Veel bedrijven krijgen niet met een beveiligingsincident te maken door geavanceerde hacktechnieken, maar door aannames. 

“We zijn te klein.”
“We zijn niet interessant genoeg.”
“Dat zal ons niet overkomen.” 

Juist die overtuigingen creëren kwetsbaarheden, vaak al voordat er sprake is van technische zwakke plekken. 

In Gehackt, wat nu? beschrijft Nathalie Claes een patroon dat ze in meer dan twintig jaar praktijkervaring herhaaldelijk heeft vastgesteld: bedrijven onderschatten hun eigen kwetsbaarheid. Als CISO, DPO en externe auditor kwam ze regelmatig organisaties tegen die ervan overtuigd waren dat hun beveiliging op orde was. Tot nader onderzoek ernstige tekortkomingen aan het licht bracht. 

Cybercriminelen handelen niet vanuit emoties, maar op basis van statistieken. Geautomatiseerde tools scannen voortdurend het internet. Phishingmails worden op grote schaal verstuurd en kwetsbaarheden kunnen binnen enkele minuten worden opgespoord. Vaak gaat het niet om een gerichte aanval op één specifiek bedrijf. Cybercriminaliteit draait vooral om volume en volharding. 

En precies daar ontstaat een hardnekkig misverstand: 

Informatiebeveiliging is nooit alleen een IT-kwestie geweest. 

Verder dan IT: de werkelijke reikwijdte van informatiebeveiliging 

Wanneer mensen het begrip informatiebeveiliging horen, denken ze vaak meteen aan firewalls, antivirussoftware of IT-afdelingen. Maar informatiebeveiliging draait niet in de eerste plaats om technologie. Het gaat om het beschermen van de informatie waarop een organisatie vertrouwt. 

Daarbij staan drie kernprincipes centraal: vertrouwelijkheid, integriteit en beschikbaarheid — samen ook wel de CIA-triade genoemd. 

Vertrouwelijkheid zorgt ervoor dat informatie alleen toegankelijk is voor bevoegde personen. 

Integriteit waarborgt dat informatie correct blijft en niet ongeoorloofd wordt gewijzigd. 

Beschikbaarheid zorgt ervoor dat systemen en gegevens toegankelijk zijn wanneer dat nodig is. 

Deze principes zijn van toepassing op veel meer dan alleen servers en software. 

De afdeling Personeelszaken beheert personeelsdossiers, contracten, salarisgegevens en andere gevoelige persoonsgegevens. Financiën verwerkt betalingen, bankgegevens, belastingdocumenten en contracten met leveranciers. Marketing werkt met klantendatabases, campagneanalyses en merkstrategieën. Verkoop beschermt prijsafspraken, contracten en informatie over onderhandelingen. 

Geen van deze afdelingen is een IT-afdeling. Toch bevatten ze allemaal waardevolle informatie en vormen ze potentiële doelwitten. 

Een ransomware-aanval die financiële systemen blokkeert, is dan ook niet alleen een IT-probleem. Het is een bedreiging voor de continuïteit van de hele organisatie. Een phishingmail die HR-gegevens in gevaar brengt, is geen gewone technische storing, maar een risico voor de reputatie en de juridische positie van het bedrijf. En een systeemstoring die klantplatforms onbeschikbaar maakt, kan gevolgen hebben voor omzet, vertrouwen en groei op lange termijn. 

Informatiebeveiliging is daarom geen technisch project. Het is een essentieel onderdeel van professioneel bedrijfsrisicobeheer. 

Het perspectief van de hacker 

Om de urgentie echt te begrijpen, is het belangrijk om van perspectief te veranderen. Bekijk uw organisatie eens door de ogen van een cybercrimineel. Die kijkt niet naar uw merkwaarden of jarenlange inspanningen, maar naar gegevens, kansen en mogelijk financieel gewin. 

Aanvallers opereren op grote schaal en automatiseren een groot deel van hun onderzoek. Ze zoeken naar kwetsbare systemen, testen inloggegevens die bij eerdere datalekken zijn buitgemaakt en gebruiken social engineering om medewerkers te manipuleren. Daarbij zijn ze voortdurend op zoek naar zwakke schakels. En die zwakke schakel is lang niet altijd een serverconfiguratie. 

Vaak schuilt het grootste risico in menselijk gedrag. 

Eén medewerker die op een schadelijke bijlage klikt, kan al voldoende zijn om een aanval in gang te zetten. Eén hergebruikt wachtwoord kan toegang geven tot meerdere systemen. En één telefoontje van een niet-geverifieerde beller die zich voordoet als leverancier, kan ertoe leiden dat betalingen naar een verkeerde rekening worden omgeleid. 

Voor een aanvaller is uw organisatie misschien slechts één poging uit vele. Voor u kan één succesvolle aanval verregaande financiële, juridische en reputatieschade veroorzaken. 

Toenemende druk vanuit de Europese wetgeving 

Terwijl cyberdreigingen zich in hoog tempo ontwikkelen, beweegt de regelgeving mee. De Europese Unie heeft de wetgevende druk de afgelopen jaren aanzienlijk opgevoerd om de digitale veerkracht in alle lidstaten te versterken. 

De Cyber Resilience Act (CRA) introduceert verplichte beveiligingseisen voor producten met digitale elementen. Fabrikanten en leveranciers moeten cybersecurity al vanaf de ontwerpfase integreren. Ook actief kwetsbaarheidsbeheer en veilige ontwikkelpraktijken zijn niet langer vrijblijvend, maar worden steeds meer als standaard vereist. 

De NIS2-richtlijn, die in oktober 2024 van kracht werd, breidt het toepassingsgebied van de eerdere richtlijn aanzienlijk uit. Organisaties in kritieke en belangrijke sectoren — zoals energie, gezondheidszorg, transport en digitale infrastructuur — krijgen strengere verplichtingen op het gebied van risicobeheer en incidentrapportage. Daarnaast besteedt NIS2 nadrukkelijk aandacht aan de beveiliging van de toeleveringsketen. 

Ook als uw organisatie niet rechtstreeks onder de richtlijn valt, kunnen uw klanten dat wel doen. In dat geval kan van u worden verwacht dat u aantoont dat u passende beveiligingsmaatregelen hebt getroffen om zakelijke relaties te behouden. 

De AI-wet speelt in op het snel groeiende gebruik van kunstmatige intelligentie. De wet deelt AI-systemen in op basis van het risico dat ze vormen en stelt eisen aan transparantie, governance en verantwoordingsplicht. Bedrijven moeten daarom zorgvuldig beoordelen hoe ze AI in hun producten en diensten integreren. Daarbij moeten ze de betrouwbaarheid bewaken en vooringenomenheid zoveel mogelijk beperken. 

De Algemene Verordening Gegevensbescherming (AVG) blijft intussen strenge eisen stellen aan de verwerking van persoonsgegevens. Sinds de invoering in 2018 heeft de AVG de manier waarop organisaties omgaan met gegevens van klanten en medewerkers ingrijpend veranderd. Niet-naleving kan bovendien leiden tot aanzienlijke boetes. 

Sectorspecifieke regelgeving, zoals DORA voor financiële instellingen, scherpt de eisen op het gebied van operationele veerkracht verder aan. 

Deze golf aan nieuwe wetgeving is niet bedoeld om bedrijven onnodig te belasten, maar om hun digitale weerbaarheid te versterken. Naleving vraagt wel om een gestructureerde aanpak, met risicobeoordelingen, gedocumenteerde processen, technische beveiligingsmaatregelen, interne opleiding en betrokkenheid van het bestuur. 

Organisaties die compliance beschouwen als een afvinkoefening, missen de essentie. Wie regelgeving ziet als een strategische kans, kan tegelijk het vertrouwen, de reputatie en de langetermijnbestendigheid van de organisatie versterken. 

De opkomst van AI en het domino-effect 

Aanvallers gebruiken AI inmiddels om zeer overtuigende phishingmails te schrijven, het zoeken naar kwetsbaarheden te automatiseren en deepfake-audio en -video te genereren. Daardoor wordt social engineering steeds geavanceerder én schaalbaarder. 

Tegelijkertijd integreren bedrijven AI in hoog tempo in klantenservice, data-analyse, marketingautomatisering en besluitvormingsprocessen. Zonder goed beheer kan deze technologie echter nieuwe risico’s introduceren, zoals bevooroordeelde resultaten, beperkte transparantie, een te grote afhankelijkheid van geautomatiseerde beslissingen en extra aanvalsvlakken. 

In een sterk verbonden digitaal ecosysteem kan één kwetsbaarheid bovendien een domino-effect veroorzaken. Een gecompromitteerde leverancier kan uw bedrijfsvoering verstoren. Een gehackte softwareleverancier kan duizenden klanten in de toeleveringsketen blootstellen. En één zwak authenticatieproces kan aanvallers toegang geven tot meerdere gekoppelde platforms. 

De moderne onderneming opereert niet langer geïsoleerd. Risico’s verspreiden zich via netwerken — zowel technologische als menselijke. 

De menselijke factor 

Ondanks alle technologische vooruitgang vinden de meeste beveiligingsincidenten nog altijd hun oorsprong in menselijke interactie. 

Dat betekent niet dat medewerkers onzorgvuldig zijn. Het laat vooral zien dat organisaties er vaak onvoldoende in slagen om hen goed voor te bereiden en te ondersteunen. 

Trainingen rond beveiligingsbewustzijn worden nog te vaak beschouwd als een jaarlijkse formaliteit, in plaats van als een voortdurende investering in de veiligheidscultuur van de organisatie. Er worden beleidsregels opgesteld, maar die vinden niet altijd hun weg naar de dagelijkse praktijk. Ook het melden van verdachte activiteiten wordt niet overal actief aangemoedigd of gewaardeerd. 

Medewerkers moeten niet alleen weten wat ze moeten doen, maar ook begrijpen waarom dat belangrijk is. Daarvoor hebben ze behoefte aan duidelijke procedures, realistische oefeningen en leidinggevenden die veilig gedrag zichtbaar voorleven.

Wanneer medewerkers zich ondersteund voelen in plaats van verantwoordelijk gehouden of beschuldigd, groeien ze uit tot actieve verdedigers van de organisatie. 

Een cultuur van beveiliging creëren 

Informatiebeveiliging is geen verantwoordelijkheid van één afdeling. Het is een mentaliteit die de hele organisatie omvat. 

Daarvoor is betrokkenheid van het topmanagement nodig, evenals duidelijke verantwoordelijkheden en afspraken. Ook voortdurende risicobeoordeling en verbetering zijn essentieel. Technologie, processen en mensen moeten daarbij goed op elkaar worden afgestemd. 

Een sterke veiligheidscultuur betekent onder meer: 

• regelmatig risico’s beoordelen; 

• beveiliging meenemen in strategische beslissingen; 

• investeren in het beveiligingsbewustzijn van medewerkers; 

• duidelijke incidentresponsplannen opstellen; 

• beveiligingsmaatregelen consequent monitoren en evalueren; 

• beveiliging beschouwen als een manier om vertrouwen op te bouwen, niet alleen als een kostenpost. 

Bedrijven die succesvol opereren in het huidige digitale landschap, zijn niet per se de organisaties die elk risico vermijden. Dat is onmogelijk. Het zijn vooral de bedrijven die hun risicoprofiel begrijpen, proactieve maatregelen nemen en zich voorbereiden op het moment waarop — niet alleen op de vraag óf — een incident plaatsvindt. 

Want wanneer een aanval zich voordoet, is dat niet uitsluitend een IT-probleem. Het raakt ook: 

• het leiderschap; 

• de financiële gezondheid van de organisatie; 

• de reputatie; 

• de bedrijfscontinuïteit. 

Informatiebeveiliging gaat dus niet alleen over IT. Het gaat over de toekomst van uw organisatie. 

Deze thema’s worden verder uitgewerkt in Gehackt, wat nu? Daarin biedt Nathalie Claes praktische richtlijnen voor organisaties die hun weg zoeken in het voortdurend veranderende dreigingslandschap. 

Bestel nu uw exemplaar: 
Engels boek: 

🔹Amazon
🔹Barnes & Noble
🔹Google Books 
🔹Apple Books
🔹BookLocker
🔹bol.
🔹Amazon (e-boek)
Nederlands boek