Blog

Cyberdreigingen ontwikkelen zich razendsnel. Nieuwe technologieën maken aanvallen geavanceerder, maar tegelijk ook laagdrempeliger. Toch blijft één factor telkens terugkomen als belangrijkste schakel: de mens. Geen enkele firewall, AI-gedreven detectietool of geavanceerd platform kan op tegen menselijke fouten. Daarom wordt security culture steeds vaker genoemd als dé cruciale factor in de verdediging tegen cyberrisico’s.

---

Wat is security culture?

Security culture gaat verder dan kennisoverdracht of jaarlijkse awareness-trainingen. Het draait om gedrag, overtuigingen en gewoontes die diep in mensen verankerd zijn. De manier waarop ze instinctief omgaan met informatie en technologie, zelfs wanneer niemand meekijkt. Een sterke veiligheidscultuur betekent dat de medewerkers automatisch verdachte situaties herkennen, proactief melding maken van afwijkingen en goede beveiligingsgewoontes volgen zonder dat dit als last voelt. Met andere woorden: veiligheid wordt een natuurlijk onderdeel van zowel werk als dagelijks leven en geen opgelegde verplichting.

Niet alleen op de werkvloer

In vrijwel alle grote cyberincidenten heeft menselijk gedrag een cruciale invloed. Het zijn niet alleen medewerkers op kantoor die risico’s lopen, ook in het privéleven worden mensen voortdurend blootgesteld aan phishinglinks, valse inlogschermen en misleidende telefoontjes. Wie thuis gewend is alert te zijn op verdachte berichten in WhatsApp of vreemde verzoeken via sociale media neemt die reflex automatisch mee naar de werkvloer. Omgekeerd kan onzorgvuldigheid in de privésfeer – bijvoorbeeld het hergebruiken van wachtwoorden of het klakkeloos installeren van apps – rechtstreeks gevolgen hebben voor de organisatie, zeker nu werk en privé digitaal steeds meer met elkaar verweven zijn.

De waarde van een sterke cultuur

Wat de urgentie van een veiligheidscultuur verder vergroot is de enorme toename van datalekken bij organisaties wereldwijd. Wanneer miljoenen inloggegevens of persoonsgegevens op straat komen te liggen groeit de kans dat criminelen met relatief weinig moeite gerichte aanvallen kunnen uitvoeren. Een aanvaller die beschikt over het privémailadres en wachtwoord van een medewerker maakt een grotere kans om toegang te krijgen tot zakelijke systemen. Bovendien maakt die overvloed aan gestolen gegevens phishingcampagnes effectiever: berichten ogen persoonlijker en overtuigender, waardoor de kans dat iemand erin trapt aanzienlijk toeneemt. Juist hier laat een sterke security culture haar waarde zien. Medewerkers die gewend zijn sterke en unieke wachtwoorden te gebruiken – ondersteund door een wachtwoordmanager, multi-factor authenticatie en alert blijven op afwijkend gedrag – vormen een natuurlijke barrière tegen aanvallen. En die houding beperkt zich niet tot het kantoor. Verdachte sms’jes direct verwijderen en vrienden waarschuwen voor oplichtingspraktijken vergroot de algehele weerbaarheid.

Een gezonde security culture

Een volwassen cultuur ontstaat niet door één enkele training of een jaarlijkse campagne, maar door voortdurende aandacht en voorbeeldgedrag. Het begint bij leiderschap dat laat zien dat beveiliging niet optioneel is, maar onderdeel van de dagelijkse routine. Daaronder ligt de basis van een omgeving waarin medewerkers zich veilig voelen om vragen te stellen en incidenten te melden, of dit nu een verkeerd aangeklikte link is of een twijfelachtig verzoek via telefoon of sociale media. Wanneer goed gedrag wordt gewaardeerd en niet alleen fouten worden afgestraft ontstaat een klimaat waarin mensen vanuit overtuiging meewerken aan veiligheid. Zo wordt cybersecurity een vanzelfsprekend onderdeel van het dagelijks handelen, zowel op de werkvloer als thuis, in plaats van een lastige verplichting die alleen tijdens kantooruren geldt.

Van compliance naar risicoreductie

Veel organisaties beperken zich tot het voldoen aan normen en regels. Hoewel compliance belangrijk is, leidt dit zonder gedragen cultuur vooral tot vinkjes op papier. Echte risicoreductie ontstaat pas wanneer beveiliging onderdeel is van de identiteit van een organisatie. Pas dan ontstaat de flexibiliteit en weerbaarheid om adequaat te reageren op nieuwe dreigingen. Goede technische oplossingen zijn noodzakelijk, maar nooit voldoende. In een tijd waarin phishingcampagnes, social engineering en grootschalige datalekken exponentieel groeien, vormt security culture de doorslaggevende factor. Een organisatie die haar medewerkers ziet als eerste verdedigingslinie in plaats van grootste risico, zet een fundamentele stap in het mitigeren van cyberrisico’s. Uiteindelijk is de kracht van de beveiliging zo groot als de cultuur die erachter staat.

Het begint met goede bedoelingen: een informatiebeveiligingsbeleid, opgesteld om compliant te zijn en risico’s te beperken. Alles wordt netjes vastgelegd: wie doet wat, hoe en waarom. Maar dan blijft het stil. Er volgt geen implementatie, controle of naleving. Helaas komt dit in de praktijk nog vaak voor. Ook de cijfers liegen er niet om: datadiefstal neemt exponentieel toe. Het aantal ransomwareaanvallen in Nederland waarbij data werd gestolen was vorig jaar bijna twee keer zo hoog als het jaar ervoor. Een helder beleid voor cybersecurity – waarin staat beschreven hoe je jouw bedrijfs-, klant- en medewerkersgegevens beschermt en verwerk – is daarom cruciaal.

---

Securitybeleid in de markt

In Nederland wordt het gebrek aan uitvoerbaar beleid vaak onderschat. In de driehoek people-process-technology is het procesgedeelte leidend bij het opzetten van een fatsoenlijke cybersecurity-strategie. Wat doe je nu, wat wil je gaan doen en hoe ga je het doen? Dat zijn de grootste vraagstukken. Om weerbaar te zijn moet je immers voorbereid zijn. We zien in de markt en bij onze klanten dat het begrip en draagvlak voor een informatiebeveilingsbeleid wel aanwezig zijn in de beslissende lagen van een organisatie. Er moet ten slotte worden voldaan aan richtlijnen en wetgeving. Waar echter een gebrek aan is – en juist de behoefte ligt – is hulp bij het opstellen en uitvoerbaar maken hiervan. Zonder uitvoering van je beleid voor cybersecurity is het beleid zelf immers niets waard!

Risico’s voor organisaties

In 40 procent van de door de Autoriteit Persoonsgegevens (AP) onderzochte gevallen beschikten bedrijven of instellingen wel over beleid tegen cyberaanvallen, maar voerden dit niet juist uit of hielden er onvoldoende toezicht op. In 33 procent van de gevallen was er geen of onvoldoende beleid tegen cyberaanvallen aanwezig. Dat is precies wat we binnen het cybersecurityteam van Acknowledge ook constateren bij onze klanten. De 40 procent die wél beleid hebben, kunnen de technische vertaalslag niet maken en de 33 procent zijn bij voorbaat weerloos tegen elke vorm van cybercriminaliteit.

Toepassen is de volgende stap

Het gaat er dus om dat je als organisatie niet alleen een beleid voor cybersecurity hebt, maar je hier ook goed aan kunt houden en regelmatig controleert of dat beleid nog actueel is. Want hoe goed je bedoelingen ook zijn, wanneer dit niet goed wordt nageleefd vormt het een risico voor je organisatie. Gelukkig hoeft uitvoerbaar beleid niet ingewikkeld of kostbaar te zijn. Voor de prijs van een kop koffie per medewerker per maand kun je al een basisbeleid opstellen en implementeren dat aansluit op richtlijnen zoals NIS2, ISO, NEN, BIO en het Normenkader Onderwijs. En voor een kop koffie helpen wij jouw organisatie ook graag bij een eerste aanzet in de vorm van een gratis workshop.

We gebruiken voor zo’n beetje elke online activiteit: wachtwoorden. En helaas hebben we er ook allemaal weleens ruzie mee: te makkelijk, te kort, er ontbreekt een cijfer, hoofdletter of speciaal karakter. De bekende Britse komiek Michael McIntyre weet in zijn Netflix-show haarscherp elk cliché over wachtwoorden te benoemen met de uitspraak “I should probably change my password”. Maar bij het wijzigen van wachtwoorden hoort ook het onthouden ervan. Idealiter gebruiken we een wachtwoordmanager met een sterk master-wachtwoord. Helaas houden sommigen van ons wachtwoorden nog steeds bij op papier, in een schrift, op een plaknotitie, in een Excel-document of gewoon in ons hoofd. Bij verplichte wachtwoordwijzigingen wordt de administratie vaak te lastig, waardoor we simpelweg het getal achter het wachtwoord ophogen van 1 naar 2. Herkenbaar? You should probably change your password! Wij vragen ons daarom af: is wachtwoordloos werken niet veiliger?

---

Uitdagingen van wachtwoordbeheer

Als we eenmaal een goed wachtwoord hebben, mogen we het maar voor een bepaalde tijd gebruiken. In het ergste geval vullen we het in op een phishing-site of lekt het uit een database van een webwinkel. Zoek jezelf maar eens op bij www.HaveIbeenPwned.com. De meesten van ons staan erop met een of meerdere vermeldingen. Daarnaast heb je naast een wachtwoord vaak ook een verificatie via multi-factor authenticatie (MFA) nodig. Maar krijg ik deze in de Microsoft Authenticator-app, via een sms of ergens anders? Kortom, veilige authenticatie wordt steeds complexer. Ook bij tech-reuzen zoals Microsoft, Google, Amazon en Apple hebben ze de boodschap ontvangen: wachtwoorden zijn misschien niet meer van deze tijd. Het wordt tijd om er afscheid van te nemen.

FIDO-standaard

Een van de eerste initiatieven op het gebied van wachtwoordloze (passwordless) authenticatie is de FIDO Alliance. Sinds 2013 brengt deze alliantie grote techbedrijven samen om een standaard te ontwikkelen die onze afhankelijkheid van wachtwoorden vermindert en authenticatie veiliger maakt. Inmiddels heeft de FIDO Alliance vier standaarden ontwikkeld. Hierdoor kunnen we gebruikmaken van biometrische authenticatiemethoden zoals gezichtsherkenning en irisscanners, maar ook van USB-tokens, trusted platform modules (TPM’s) – beveiligt hardware door middel van cryptografische sleutels op een veilige plek – in laptops en NFC-antennes in smartphones, waarmee apparaten op korte afstand van elkaar kunnen communiceren.

Uitwisselen van passkeys

In de praktijk zien we dat techbedrijven hun eigen draai geven aan de FIDO-standaarden. Microsoft Authenticator stelt gebruikers in staat veilig in te loggen op een Microsoft 365-omgeving en met Windows Hello kunnen we zonder wachtwoord inloggen op werkstations. Apple biedt Face ID en Touch ID aan en Yubico levert de bekende YubiKeys in de vorm van een USB-stick. Al deze authenticatiemethoden vinden hun oorsprong in de FIDO Alliance. Deze oplossingen kunnen afzonderlijk worden gebruikt, maar ook voor het uitwisselen van passkeys. Deze digitale sleutels worden gebruikt bij toegang tot een (web)applicatie. Wanneer bijvoorbeeld Face ID bevestigt dat de juiste persoon om de passkey vraagt, wordt deze uitgewisseld met de applicatie voor toegang.

Veilig wachtwoordloos

Gebruikers hoeven bij wachtwoordloze authenticatie zelf geen wachtwoord meer te kiezen. In plaats daarvan worden wachtwoorden vervangen door een PIN, biometrie of fysiek apparaat zoals een USB-dongle. Geen eindeloze wachtwoorden meer onthouden, geen zorgen meer over de sterkte van wachtwoorden en geen frustratie bij verlopen wachtwoorden. Er zit echter ook een risico aan. Door middel van social engineering kunnen gebruikers gemanipuleerd worden om vertrouwelijke informatie prijs te geven. Door een combinatie van een PIN en biometrische verificatie te gebruiken wordt het voor kwaadwillenden al een stuk lastiger. Conditional access is een andere manier om extra waarde toe te voegen aan de beveiliging. Deze beveiligingsmethode zorgt ervoor dat informatie wordt gecontroleerd op basis van bepaalde voorwaarden, zoals het apparaat dat wordt gebruikt, de locatie van de gebruiker of andere factoren. Dit helpt bij het veilig ontsluiten van informatie door alleen geautoriseerde gebruikers toegang te geven onder de juiste omstandigheden.

Grip op jouw authenticatie

Terwijl we het voor gebruikers eenvoudiger en veiliger maken om in te loggen, neemt de complexiteit onder de motorkap toe. Organisaties worden hierbij ondersteund door onder andere Microsoft, waarbij wachtwoordloze oplossingen binnen EntraID in combinatie met conditional access een veilige manier bieden om zonder wachtwoord aan te melden. Dit biedt jouw organisatie meer grip op het veilig ontsluiten van informatie. Om jou te helpen het gebruiksgemak én de veiligheid van wachtwoordloze authenticatie te vergroten, zetten we de belangrijkste do’s en don’ts nog eens voor je op een rijtje:

De klok tikt voor Exchange Server 2019. Op 14 oktober 2025 eindigt de uitgebreide ondersteuning vanuit Microsoft. Vanaf dat moment zijn er geen beveiligingsupdates of ondersteuning meer beschikbaar. Voor organisaties die nog afhankelijk zijn van deze on-premise oplossing is dit hét moment om vooruit te kijken. De overstap naar Exchange Online binnen Microsoft 365 biedt niet alleen een toekomstbestendige oplossing, maar ook aanzienlijke voordelen op het gebied van veiligheid, beheer en schaalbaarheid.

---

De vakantieperiode is een tijd om te ontspannen en genieten, maar veel vakantiegangers kunnen hun werk niet volledig loslaten. Of je nu e-mails beantwoordt vanaf een zonnig terras of inlogt op een openbaar netwerk in een internetcafé, het is belangrijk om bewust te zijn van de privacyrisico’s die hiermee gepaard gaan. In deze blog geven we tips voor veilig werken op vakantie.

---

Gevaren van werken op vakantie

Een van de grootste risico’s tijdens het werken op vakantie is het gebruik van onbeveiligd internet. Openbare wifinetwerken – zoals die in cafés, hotels en luchthavens – zijn vaak niet goed beveiligd. Cybercriminelen kunnen gemakkelijk toegang krijgen tot deze netwerken en gevoelige informatie onderscheppen. Dit varieert van inloggegevens tot vertrouwelijke bedrijfsinformatie. Wanneer je in openbare ruimtes werkt loop je bovendien het risico dat anderen mee kunnen kijken op het scherm van je laptop of telefoon. Dit kan gebeuren in een restaurant, op het strand of zelfs in het vliegtuig. Meekijkers kunnen gevoelige informatie zien, zoals e-mails, documenten en wachtwoorden. Het gebruik van gedeelde of openbare computers, bijvoorbeeld in internetcafés, brengt ook risico’s met zich mee. Deze apparaten zijn mogelijk geïnfecteerd met malware of keyloggers die je toetsaanslagen registreren en gevoelige informatie stelen.

Bescherm je privacy

Zorg voordat je op vakantie gaat dat je apparaten up-to-date zijn met de nieuwste beveiligingspatches en softwareupdates. Dit helpt kwetsbaarheden te dichten die door cybercriminelen kunnen worden misbruikt. Vermijd het gebruik van openbare computers voor werkgerelateerde taken zoveel mogelijk. Als je toch een openbare computer moet gebruiken, zorg er dan voor dat je altijd uitlogt van je accounts en je browsergeschiedenis wist na gebruik. Voer ook geen gevoelige taken uit op openbare wifinetwerken. Gebruik je mobiele data of een persoonlijke hotspot voor een veiligere verbinding. En een tip die altijd geldt: gebruik sterke, unieke wachtwoorden voor al je accounts en verander deze regelmatig. Overweeg het gebruik van een wachtwoordmanager om je wachtwoorden veilig op te slaan en te beheren.

Maak gebruik van tools

Een Virtual Private Network (VPN) is een essentiële tool voor iedereen die op vakantie werkt. Een VPN versleutelt je internetverbinding, waardoor het voor cybercriminelen veel moeilijker wordt om je gegevens te onderscheppen. Zorg ervoor dat je een betrouwbare VPN-dienst gebruikt en deze altijd inschakelt wanneer je verbinding maakt met een openbaar netwerk. Twee-factor authenticatie (2FA) of multi-factor authenticatie (MFA) voegt een extra beveiligingslaag toe aan je accounts. Zelfs als iemand je wachtwoord weet te bemachtigen hebben ze nog steeds toegang nodig tot een tweede verificatiemethode, zoals een code die naar je telefoon wordt gestuurd. Tot slot voorkomt een privacyscherm voor je laptop of telefoon dat nieuwsgierige ogen meekijken. Deze schermen beperken de kijkhoek, zodat alleen degene die recht voor het scherm zit ziet wat er gebeurt. Dit is vooral handig in drukke openbare ruimtes.

Information Technology Infrastructure Library – beter bekent onder de afkorting ITIL – biedt een kader voor IT-servicemanagement. Maar je kunt ITIL ook toepassen op informatiebeveiliging en privacy. Zo ontstaat een proces dat niet alleen bescherming biedt, maar ook efficiëntie en controle.

---

De gestructureerde processen van ITIL zorgen voor een beveiliging die niet alleen reactief is, maar juist proactief inspeelt op veranderingen, van strategie tot operatie. Door bij nieuwe diensten tijdens de ontwikkeling al zowel technisch als organisatorisch af te dwingen dat op een veilige manier met persoonsgegevens wordt omgegaan is er altijd voldoende aandacht voor informatiebeveiliging (privacy by design). We hebben de belangrijkste rollen rondom informatiebeveiliging en privacy op een rij gezet. Laten we per functie eens bekijken hoe ze samenwerken met ITIL-rollen.

De wereld verandert snel. Klanten verwachten steeds snellere service, processen moeten flexibel zijn en datagedreven werken is niet langer nice to have, maar pure noodzaak. Veel organisaties zien het belang van digitalisering en automatisering. In de praktijk blijkt het echter niet altijd eenvoudig om de stap te zetten van losse systemen naar een gestroomlijnde, toekomstbestendige bedrijfsvoering. Software voor enterprise resource planning (ERP) biedt uitkomst! Een krachtig ERP-systeem – zoals Microsoft Dynamics 365 Business Central – helpt organisaties groeien naar de volgende fase.

---

Van versnipperde data naar centrale waarheid

Veel organisaties zijn gegroeid met systemen die niet optimaal met elkaar samenwerken. Finance werkt in een boekhoudpakket, sales noteert alles in Excel, inkoop heeft zijn eigen systeem en voorraad wordt in weer een andere tool bijgehouden. Losse oplossingen die elk hun werk doen, maar het grote geheel ontbreekt. Dat betekent niet alleen veel handmatige handelingen, maar ook een verhoogd risico op fouten, dubbele invoer en onduidelijkheid over de actuele status van orders, voorraden of facturen. De tijd dat organisaties hiermee weg konden komen ligt inmiddels achter ons. Klanten verwachten realtime inzicht, snelle levering en een foutloze afhandeling.

ERP-software als motor van integratie

Moderne ERP-systemen lossen precies dit probleem op. Ze brengen bedrijfsprocessen zoals financiën, verkoop, voorraadbeheer, projectadministratie en serviceplanning samen in één geïntegreerde omgeving. Of je nu werkt op kantoor, in de werkplaats of onderweg: met een ERP-systeem heb je altijd en overal toegang tot actuele informatie. Doordat de oplossing in de cloud draait zijn softwareupdates, beveiliging en schaalbaarheid automatisch geregeld. Daarnaast werken ERP-systemen vaak samen met tools die veel organisaties al gebruiken, zoals Outlook, Team en Power BI.

Van inzicht naar actie

Een belangrijke kracht van ERP-software is dat het niet alleen data verzamelt, maar er ook direct waardevolle inzichten uit haalt. Door processen te automatiseren en rapportages te visualiseren krijg je sneller grip op je bedrijfsvoering en kun je datagedreven beslissingen nemen. Ontvang automatische waarschuwingen bij voorraadtekorten, draai actuele cashflowanalyses uit en ontwikkel dashboards met klant- en omzetontwikkelingen. Dat maakt een ERP niet alleen een administratief systeem, maar een strategisch hulpmiddel voor groei en wendbaarheid.

Waar staat jouw organisatie?

De integratie van een ERP-systeem begint niet met technologie, maar met inzicht in je eigen processen. Veel organisaties vinden het lastig om objectief te beoordelen hoe volwassen hun ERP-landschap eigenlijk is. Stel jezelf eens de volgende vragen:

• Zijn je financiële en operationele processen volledig geautomatiseerd, of werk je nog veel met spreadsheets?
• Hoe snel kun je de juiste cijfers boven tafel krijgen als het erop aankomt?
• Heb je één centrale waarheid of meerdere versies van de werkelijkheid in verschillende systemen?
• Is je organisatie in staat flexibel op te schalen of processen aan te passen als de markt daarom vraagt?

Het beantwoorden van deze vragen geeft vaak direct inzicht waar er ruimte voor verbetering ligt én hoe ERP-software daarbij kan helpen.

Hoeveel we het ook proberen, honderd procent veilig werken zonder het risico te lopen slachtoffer te zijn van een security-incident is alleen haalbaar als je de stekkers van alle apparatuur uit het stopcontact trekt. Aangezien de productiviteit dan naar nul zakt is dit geen optie. Hoe hard we er ook aan werken om het te voorkomen, het kan dus gebeuren dat er een beveiligingsincident plaatsvindt. Om grote schade aan je organisatie te voorkomen wil je dat dan een beproefde incident response-cyclus in werking treedt.

---

Incident response-plan

Voordat een cybersecurity-incident plaatsvindt is door het securityteam gelukkig al goed nagedacht over de incident response. In de voorbereidingsfase (preparation) wordt een plan opgesteld waarin staat wat te doen bij een incident. Het incident response-plan bevat minimaal de volgende onderdelen:

• Business continuity plan (BCP): hoe blijft de organisatie operationeel tijdens een incident?
• Kritische systemen en data: een overzicht van welke systemen kritisch zijn voor de bedrijfsvoering van de organisatie (onderdeel van het BCP).
• Communicatieprocedures: welke informatie wordt wanneer gedeeld? Dit is zowel intern binnen een organisatie als extern naar bijvoorbeeld de media in geval van een datalek of ransomwareaanval.

De war room

In het incident response-plan staat ook beschreven welke stakeholders er zijn en wie aanwezig moeten zijn in de war room. Een aantal belangrijke stakeholders zijn de CISO, de incidentmanager en een lid van de technische securityafdeling. Binnen de war room is de CISO het aanspreekpunt en de schakel tussen de leden in de war room en de directie. Om te voorkomen dat er meerdere lijnen van communicatie ontstaan wordt door de directie enkel met de CISO gesproken en niet met andere leden van de war room. De CISO is daarnaast de eigenaar van het incident response-plan en is dus op strategisch niveau verantwoordelijk.

Incidentmanager

Waar de CISO op strategisch niveau verantwoordelijk is, is de incidentmanager dat op tactisch-operationeel niveau. De incidentmanager is degene die zorgdraagt dat verzachtende (mitigerende) maatregelen ook daadwerkelijk worden uitgevoerd. Hij is het aanspreekpunt voor de technici die dit moeten implementeren en het changemanagement. De incidentmanager is ook degene die samen met communicatie verantwoordelijk is voor de interne communicatie in het geval van een incident. Soms wordt een incident gemeld door een externe partij of ontdekt door het security operations center (SOC). Bij Acknowledge is het Acknowledge Security Emergency Response Team (ASERT) hiervoor verantwoordelijk. Binnen de war room is ook altijd een van de teamleden aanwezig om inhoudelijke toelichting te geven op kwetsbaarheden of aanvallen.

Assessment en CER

Er is stront aan de knikker! En nu? Als eerste wordt er een assessment uitgevoerd. Hoe ernstig is het incident? Zijn er bijzondere persoonsgegevens gelekt of kritische systemen uitgevallen? Gaat het om een enkele computer of is de gehele organisatie platgelegd? Wat is de impact voor de organisatie, maar ook voor de klanten van een organisatie? De impact kan hier in brede zin worden gelezen. Focus niet alleen op de operationele kant, maar bepaal ook welke financiële gevolgen dit heeft. Als het assessment is afgerond gaan we door naar de containment, eradication & recovery-fase (CER). Besmette systemen worden geïsoleerd binnen het netwerk, malware wordt verwijderd en systemen opnieuw ingespoeld en uitgerold.

Continue evaluatie

Hoewel het nu klinkt alsof de assessmentfase en de CER-fase lineair zijn is dat niet het geval. Na iedere CER-fase wordt een nieuwe assessmentfase uitgevoerd om te kijken of de scope en impact is veranderd na de CER-werkzaamheden. Pas wanneer in de assessmentfase duidelijk wordt dat het incident is opgelost gaan we over naar de laatste fase, de post-incident activities. In dit stadium worden het proces en de activiteiten geëvalueerd. Welke zaken gingen goed binnen het incident response-traject en welke verbeterpunten zijn er? Het is een brede evaluatie van begin tot einde. Vragen die we stellen zijn bijvoorbeeld ‘waren we voldoende voorbereid?’ en ‘zijn de juiste mensen betrokken?’ Dit is ook het moment dat het incident response-plan wordt bijgesteld aan de hand van de ervaringen.

Cyberdreigingen blijven zich ontwikkelen en vormen een steeds grotere uitdaging voor organisaties wereldwijd. Met de invoering van de NIS2-wetgeving, de opkomst van AI-gedreven aanvallen en het groeiende belang van pentesten is het belangrijker dan ooit om een sterke cybersecuritystrategie te hebben. In deze blog bespreken we niet alleen bestaande uitdagingen in cybersecurity, maar ook nieuwe trends, inzichten van brancheorganisaties en hoe bedrijven zich kunnen voorbereiden op de toekomst.

---

Versterk de laatste verdedigingslinie

E-mail blijft een van de meest gebruikte kanalen voor cyberaanvallen. In 2024 werd 35 procent van alle malware via e-mail afgeleverd. Meer dan 94 procent van de organisaties rapporteerde beveiligingsincidenten met e-mail. Ondanks training klikt nog steeds gemiddeld 30 procent van de mensen op phishinglinks. Dit laat zien dat bewustwording alleen niet genoeg is. Brancheorganisaties benadrukken het belang van het combineren van menselijke training met technologieën zoals AI-gestuurde detectie. Door medewerkers te trainen in het herkennen van phishingaanvallen én gebruik te maken van slimme tools verkleinen bedrijven niet alleen de risico’s, maar bouwen ook vertrouwen op binnen hun teams.

Opkomst van AI-gedreven aanvallen

Cybercriminelen worden steeds slimmer. In 2025 wordt verwacht dat cybercrime wereldwijd $10,5 biljoen gaat kosten, een bedrag dat groter is dan de economieën van bijna alle landen van de wereld (behalve de VS en China). Een zorgwekkende trend is het gebruik van kunstmatige intelligentie (AI) door cybercriminelen om overtuigende phishingcampagnes te maken en beveiligingssystemen te omzeilen. Zo worden deepfakes en AI-gegenereerde phishingaanvallen steeds vaker ingezet. Cybersecuritybedrijven hebben in 2024 bijna 900 miljoen phishingpogingen geblokkeerd door gebruik te maken van geavanceerde detectietools. Het is duidelijk dat traditionele methoden niet meer volstaan. Bedrijven moeten investeren in innovatieve oplossingen om deze dreigingen voor te blijven.

Cultuur van veiligheid binnen sectoren

Een sterke cybersecuritycultuur begint bij bewustwording binnen een organisatie. Brancheorganisaties zoals SURF, Z-CERT (voor de zorgsector) en Techniek Nederland spelen hierin een belangrijke rol door kennis te delen en samenwerking tussen bedrijven te stimuleren. Daarnaast wint het zero trust-model aan terrein als dé aanpak om digitale beveiliging te verbeteren. Het idee is simpel: vertrouw niemand zomaar, zelfs niet als ze al binnen je netwerk zitten. Elk apparaat, elke gebruiker en elke applicatie moet eerst gecontroleerd worden voordat toegang wordt verleend. Dit model is vooral handig nu hybride werken steeds meer voorkomt en traditionele netwerkgrenzen vervagen. Zero trust zorgt voor betere beveiliging en meer transparantie binnen teams.

NIS2-wetgeving: meer dan een verplichting

Vanaf het derde kwartaal van 2025 wordt in Nederland de NIS2-wetgeving ingevoerd, die bestuurders verantwoordelijk maakt voor de digitale veiligheid binnen hun organisatie. Maar deze wet gaat verder dan alleen verplichtingen. Het biedt ook kansen om beveiliging structureel te verbeteren. Brancheorganisaties zoals Samen Digitaal Veilig, Techniek Nederland en het Cyber Weerbaarheidscentrum Brainport (CWB) ondersteunen bedrijven bij het voldoen aan deze nieuwe regels. Ze bieden praktische hulpmiddelen, zoals richtlijnen voor risico-inventarisaties, audits en het implementeren van normen zoals ISO 27001. Deze ondersteuning helpt bedrijven niet alleen om compliant te zijn, maar ook om sterker te staan tegen digitale dreigingen. De tijd dringt echter: bedrijven moeten nu al beginnen met voorbereidingen, zoals het trainen van medewerkers en het verbeteren van basismaatregelen. Dit voorkomt problemen en zorgt ervoor dat organisaties klaar zijn voor toekomstige uitdagingen.

Pentesten is essentieel

In een wereld waarin cyberdreigingen steeds complexer worden zijn security assessments en penetratietesten (pentesten) onmisbaar geworden. Tijdens een pentest proberen ethische hackers kwetsbaarheden in systemen op te sporen voordat kwaadwillenden dat doen. Dit kan variëren van technische fouten tot menselijke zwakheden zoals het klikken in phishingmails of het rond laten slingeren van gevoelige informatie. Pentesten geven organisaties waardevolle inzichten in hun beveiliging en bieden concrete aanbevelingen om risico’s aan te pakken. Veel bedrijven zijn verbaasd over hoe eenvoudig hackers toegang kunnen krijgen via verouderde software of configuratiefouten. Regelmatige pentesten helpen bedrijven niet alleen bij compliance met richtlijnen zoals NIS2, maar versterken ook hun algehele weerbaarheid tegen moderne dreigingen.

In de afgelopen jaren heeft kunstmatige intelligentie (AI) een enorme vlucht genomen en is het een integraal onderdeel geworden van ons dagelijks leven en werk. Van geavanceerde algoritmen die onze zoekopdrachten optimaliseren tot AI-systemen die complexe taken uitvoeren: de impact van AI is onmiskenbaar. Maar met deze vooruitgang komt ook de verantwoordelijkheid om AI op een ethische en effectieve manier te gebruiken. Organisaties zijn volgens de nieuwe Europese AI Act zelfs verplicht hun medewerkers op te leiden in AI-geletterdheid. Door medewerkers regelmatig te trainen en een gedegen AI-beleid op te stellen kunnen organisaties de risico’s van AI minimaliseren en de voordelen optimaal benutten.

---

De verplichtingen van de AI Act

De AI Act – sinds vorig jaar augustus in werking getreden in de hele EU – stelt specifieke verplichtingen aan organisaties die AI gebruiken. En laten we eerlijk zijn: welke organisatie gebruikt het tegenwoordig niet? Een van de belangrijkste aspecten van de AI Act is de onderverdeling van AI-toepassingen op basis van hun risiconiveau: van general purpose-AI als ChatGPT tot hoog risico en zelfs verboden AI. Hoe hoger het risico, hoe meer voorwaarden en regels er gelden. Daarnaast is transparantie heel belangrijk. Chat je met een chatbot of een echt mens? Bel je een medewerker of heb je AI aan de lijn? Je moet als gebruiker weten dat je met AI bezig bent. De AI Act maakt ook onderscheid in het niveau van invloed dat je als gebruiker hebt. AI-toepassingen waarbij je zelf niet kan ingrijpen op kritieke momenten – zoals zelfrijdende auto’s – zijn bijvoorbeeld verboden binnen Europa.

Wat is AI-geletterdheid?

Een van de artikelen uit de AI Act die nu al verplicht wordt gesteld voor organisaties is AI-geletterdheid. Dit betekent dat individuen en organisaties weten hoe ze met AI om moeten gaan. Vergelijk het met digitale geletterdheid, waarbij je leert om digitale technologieën en media op de juiste manier te gebruiken. AI-geletterdheid gaat verder dan alleen het efficiënt en effectief inzetten van AI-toepassingen. Het omvat ook het begrijpen van de mogelijke impact van AI op de omgeving en de mensen die er door geraakt worden. De wetgeving is er met name op gericht om de rechten van mensen te beschermen. Door medewerkers te trainen in AI-geletterdheid zijn ze zich er bewuster van dat AI niet foutloos is en dat ze de resultaten van AI kritisch moeten evalueren. Dit bewustzijn helpt de risico’s van AI te verkleinen en zorgt voor kwalitatief menselijk toezicht, wat een verplichting is vanuit de wetgeving.

Goed werkgeverschap

Het is als organisatie aan te raden AI-geletterdheid niet alleen als verplichting te benaderen. Zie het ook als een recht dat je jouw medewerkers biedt vanuit goed werkgeverschap. AI-tooling als Microsoft Copilot zijn slimme assistenten die taken en processen automatiseren en administratieve taken voor je overnemen. Door AI-toepassingen op een goede en veilige manier in te zetten werken medewerkers efficiënter en besparen ze tijd. Veel medewerkers zijn al gewend in hun privéleven gebruik te maken van AI en willen deze functionaliteiten ook in hun werk gebruiken. Door ze te trainen in het gebruik van de verschillende AI-toepassingen leren ze welke gevaren er schuilen in het gebruik van AI-tools, maar ook hoe ze het beste een vraag stellen aan de chatbot om de gewenste resultaten te krijgen (prompting).

AI-beleid in organisaties

Om de gevaren van AI-toepassingen zoveel mogelijk in te perken is een effectief AI-beleid onmisbaar. Dit begint met het analyseren van de AI-systemen binnen je organisatie en het bepalen van hun risiconiveau. Op basis van deze analyse formuleer je maatregels om eventuele risico’s te beheersen en te voldoen aan de wet- en regelgeving. Daarnaast beslis je welke trainingen nodig zijn en voor welke medewerkers. Het is belangrijk dat AI-geletterdheid een doorlopend proces is waarin medewerkers regelmatig worden getraind. De wereld van AI verandert immers snel. In het AI-beleid moet dus een continue trainingsmethode worden opgenomen. Daarnaast wordt organisaties aangeraden een team te vormen dat verantwoording draagt voor het ontwikkelen, implementeren en monitoren van het AI-beleid en AI-geletterdheid. In dit team zitten bijvoorbeeld rollen als AI compliance officer (CAICO), functionaris gegevensbescherming (FG) en chief information security officer (CISO). Een vertegenwoordiging vanuit het management en de key users is aan te raden.

De belangrijkste valkuilen

Een van de grootste valkuilen waar organisaties tegenaan lopen is het niet bewust zijn van het gebruik van AI en de verstrekkende gevolgen daarvan. Veel organisaties realiseren zich niet dat AI nu al onderdeel is van hun werk en wat de risico’s daarvan zijn. Van de implementatie van een veilige en passende AI-tooling tot het trainen rondom AI-geletterdheid en het opstellen van AI-beleid: er is veel om rekening mee te houden. En hoewel hier in eerste instantie veel kosten mee gepaard gaan, levert het op de lange termijn veel tijd, efficiëntie en kansen op. Bovendien wil je altijd voorkomen dat er gevoelige data wordt gelekt als gevolg van een ontoereikend AI-bewustzijn. Je organisatie loopt hierdoor imagoschade op en er kunnen flinke boetes worden uitgedeeld. We kunnen er niet meer omheen: AI speelt een steeds belangrijkere rol in ons leven en elke organisatie.

In het huidige digitale landschap is het belangrijker dan ooit dat gevoelige en kritieke gegevens beschermd zijn om klanten en medewerkers veilig te houden én de strenger wordende wet- en regelgeving na te leven. Met de komst van steeds innovatievere technologische oplossingen is ook het beheer van gebruikerstoegang complexer geworden.

---

Met de inzet van Identity & Access Management (IAM) zorg je als organisatie dat de juiste personen op het juiste moment toegang hebben tot de juiste middelen. In deze blog delen we de laatste trends op het gebied van IAM en laten we zien hoe je de veel voorkomende valkuilen tijdens de implementatie vermijdt.

Beheer van MFA tot PAM

Identity & Access Management fungeert als paraplu voor verschillende componenten van identiteitsbeheer om moderne en complexe digitale omgevingen veilig te houden. Met behulp van multi-factor authenticatie (MFA) wordt door middel van een aanvullende verificatie – zoals een code of vingerafdruk – extra gecontroleerd en gevalideerd dat het werkelijk de gebruiker is die probeert in te loggen. Single sign-on (SSO) biedt medewerkers toegang tot meerdere applicaties met één set inloggegevens. Om toegang tot gevoelige informatie en systemen elke keer opnieuw te controleren en valideren zet je privileged access management (PAM) in. IAM beheert digitale entiteiten en toegangsrechten gedurende hun hele levenscyclus met identity governance & administration (IGA). Hierbij wordt rekening gehouden met de naleving van wettelijke vereisten. Customer identity & access management (CIAM) biedt veilige en naadloze toegang tot klantgerichte applicaties en diensten. Via bring your own identity (BYOI) loggen medewerkers in met hun persoonlijke (social)account om toegang te krijgen.

Nu de eerste maand van het nieuwe jaar verstreken is blikken we terug op het cybersecurityjaar van 2024. Wat veroorzaakte afgelopen jaar voornamelijk de securityincidenten? En met welke opkomende technieken die gebruikt worden door aanvallers moeten we het komende jaar rekening houden?

---

Awareness blijft belangrijk

De menselijke factor bleek ook in 2024 het grootste en meest succesvolle aanvalsoppervlak te zijn. Bij 68 procent van de geslaagde aanvallen was een persoon betrokken, waarbij phishingaanvallen de meest dominante vorm bleek. Het bekendste voorbeeld in Nederland was de inbreuk bij de Nederlandse politie, waar gegevens van alle medewerkers zijn buitgemaakt via de gegevens van één gebruikersaccount. Dit voorval is waarschijnlijk veroorzaakt door phishing. Een derde van de geslaagde phishingaanvallen betrof een ransomwareaanval, waarbij bij 23 procent ook daadwerkelijk data versleuteld is geraakt. Het blijft dus onverminderd belangrijk om je medewerkers bewust te maken van de digitale gevaren.

Nieuwe technieken

Opkomende technieken die opvallen zijn aanvallen op cloudplatformen zoals Microsoft Azure, Google One, en Amazon AWS. We zien een toename van 75 procent doordat aanvallers steeds vaker kwetsbaarheden in deze platformen misbruiken. Ook zogenoemde supply chain-aanvallen zijn toegenomen met 68 procent. Bij een supply chain-aanval wordt een bedrijf getroffen via een leverancier die is aangevallen. In 2024 speelden cybercriminelen slim in op de update-bug van CrowdStrike door gebruikers te misleiden een reparatiepatch te implementeren. Deze bleek voorzien te zijn van infostealer-malware. We zien ook het gebruik van AI-gedreven aanvallen fors toenemen. Door de komst van artificial intelligence kunnen aanvallers eenvoudig gepersonaliseerde aanvallen opzetten. De zogeheten deepfake-aanvallen zijn vaak niet meer van echt te onderscheiden. Het voordeel is dat AI ook steeds meer wordt ingezet om securityoplossingen te verbeteren. Maar liefst 96 procent van de vendoren heeft AI-tools in hun securityoplossingen toegevoegd om de detectie en responstijd te verhogen.

Vooruitblik 2025

Ook in 2025 moeten we waakzaam blijven op aanvallen. Investeren in security-awareness blijft een van de belangrijkste middelen om beter bestand te zijn tegen aanvallen. Ook het vroegtijdig detecteren en bestrijden van incidenten met behulp van een SOC/SIEM-dienst wordt steeds noodzakelijker. Door gebruik te maken van een identity & access management-oplossing (IAM) met privileged access management (PAM) worden accounts en privileges tijdig en exclusief aangemaakt en verwijderd wanneer nodig. Last but not least blijft conditionele toegang – waarbij medewerkers inloggen op basis van bepaalde voorwaarden – inclusief multi-factor authenticatie een must-have. De combinatie van deze technieken vormt een belangrijke manier om de juiste identiteiten gecontroleerd toegang te geven tot de juiste systemen met de juiste rechten.