Maandag 08.14 uur.
Een medewerker ontvangt een e-mail van de directeur.
"Kun je deze factuur vandaag nog betalen? Heeft haast."
Logo klopt. Naam klopt. Toon klopt.
Drie minuten later staat er € 48.000 op de rekening van een crimineel.
Of deze:
Een projectleider werkt thuis en slaat tijdelijk een bestand met persoons- of clientgegevens op zijn laptop op. Een week later wordt zijn tas uit de auto gestolen.
Of deze:
Een collega krijgt een Teams-bericht van een bekende leverancier. Er wordt gevraagd om "even opnieuw in te loggen". De inlogpagina ziet er perfect uit. Ook de URL lijkt te kloppen.
Totdat het niet zo blijkt te zijn.
Dit zijn geen verhalen uit films. Dit zijn de incidenten waar organisaties dagelijks mee te maken krijgen.
En het ongemakkelijke nieuws?
De meeste aanvallen beginnen niet met iets technisch. Ze beginnen bij mensen.
Cybersecurity is geen IT-project
Wanneer organisaties over cybersecurity praten, gaat het vaak over firewalls, antivirussoftware, monitoring of back-ups.
Allemaal super belangrijk.
Maar de werkelijkheid is dat veel beveiligingsincidenten ontstaan doordat iemand een verkeerde link aanklikt, een wachtwoord hergebruikt, een bestand deelt met de verkeerde persoon of simpelweg niet doorheeft dat er iets niet klopt.
Dat is geen onwil.
Dat is simpel menselijk gedrag.
We hebben deadlines. We willen klanten helpen. We krijgen honderden berichten per week. Niemand staat elke ochtend op met de gedachte: vandaag ga ik eens extra letten op social engineering. Ik zou er zelf ook in kunnen trappen.
Juist daarom is cybersecurity veel minder een technisch vraagstuk dan vaak wordt gedacht.
Het is een organisatievraagstuk.
De vraag is niet óf, maar wanneer
Dat klinkt misschien pessimistisch.
Wij vinden het juist realistisch. Je kan er maar beter rekening mee houden.
Geen enkele organisatie is volledig veilig. De systemen worden beter, maar aanvallers worden ook slimmer. Met AI kunnen phishingmails tegenwoordig foutloos worden geschreven. Waar vroeger een slecht vertaald bericht direct opviel, zijn veel aanvallen vandaag nauwelijks van echte communicatie te onderscheiden.
Daarom verschuift de vraag.
Niet:
"Kunnen we voorkomen dat er ooit iets gebeurt?"
Maar:
"Hoe snel ontdekken we het?"
"Weten medewerkers wat ze moeten doen?"
"Kunnen we herstellen als het misgaat?"
De vergeten schakel: bewustwording
Bij Bond werken we dagelijks aan digitale platforms, intranetten en communities.
Wat ons daarbij steeds opvalt: technologie veranderen is vaak eenvoudiger dan gedrag veranderen.
Een nieuw platform invoeren is niet moeilijk.
Zorgen dat mensen het daadwerkelijk gebruiken? Dat is een ander verhaal.
Voor cybersecurity geldt precies hetzelfde.
Een organisatie kan investeren in de beste beveiligingsoplossingen ter wereld, maar als mensen niet begrijpen waarom iets belangrijk is of hoe ze moeten handelen, blijft er een risico bestaan.
Bewustwording gaat daarom niet over angst.
Het gaat over herkenning.
- Zou ik deze e-mail normaal gesproken vertrouwen?
- Waarom vraagt iemand mij om haast te maken?
- Is deze link wel echt?
- Wat doe ik als ik twijfel?
- Bij wie meld ik een incident?
Dat zijn uiteindelijk de vragen die het verschil maken.
Van een jaarlijkse presentatie naar een gewoonte
Veel organisaties organiseren één keer per jaar een securitytraining.
Afgevinkt.
Probleem opgelost.
Maar zo werkt gedrag niet.
Niemand leert autorijden door één keer een presentatie te volgen. Niemand wordt fit door één keer naar de sportschool te gaan. Zeg ik.
Bewustwording werkt alleen wanneer het regelmatig terugkomt.
Korte praktijkvoorbeelden.
Phishingsimulaties.
Collega's die ervaringen delen.
Leidinggevenden die het onderwerp serieus nemen.
Concrete handelingsperspectieven.
Niet als verplicht nummer, maar als onderdeel van de dagelijkse werkpraktijk.
En hoe zit het met de techniek?
Uiteraard blijft techniek belangrijk.
Sterker nog: zonder goede technische basis heeft bewustwording weinig zin.
Denk aan:
- Multi-factor authenticatie (MFA)
- Rechten en toegangsbeheer
- Monitoring en logging
- Back-upvoorzieningen
- Endpoint-beveiliging
- Pentesting.
- Securityreviews van Microsoft 365 en bedrijfskritische applicaties
Maar ook hier zien we vaak verrassende situaties.
Back-ups blijken aanwezig te zijn, maar zijn nooit getest. Ik weet het.
Vertrokken medewerkers hebben nog toegang.
Gastaccounts bestaan nog jaren.
Niemand weet precies wie toegang heeft tot welke informatie.
Dat zijn vaak geen technische problemen. Dat zijn organisatorische problemen.
Wat gebeurt er als het écht misgaat?
Dit is misschien wel de belangrijkste vraag.
Stel dat morgen blijkt dat systemen zijn versleuteld door ransomware.
Wie neemt de leiding?
Wie informeert medewerkers?
Wie spreekt met klanten?
Wie communiceert met leveranciers, partners?
Wie bepaalt welke systemen eerst worden hersteld? Wat heeft prio?
Veel organisaties investeren in preventie, maar oefen je ook een echt incident?
Zoiets een brandalarm hebben zonder ooit een ontruimingsoefening te houden.
Juist daarom zien we steeds vaker de waarde van pentests, phishingcampagnes en crisissimulaties. Niet om mensen af te rekenen, maar om te leren hoe de organisatie reageert wanneer de druk ineens oploopt.
Digitale veiligheid is uiteindelijk mensenwerk
Misschien is dat wel de grootste les.
Cybersecurity gaat natuurlijk over techniek.
Maar uiteindelijk draait het om mensen die signalen herkennen. Om teams die samenwerken. Om kennis die wordt gedeeld. Om processen die duidelijk zijn. Om leiders die het goede voorbeeld geven.
Precies dezelfde ingrediënten die nodig zijn om een succesvolle community op te bouwen.
Bij Bond geloven we daarom dat digitale veiligheid niet alleen wordt bepaald door software en systemen.
Ze wordt bepaald door de manier waarop mensen samenwerken.
Want de sterkste firewall ter wereld helpt maar beperkt als niemand weet wat er moet gebeuren zodra er iets verdachts gebeurt.
Cybersecurity is geen project dat je afrondt. Het is een gewoonte die je organiseert. Net als samenwerking, kennisdeling en communityvorming. En juist daar begint duurzame digitale veiligheid.