor de reactie. Dat is de juiste taak voor AI, omdat het de context biedt die nodig is voor triage en onderzoek.
Stellar Cyber 6.5 verbetert de ervaring van analisten binnen dossiers met realtime updates van de triage-status. Analisten kunnen zien wanneer een analyse bezig is, wanneer de door AI gegenereerde samenvatting gereed is en wanneer het dossier klaar is voor beoordeling.
Dat klinkt misschien als een kleine verbetering van de workflow, maar het weerspiegelt een groter principe: teams moeten inzicht hebben in wat AI doet.
AI mag niet aanvoelen als een black box. Analisten moeten weten wanneer een analyse nog loopt, wanneer de output gereed is en wanneer menselijke controle nodig is. Managers moeten inzicht hebben in de voortgang. MSSP's hebben herhaalbare workflows nodig die schaalbaar zijn voor verschillende tenants en analisten.
Dankzij de realtime triage-status voelt AI-ondersteund onderzoek minder aan als een extern hulpmiddel en meer als een integraal onderdeel van het operationele proces.
Door mensen ondersteunde autonomie vereist duidelijke overdrachten.
De toekomst van SecOps zal niet volledig handmatig zijn. Het zou ook niet volledig autonoom zonder toezicht moeten zijn.
Het praktische model is door mensen ondersteunde autonomie: AI neemt repetitief werk over, versnelt onderzoek, vat bewijsmateriaal samen, adviseert over vervolgstappen en ondersteunt de respons, terwijl mensen verantwoordelijk blijven voor belangrijke beslissingen.
Dat model werkt alleen als de overdracht tussen AI en mensen zichtbaar en begrijpelijk is.
Analisten moeten kunnen zien wat de AI heeft beoordeeld, wat de conclusie is, hoe zeker de AI hiervan is, welk bewijs de conclusie ondersteunt en welke actie wordt aanbevolen. Ze moeten ook de mogelijkheid hebben om het proces te overrulen, te escaleren, te heropenen of aan te passen.
AI-geschikte workflows vereisen een gestructureerde casuscontext, gecontroleerde toegang tot beveiligingsgegevens, tenantbewust beheer, op bewijs gebaseerde samenvattingen, controleerbaarheid en duidelijke escalatieprocedures. Zonder deze elementen kan AI meer verwarring dan duidelijkheid scheppen.
Een beter uitgangspunt voor analisten
Voor MSSP's is dit een schaalprobleem. Elke minuut die handmatig wordt besteed aan het verzamelen van context is een minuut die niet schaalbaar is. Elke inconsistente triagebeslissing creëert operationele risico's. Elke handmatige overdracht vertraagt de respons. Wanneer AI opereert binnen een gestandaardiseerde caseworkflow, kunnen MSSP's de triage standaardiseren, de consistentie van analisten verbeteren, repetitief werk verminderen en meer klanten ondersteunen zonder dat dit een evenredige groei van het personeelsbestand vereist.
Voor kleine beveiligingsteams doet zich dezelfde uitdaging voor in de vorm van capaciteitsdruk. Een klein team kan verantwoordelijk zijn voor monitoring, onderzoek, respons, rapportage en het beheer van tools. Ze beschikken mogelijk niet over aparte teams voor Tier 1, Tier 2, threat hunting, detectie-engineering en incidentrespons.
Voor deze teams is de waarde van AI niet het vervangen van mensen, maar het helpen van mensen om vanuit een betere uitgangspositie te beginnen.
In plaats van te vragen: "Wat is deze melding?", kan het team beginnen met: "Dit is de zaak, dit is het bewijsmateriaal, dit is het waarschijnlijke scenario en dit zijn de aanbevolen vervolgstappen."
Dat is een ander bedrijfsmodel.
The Bottom Line
Beveiligingsteams hebben geen behoefte aan nog een AI-hulpmiddel. Ze hebben AI nodig die is ingebed in de manier waarop SecOps daadwerkelijk werkt.
Stellar Cyber 6.5 zet die stap door gecontroleerde AI-connectiviteit via de MCP-server te introduceren en casusworkflows te verbeteren met realtime triage-status. Deze verbeteringen helpen AI dieper te integreren in detectie, triage, onderzoek en respons, terwijl de teams de benodigde zichtbaarheid en controle behouden.
AI zal de beveiligingsprocessen niet transformeren, tenzij de workflow klaar is voor AI.
Stellar Cyber 6.5 helpt die workflow werkelijkheid te maken.
