Wat je wel weet, kun je beveiligen. Maar wat je niet weet—of pas later ontdekt—blijft vaak de echte gamechanger. In een gesprek met CISO Ryan Davis staat unknown security centraal: het domein waar beveiliging pas echt in botsing komt met de werkelijkheid.
Davis bouwde zijn carrière op vanuit de hoek van het “hacken om te begrijpen” en groeide door naar rollen waar de focus verschuift van techniek naar organisatiebrede weerbaarheid. Daarbij beschrijft hij scherp hoe leiderschap, teamopbouw en zicht op de omgeving bepalen hoe goed je omgaat met het onbekende.
Van hobby-hacker naar CISO met businessfocus
Ryan Davis begon al vroeg met computers en sleutelen aan systemen. Toen hij eenmaal online raakte, bestudeerde hij forums en leerde hij hoe omgevingen werken of reconfigureren. Wat hem dreef was niet het voordeel voor zichzelf, maar de vraag: hoever kun je gaan en wat gebeurt er als je het systeem uit zijn bedoeling haalt?
In zijn jeugd koos hij zelfs bewust voor een morele route toen hij kwetsbaarheden in het schoolnetwerk vond. Dat rapporteren—met het doel om systemen beter te maken—vormde een duidelijke lijn naar cybersecurity.
Als CISO zet Davis diezelfde logica door, maar dan op bedrijfsniveau. Hij ziet de rol van security niet enkel als informatie beschermen, maar vooral als het beschermen van de organisatie die die informatie gebruikt. Zelfs als data schade oploopt, moet een bedrijf veerkrachtig blijven.
Unknown security: waarom “het onbekende” je grootste vijand is
Voor Davis houdt unknown security collega’s en leiders vooral wakker. Het probleem is niet dat je geen controle hebt over bekende risico’s; het probleem is dat er altijd aspecten zijn die buiten je directe waarneming vallen.
Hij noemt bijvoorbeeld de “shadow”-laag in een omgeving: wat er bestaat aan slimme of generatieve AI-tools buiten het formeel ingevoerde beleid, en wie er zelfstandig met LLM’s aan de slag gaat op basis van onbekende modellen of instructies. Dit soort situaties zijn moeilijk te verdedigen, niet omdat je toolset tekortschiet, maar omdat je niet precies kunt inschatten wat er is gebeurd of wat er mogelijk nog kan gebeuren.
Ook de tijd speelt mee. Zodra je grip krijgt op één set technologieën, ontstaat er weer een nieuwe golf. Daardoor blijft visibility—zicht op je omgeving—een continu proces. Davis benadrukt dat je niet kunt beveiligen wat je niet begrijpt of niet kunt zien.
Praat je “security-taal” óf je organisatie?
Een terugkerend thema in het interview is communicatie. Davis stelt dat een CISO technisch moet kunnen meedenken, maar óók de businesstaal moet spreken. Doet iemand dat niet, dan loopt hij of zij het risico dat je uitleg aan het executive team langs de werkelijkheid heen gaat.
Het gaat dus om vertaling: technische risico’s begrijpelijk maken en tegelijk duidelijk maken welke data en processen voor de organisatie het meest tellen. Dat maakt van security een enabler—iemand die randvoorwaarden creëert voor het bedrijf om veilig vooruit te gaan.
Leiderschap als beïnvloeden, niet als overnemen
Davis vindt dat leiderschap niet overal hetzelfde “recept” kent. Voor hem draait het om invloed zonder te overheersen. Een goede leider laat mensen zich onderdeel voelen van iets groters, met een gezamenlijk doel waar iedereen voordeel uit haalt.
Daarbij legt hij de nadruk op investeren in mensen. Niet omdat het “zo hoort”, maar omdat het direct impact heeft op de kwaliteit van beslissingen en uitvoering. In cybersecurity, waar snelheid en prioriteit zelden vanzelfsprekend zijn, wordt die teamsterkte zichtbaar.
Teamkracht: compleet, divers en gericht op samenwerking
Volgens Davis is een team de optelsom van ieders bijdrage. Daarom is het belangrijk om mensen te vinden met complementaire vaardigheden. Niet alleen technische expertise, maar juist ook de zachte competenties die ervoor zorgen dat teams goed samenwerken.
Hij waarschuwt ook voor eenzijdigheid: een team dat vooral bestaat uit mensen die “alleen maar willen coderen” kan minder goed schakelen met andere organisatieonderdelen. De oplossing is niet minder engineering, maar meer balans in rollen en interactie.
Davis hecht daarnaast aan diversiteit, omdat mensen problemen anders benaderen. In security bestaan er zelden één perfecte oplossing. Het voordeel van verschillende perspectieven is dat je meerdere routes kunt proberen en sneller weet welke aanpak past bij de context.
Tot slot benoemt hij transparantie als fundament voor vertrouwen. Als vertrouwen verdampt, verdampt ook het gevoel dat je “één team” vormt. In een beveiligingsfunctie is dat extra belangrijk, omdat samenwerking vaak het verschil maakt tussen een losse alert en echte verbetering.
Burnout in de securitywereld: waarom balance nodig is
Over burnout zegt Davis iets dat weinig mensen graag horen: wie claimt dat burnout geen rol speelt, liegt volgens hem. In een wereld waarin systemen op machinale snelheid reageren, moet het menselijk brein voortdurend bijhouden wat er gebeurt. Dat vraagt energie, maar ook grenzen.
Hij beschrijft zelf periodes waarin weken van tachtig tot honderd uur werk voorkwamen, met slaaptekort en onregelmatige maaltijden. Het effect werkte volgens hem door in relaties buiten werk—en dat is een neerwaartse spiraal.
De mogelijke “tegenstrategie” is balance. Elke dag vraagt om een andere balans, maar het uitgangspunt blijft: tijd voor gezin en privé, gezond eten en beweging, zonder de professionele verantwoordelijkheid te laten verdampen. Davis koppelt dat aan vertrouwen: je moet systemen, architectuur en team zo op orde hebben dat je niet elke nacht hoeft te reageren op elke melding.
Mentoring en leren: zo blijf je relevant
Voor Davis begint vooruitgang met plannen. Zijn eigen advies kwam destijds neer op één kernvraag: “wat doe je eraan?” Daarmee bedoelt hij niet enkel ambitie, maar een routekaart. Net zoals bij een road trip: je plant niet alleen bestemming één, maar ook de volgende plaatsen onderweg.
Zijn carrière-aanpak is doorlopend leren. Conferences bezoeken, netwerken en discussies voeren over onderwerpen waar je passie voor hebt. En als je stopt met leren, word je volgens hem ingehaald.
Dat vertaalt hij door naar zijn team: investeer in jezelf en blijf bijscholen. Of dat nu via certificeringen, spreken op events of nieuwe vaardigheden is—het gaat om de investering die later rendement oplevert.
Praktische vertaling van unknown security
Hoewel unknown security klinkt als een abstract begrip, vraagt het in de praktijk om keuzes. Davis’ boodschap is in feite heel concreet: werk aan zicht en aan veerkracht.
- Bouw aan omgevingszicht zodat “shadow” toepassingen en onvoorziene activiteiten niet onopgemerkt blijven.
- Maak security bespreekbaar met de business, zodat prioriteiten aansluiten op impact en continuïteit.
- Investeer in teamcombinaties (technisch én communicatief) zodat je snel kunt bijsturen wanneer het onbekende zich aandient.
- Werk aan werkbaar ritme met vertrouwen in je processen, zodat je niet in een permanente alert-modus belandt.
Die insteek helpt om de kloof te verkleinen tussen wat je kunt beveiligen en wat je pas later ontdekt.
Meer lezen: security als realistische keten
Wil je zien hoe security in de praktijk raakt aan echte incidenten en organisatiekeuzes? Dan sluiten deze onderwerpen aan:
- AI-toegangslekken: waarom aanvallers op tokens jagen — passend bij het idee dat wat je niet ziet (of niet beheert) grote gevolgen kan hebben.
- Agent runtime security: waarom één laag niet genoeg is — relevant als je veerkracht zoekt in veranderende omgevingen.
Conclusie
Ryan Davis maakt duidelijk dat cybersecurity niet alleen draait om het blokkeren van bekende dreigingen. De kern zit voor hem in unknown security: het terrein waar je geen volledige voorspellingen kunt doen. Door continu te werken aan zicht, door security te koppelen aan business-impact en door te investeren in teams en balans, kun je beter omgaan met wat je niet (direct) kunt bevatten.
Of je nu CISO bent of niet: de les is universeel. Wanneer het onbekende onderdeel wordt van je planning, wordt beveiliging minder reactief en meer realistisch.
