Cybersecurity begint met inzicht

Door Jan Swaters, director Products & Pre-sales bij Yielder

Organisaties investeren in cybersecurity, terwijl hun digitale omgeving voortdurend verandert. Medewerkers gebruiken nieuwe applicaties, informatie verspreidt zich over verschillende platformen en AI krijgt een plek in het dagelijkse werk. Daarmee wordt één vraag steeds belangrijker: weten we nog wat we moeten beschermen?

Tijdens Cybersecurity Month besteden we aandacht aan phishing herkennen, gegevens beschermen en veilig werken. Terecht, want digitale veiligheid vraagt om bewuste keuzes van iedereen binnen een organisatie. Tegelijkertijd begint weerbaarheid al voordat een medewerker op een verdachte link klikt. Het begint bij de vraag of de organisatie voldoende zicht heeft op haar eigen digitale omgeving.

Een organisatie kan beschikken over goede beveiligingsmiddelen en toch belangrijke risico’s missen. Bijvoorbeeld doordat onduidelijk is waar vertrouwelijke informatie staat, welke medewerkers toegang hebben of welke systemen onmisbaar zijn voor de dagelijkse dienstverlening. Technologie helpt om die omgeving te beschermen, maar geeft op zichzelf nog geen volledig overzicht.

Voor mij begint grip daarom met een eenvoudige vraag die in de praktijk vaak lastig te beantwoorden is: wat proberen we precies te beschermen?

De digitale omgeving groeit sneller dan het overzicht

Iedere organisatie verandert. Er komen medewerkers bij, teams gaan met nieuwe applicaties werken en leveranciers krijgen toegang tot systemen of documenten. Ondertussen blijft informatie uit eerdere projecten vaak gewoon beschikbaar, ook wanneer niemand die nog actief gebruikt.

Denk aan een gedeelde projectmap waarvoor een externe partner tijdelijk toegang krijgt. Tijdens het project is dat logisch en noodzakelijk, maar na de afronding moet iemand beoordelen of die toegang nog nodig is. Als daar geen duidelijke afspraken over bestaan, kunnen bestanden toegankelijk blijven voor mensen die ze niet meer nodig hebben.

Het platform waarop die informatie staat, kan technisch goed beveiligd zijn. Het risico ontstaat in dit geval doordat niemand de verantwoordelijkheid neemt om de toegang opnieuw te beoordelen. Juist daarom horen informatiebeheer, toegangsrechten en eigenaarschap bij het gesprek over cybersecurity.

Wie weet welke informatie belangrijk is en wie daar verantwoordelijk voor is, kan gerichter bepalen welke bescherming nodig is. Zonder dat inzicht wordt het moeilijk om prioriteiten te stellen en uit te leggen waarom de ene investering urgenter is dan de andere.

Een verzameling beveiligingsmiddelen geeft nog geen compleet beeld

Veel organisaties hebben verschillende middelen om hun omgeving te beveiligen. De ene oplossing controleert e-mail, een andere bewaakt werkplekken en weer een andere signaleert afwijkende inlogpogingen. Die middelen leveren waardevolle informatie op, maar bekijken ieder een deel van de omgeving.

Om een risico goed te beoordelen, moet je die informatie kunnen verbinden. Een afwijkende inlogpoging krijgt bijvoorbeeld meer betekenis wanneer hetzelfde account kort daarvoor een phishingmail heeft ontvangen en daarna ongebruikelijk veel bestanden downloadt. De samenhang tussen die gebeurtenissen kan een aanleiding zijn om verder onderzoek te doen of direct in te grijpen.

Daarvoor is ook kennis van de organisatie nodig. Welke rechten heeft dit account? Om welke bestanden gaat het? En wat betekent het voor de dienstverlening als het account tijdelijk wordt geblokkeerd?

De waarde van monitoring zit daarmee ook in de beoordeling en opvolging. Er moet duidelijk zijn wie signalen onderzoekt, wie besluiten mag nemen en wie handelt wanneer dat nodig is. Die afspraken moeten ook werken als een incident zich buiten kantooruren voordoet.

Veilig werken moet passen bij de dagelijkse praktijk

Medewerkers spelen een belangrijke rol in digitale veiligheid, maar zij moeten wel de middelen krijgen om veilig te kunnen werken. Een instructie over verantwoord bestanden delen heeft weinig effect als de goedgekeurde werkwijze onduidelijk of onnodig omslachtig is.

Wanneer een medewerker snel een groot bestand naar een klant moet sturen, moet duidelijk zijn welke toepassing daarvoor beschikbaar is. Anders ontstaat de kans dat diegene zelf een alternatief zoekt, zonder te weten wat er met de informatie gebeurt of wie er toegang tot krijgt.

Hetzelfde geldt voor het melden van verdachte e-mails. Medewerkers moeten weten waar ze terechtkunnen, waarna de organisatie de melding moet beoordelen en waar nodig actie moet ondernemen. Terugkoppeling helpt bovendien om te laten zien dat melden zin heeft.

Bewustwording en een goed ingerichte werkomgeving versterken elkaar. Hoe beter veilige werkwijzen aansluiten op het dagelijkse werk, hoe gemakkelijker het wordt om ze daadwerkelijk te volgen.

AI maakt bestaande onduidelijkheid zichtbaar

Ook bij het gebruik van AI is die aansluiting belangrijk. Medewerkers zien mogelijkheden om documenten samen te vatten, informatie op te zoeken en werkzaamheden sneller uit te voeren. Om daar verantwoord gebruik van te maken, moeten zij weten welke toepassingen zijn toegestaan en welke gegevens zij daarin mogen gebruiken.

Daarachter ligt een bredere vraag: heeft de organisatie haar informatie voldoende op orde? Als onduidelijk is welke documenten vertrouwelijk zijn of wie toegang nodig heeft, wordt het ook lastig om goede afspraken over AI te maken.

Bestaande toegangsrechten verdienen daarbij extra aandacht. Afhankelijk van de toepassing en inrichting kan AI informatie gemakkelijker vindbaar maken. Gegevens die al te breed toegankelijk waren, kunnen daardoor sneller bij medewerkers terechtkomen voor wie ze niet bedoeld zijn.

Wie AI wil inzetten, moet dus ook kijken naar de informatie waarop die toepassing steunt. Dat vraagt om duidelijke verantwoordelijkheden en afspraken die medewerkers begrijpen en kunnen toepassen.

Digitale weerbaarheid vraagt om bestuurlijke keuzes

De gevolgen van een beveiligingsincident zijn voelbaar in de hele organisatie. Als systemen uitvallen, kunnen medewerkers hun werk niet doen en komt de dienstverlening onder druk te staan. Nieuwsberichten over cyberincidenten laten zien hoe ingrijpend dat kan zijn: van bedrijven die tijdelijk stilliggen tot vertrouwelijke gegevens die op straat belanden. Daarmee raakt een incident ook klanten en samenwerkingspartners en kan het vertrouwen in de organisatie blijvend schade oplopen.

Daarom hoort cybersecurity ook op de agenda van de directie. IT kan risico’s onderzoeken en maatregelen voorstellen, maar de afweging over continuïteit, investeringen en aanvaardbare risico’s vraagt om betrokkenheid vanuit de organisatie.

Bestuurders hoeven daarvoor geen technische experts te worden. Zij moeten wel kunnen begrijpen welke processen kwetsbaar zijn, wat een verstoring betekent en welke mogelijkheden er zijn om de gevolgen te beperken.

Ook bij samenwerking met een IT-partner blijven heldere afspraken noodzakelijk. Wie bewaakt de omgeving, wie beoordeelt een incident en wie neemt beslissingen over maatregelen die de bedrijfsvoering raken? Door die verantwoordelijkheden vooraf vast te leggen en te oefenen, wordt duidelijk of de aanpak ook in de praktijk werkt.

Maak het overzicht concreet

Mijn advies is om te beginnen bij een proces waarvan de organisatie sterk afhankelijk is, zoals orderverwerking, cliëntenzorg of financiële administratie. Breng in kaart welke systemen, gegevens, medewerkers en leveranciers nodig zijn om dat proces te laten functioneren.

Onderzoek vervolgens of toegangsrechten passen bij de werkzaamheden, of afwijkingen worden opgemerkt en wie verantwoordelijk is voor de opvolging. Kijk ook naar herstel: kan het proces na een verstoring binnen een aanvaardbare tijd weer worden hervat en is dat daadwerkelijk getest?

Zo’n aanpak maakt duidelijk waar de bescherming goed aansluit en waar aanvullende maatregelen nodig zijn. Daarmee ontstaat een onderbouwd gesprek over investeringen en verantwoordelijkheden, gekoppeld aan wat de organisatie draaiende houdt.

Cybersecurity Month biedt een goede aanleiding om dat gesprek te voeren. Naast aandacht voor phishing en veilig gedrag verdient ook het overzicht achter de beveiliging een vaste plek op de agenda. Want pas als je weet welke informatie, systemen en processen van belang zijn, kun je bepalen hoe je ze passend beschermt.