NL EN
Plan een gesprek

Cybersecuritybeeld 2026: de dreiging groeit sneller dan de weerbaarheid

Vandaag publiceerde de NCTV het Cybersecuritybeeld Nederland 2026. De boodschap is helder: aanvallers worden sneller en beter, en de digitale weerbaarheid van Nederlandse organisaties groeit niet mee. De NCTV spreekt van scheefgroei. Dat klinkt groot, maar wat het vraagt, is vooral de basis goed regelen en dat aantoonbaar volhouden.

Wat het Cybersecuritybeeld laat zien

Het rapport beslaat de periode van augustus 2025 tot augustus 2026. Vier punten springen eruit.

Daartegenover staat dat veel organisaties de basismaatregelen nog niet op orde hebben. Bestuurlijk eigenaarschap, prioriteit en oefenen blijven volgens de NCTV achter. “Bestuurders zijn aan zet”, zegt Nationaal Coördinator Marc Kuipers. Kleinere organisaties noemt het rapport extra kwetsbaar, omdat ze vaak minder kennis en middelen hebben.

Wat betekent dit voor je organisatie?

Het goede nieuws: de maatregelen die het verschil maken, zijn bekend. NCTV en NCSC noemen ze zelf. De kunst is ze echt in te richten, te testen en vol te houden.

  1. Maak eigenaarschap expliciet. Leg vast wie in de directie verantwoordelijk is voor digitale weerbaarheid, en zet het minstens elk kwartaal op de agenda. Voor organisaties die onder de Cyberbeveiligingswet vallen, is dat inmiddels een wettelijke plicht. Voor de rest is het verstandig.
  2. Patch in uren, niet in weken. Als een kwetsbaarheid binnen uren wordt misbruikt, is een maandelijkse updateronde te traag. Spreek met je IT-partner af hoe snel kritieke updates worden doorgevoerd, en controleer of dat ook gebeurt.
  3. Test je back-ups. Een back-up die nooit is teruggezet, is een aanname. Bewaar back-ups gescheiden van je netwerk en test minstens één keer per jaar of je er echt mee verder kunt.
  4. Kijk mee, ook buiten kantoortijd. Aanvallers werken niet van negen tot vijf. Logging, monitoring en detectie zorgen dat je een aanval ziet voordat er gegevens weg zijn.
  5. Oefen het scenario. Wie belt wie bij een ransomware-aanval? Wat doe je als je mail of je boekhouding plat ligt? Een oefening van een uur met de directie laat zien waar het plan schuurt.
  6. Maak afspraken over AI. Medewerkers gebruiken AI-tools, aanvallers ook. Bepaal welke tools zijn toegestaan en welke gegevens er niet in mogen. Het NCSC heeft hiervoor een handreiking over kansen en risico’s van AI.

Geen van deze stappen vraagt om grote investeringen. Ze vragen om aandacht, keuzes en iemand die blijft controleren of het werkt.

Van weten naar aantonen

Het Cybersecuritybeeld eindigt met een stevige conclusie: de vraag is niet of, maar wanneer Nederland een ontwrichtend cyberincident meemaakt. Voor een individuele organisatie is de vraag kleiner en concreter. Werkt wat je hebt ingericht ook echt, en kun je dat laten zien?

Daar helpt RiskGuard bij. Als onafhankelijke partij brengen we in kaart hoe het staat met de basismaatregelen, wat prioriteit heeft en wat je IT-partner al goed doet. Zonder verkoopagenda, met een helder overzicht als resultaat. Benieuwd waar je organisatie staat? Neem contact op via riskguard.nl.

Bronnen

Wat vinden we bij een pentest van een MKB-bedrijf? (Top 5)

We testen regelmatig de beveiliging van MKB-bedrijven. Professionele bedrijven. Goed draaiend. Niks te verbergen. En toch vinden we bijna altijd dezelfde kwetsbaarheden. Niet omdat deze bedrijven slordig zijn, maar simpelweg omdat niemand er ooit naar heeft gekeken.

Een penetratietest — of pentest — is een gecontroleerde aanval op je eigen systemen. Een ethische hacker probeert binnen te komen op de manier waarop een echte aanvaller dat ook zou doen. Wat hij vindt, rapporteert hij. Geen schade, wel inzicht.

In dit artikel delen we de vijf kwetsbaarheden die we het vaakst tegenkomen bij MKB-bedrijven. Niet als schrikvoorbeeld, maar als herkenningspunt. Want als je weet wat er speelt, kun je er iets aan doen.

1. Verouderde software en ongepatchte systemen

De meest voorkomende bevinding: servers of applicaties waarvan de laatste update meer dan twee jaar geleden was. Software-updates klinken saai, maar ze dichten actief misbruikte beveiligingslekken. Een systeem dat al twee jaar niet is bijgewerkt, heeft vrijwel zeker bekende kwetsbaarheden waarvoor kant-en-klare aanvalstools beschikbaar zijn.

We zien dit niet alleen bij eigen servers. Ook firewalls, switches, printers en NAS-apparaten worden structureel overgeslagen. Die staan aan, ze doen het, en niemand denkt er meer aan. Totdat iemand anders er wél aan denkt.

2. Zwakke of hergebruikte wachtwoorden

Credential stuffing is een van de meest gebruikte aanvalsmethoden. Aanvallers kopen gelekte gebruikersnaam- en wachtwoordcombinaties van eerdere datalekken — van LinkedIn, Adobe, Dropbox — en proberen die automatisch uit op andere diensten. Als een medewerker hetzelfde wachtwoord gebruikt voor LinkedIn als voor het boekhoudpakket, is één lek genoeg.

We zien dit bij het merendeel van de tests. Niet één medewerker die het doet, maar meerdere. Inclusief soms de IT-verantwoordelijke zelf. Het is menselijk gedrag: wachtwoorden onthouden is lastig. De oplossing is dan ook niet strengere regels, maar een passwordmanager die het onthouden overneemt.

3. Geen MFA op kritieke accounts

Multi-factor authenticatie (MFA) is de meest effectieve maatregel tegen ongeautoriseerde toegang. Toch ontbreekt het regelmatig op de accounts die er het meest toe doen: zakelijke e-mail, het boekhoudpakket, cloudomgeving en CRM-systeem.

Zonder MFA geldt: wachtwoord gestolen, account over. Met MFA heeft een aanvaller ook nog de tweede factor nodig — een code via een app, een fysieke sleutel — en dat stopt de meeste aanvallen direct. Microsoft meldt dat MFA meer dan 99% van de geautomatiseerde aanvallen op accounts blokkeert. Het kost vijf minuten om in te stellen. Het niet doen kost potentieel veel meer.

4. Te ruime toegangsrechten

Medewerkers die adminrechten hebben terwijl ze die voor hun werk niet nodig hebben. Accounts met toegang tot alle mappen op de bestandsserver, ook die van andere afdelingen. Ex-medewerkers die al zes maanden weg zijn maar nog steeds kunnen inloggen.

Het principe van least privilege — iedereen krijgt alleen de toegang die hij echt nodig heeft — is eenvoudig, maar wordt zelden actief bijgehouden. Bij groei van een bedrijf worden rechten opgestapeld en nooit opgeruimd. Bij vertrek van personeel worden accounts vergeten. Het gevolg is een omgeving waar een aanvaller die eenmaal binnenkomt, vrijwel overal bij kan.

5. Geen zicht op wat er op het netwerk zit

Schaduw-IT: apparaten en diensten die in gebruik zijn zonder dat IT er weet van heeft. Een medewerker die zijn privélaptop op het bedrijfsnetwerk aansluit. Een IoT-apparaat dat jaren geleden is geïnstalleerd en sindsdien nooit meer is bekeken. Een cloudopslag die een afdeling zelf heeft aangemeld.

Je kunt niet beveiligen wat je niet ziet. Een netwerkschema dat klopt, een actuele inventaris van apparaten en diensten — dat is de basis van elk beveiligingsprogramma. Zonder die basis zijn alle andere maatregelen gebouwd op drijfzand.

Wat betekent dit voor uw bedrijf?

De meeste van deze kwetsbaarheden zijn niet ingewikkeld om te verhelpen. Ze vragen geen grote investeringen. Ze vragen wél dat iemand er naar kijkt.

Een pentest is geen oordeel over uw bedrijf. Het is een meting. En een meting is de eerste stap naar verbetering. Weten waar je staat is altijd beter dan hopen dat het wel meevalt.

De Snelscan van RiskGuard geeft u binnen twee werkdagen inzicht in uw grootste risico’s. Geen technisch jargon. Geen oordeel. Gewoon weten waar u staat, zodat u een bewuste keuze kunt maken over wat u vervolgens doet.

Neem contact op via riskguard.nl/contact om de Snelscan aan te vragen.

VibeGuard: laat AI-gebouwde software niet live gaan zonder security review

Je hebt een app gebouwd met Cursor, Copilot of Claude. Het werkt. Klanten kunnen er straks mee aan de slag. Maar is het ook veilig?

AI-tools schrijven werkende code. Maar ze weten niet hoe jouw data is opgeslagen, wie toegang heeft tot je database, of welke API-sleutels er in de code staan. Security is geen onderdeel van het bouwproces geweest.

Wat gaat er mis?

Bij AI-gebouwde applicaties zien we steeds dezelfde problemen terugkomen:

Dit zijn geen hypothetische risico’s. Het zijn de bevindingen die wij terugzien bij vrijwel elke eerste review.

Wat is VibeGuard?

VibeGuard is de security review van RiskGuard voor software die gebouwd is met AI-tools. We analyseren de code en leveren een overzicht van bevindingen op volgorde van ernst, met concrete aanbevelingen die je direct kunt oppakken.

Geen jargon. Geen rapport dat ongelezen in de la verdwijnt.

Drie varianten

Snelscan — een gerichte check op de meest voorkomende kwetsbaarheden. Snel antwoord voordat je live gaat.

Review — een diepgaande analyse van de volledige codebase, inclusief architectuur, datastromen en externe koppelingen. Met een prioriteiten-plan.

Continue — voor teams die blijven bouwen met AI-tools. Terugkerende reviews en dagelijkse monitoring van live systemen.

Voor wie?

VibeGuard is er voor iedereen die software heeft laten bouwen of zelf heeft gebouwd met AI-tools, en die software live laat gaan of al live heeft staan. Je hoeft geen technische achtergrond te hebben. Je hoeft alleen te weten dat je het niet aan het toeval wilt overlaten.

Wil je weten of jouw applicatie veilig is om live te zetten? Plan een kennismaking via riskguard.nl/vibeguard.

Hoe je digitale weerbaarheid opbouwt zonder groot IT-team

Digitale veiligheid wordt vaak geassocieerd met grote IT-afdelingen, uitgebreide beveiligingsteams en forse budgetten. De realiteit is dat de meeste organisaties zonder dat alles toch een solide beveiliging kunnen opbouwen, als ze de juiste prioriteiten stellen.

Begin bij de basis

De grootste winst zit in maatregelen die weinig kosten maar veel opleveren. Meervoudige authenticatie op alle accounts is er een van. Het is een van de meest effectieve maatregelen tegen accountovernames en het kost weinig tijd om in te stellen.

Regelmatige updates van software en systemen is een andere. Veel aanvallen maken gebruik van bekende kwetsbaarheden waarvoor al een patch beschikbaar is. Wie zijn systemen bijhoudt, sluit een groot deel van die deuren automatisch.

Goede wachtwoordhygiëne, duidelijke toegangsrechten en een eenvoudige back-upstrategie completeren de basis. Niet spectaculair, maar samen vormen ze een fundament waarop je verder kunt bouwen.

Prioriteer op risico

Zonder groot IT-team is het zaak om te prioriteren. Niet alles kan tegelijk en niet alles is even urgent. Een kort inzicht in waar de grootste risico’s zitten, via een audit of zelfscan, helpt je bepalen waar je als eerste aandacht aan besteedt.

De vraag is niet: wat moet er allemaal? De vraag is: wat verdient nu de meeste aandacht?

Gebruik wat er al is

Veel organisaties hebben al meer dan ze denken. Een Microsoft 365 of Google Workspace abonnement bevat ingebouwde beveiligingsfuncties die lang niet altijd zijn ingeschakeld. Een goed geconfigureerde cloudomgeving is veiliger dan een slecht beheerde on-premise server. Kijk eerst naar wat er al beschikbaar is voordat je nieuwe tools aanschaft.

Maak het onderdeel van hoe je werkt

Digitale weerbaarheid is geen project dat je afrondt. Het is een eigenschap van hoe een organisatie werkt. Dat betekent dat bewustzijn, periodieke controle en duidelijke afspraken net zo belangrijk zijn als de tools die je gebruikt.

Voor een organisatie zonder groot IT-team betekent dat: kleine, consistente stappen in plaats van grote eenmalige inspanningen. Een uur per maand aandacht voor beveiliging levert meer op dan een jaarlijks groot project.

De rol van een externe partner

Een externe partner kan het verschil maken, niet als vervanger van intern eigenaarschap maar als aanvulling. Iemand die periodiek meekijkt, signaleert wat er verandert en helpt prioriteiten stellen zonder dat je er zelf een volledig IT-team voor nodig hebt.

Digitale rust is ook bereikbaar zonder groot team. Het vraagt alleen om de juiste focus.

Wat de NIS2-richtlijn betekent voor jouw organisatie

De NIS2-richtlijn is inmiddels in veel gesprekken opgedoken. Maar wat betekent het nu concreet voor jouw organisatie? En wat moet je er mee?

Wat NIS2 is

NIS2 is een Europese richtlijn die de eisen aan digitale beveiliging aanscherpt voor een breed scala aan organisaties. De afkorting staat voor Network and Information Security, versie 2. Het is de opvolger van de eerste NIS-richtlijn uit 2016 en heeft een significant bredere reikwijdte.

Voor wie geldt het

De richtlijn geldt voor organisaties in sectoren die als essentieel of belangrijk worden aangemerkt. Denk aan energie, transport, gezondheidszorg, digitale infrastructuur, maar ook aan sectoren als voedselproductie, chemie en overheidsdiensten.

Of jouw organisatie eronder valt, hangt af van de sector en de omvang. Middelgrote en grote organisaties in de aangewezen sectoren vallen er vrijwel zeker onder. Kleinere organisaties soms ook, afhankelijk van hun rol in de keten.

Wat er van je verwacht wordt

NIS2 vraagt om een serieuze aanpak van risicobeheer. Dat betekent concreet: inzicht in de risico’s die je loopt, maatregelen om die risico’s te beperken, een plan voor als het toch misgaat en de verplichting om incidenten te melden.

Daarnaast verschuift de verantwoordelijkheid expliciet naar de directie. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als er onvoldoende maatregelen zijn getroffen. Dat is een wezenlijke verandering ten opzichte van de situatie daarvoor.

Wat het in de praktijk vraagt

NIS2 is geen afvinklijst. Het vraagt om een structurele aanpak van digitale veiligheid die past bij de risico’s die de organisatie loopt. Dat begint bij inzicht: weet je waar je kwetsbaar bent? Heb je de juiste maatregelen getroffen? En kun je dat aantonen?

Voor veel organisaties betekent dit dat ze voor het eerst echt systematisch naar hun beveiliging moeten kijken, niet als project maar als onderdeel van hoe de organisatie werkt.

Geen reden voor paniek maar wel voor actie

NIS2 is geen reden voor paniek. Het is een reden om te beginnen als je dat nog niet hebt gedaan. Een onafhankelijke audit of een gesprek over waar je nu staat, is een logische eerste stap om te weten wat er van jou verwacht wordt en hoe ver je nog van die verwachting af zit.

Waarom awareness training meer oplevert dan een betere firewall

Als je moet kiezen tussen investeren in een betere firewall of in awareness training voor je medewerkers, wat kies je dan?

De meeste organisaties kiezen voor de firewall. Dat is begrijpelijk, want technologie is tastbaar, meetbaar en voelt als een concrete oplossing. Maar de cijfers vertellen een ander verhaal.

Waar aanvallen beginnen

Negentig procent van de beveiligingsincidenten begint bij menselijk gedrag. Een klik op een verkeerde link, een wachtwoord dat hergebruikt wordt, een bijlage die geopend wordt zonder nadenken. Geen firewall ter wereld filtert dat eruit, want de handeling vindt plaats door iemand die al toegang heeft.

Wat awareness training doet

Awareness training leert medewerkers dreigingen herkennen voordat ze schade aanrichten. Niet door hen te overspoelen met technische informatie, maar door concrete voorbeelden te geven van hoe aanvallen eruitzien en hoe je reageert als je iets verdachts tegenkomt.

Goede training doet drie dingen. Het vergroot de herkenning van phishing, social engineering en andere veelvoorkomende aanvalsmethoden. Het normaliseert twijfel, zodat medewerkers zonder aarzeling melden wat ze zien. En het schept duidelijkheid over wat er van iedereen verwacht wordt bij een incident.

Het rendement

Het rendement van awareness training is moeilijker te meten dan dat van een firewall, maar het is er wel degelijk. Organisaties die structureel investeren in bewustzijn zien minder succesvolle phishingaanvallen, snellere melding van verdachte situaties en een lagere kans op incidenten die escaleren.

Dat is niet alleen prettiger. Het is ook goedkoper dan de kosten van een incident dat voorkomen had kunnen worden.

De combinatie

Technologie en bewustzijn zijn geen concurrenten. Ze versterken elkaar. Een goede firewall filtert wat er binnenkomt. Awareness training zorgt dat medewerkers weten wat ze moeten doen met wat er doorheen komt.

De vraag is niet of je één van de twee kiest. De vraag is of beide pijlers in balans zijn.

Wat is een penetratietest en wat levert het je op

Een penetratietest, of pentest, wordt vaak gezien als iets voor grote organisaties met uitgebreide IT-afdelingen en hoge beveiligingsbudgetten. In de praktijk is het een van de meest concrete manieren om te weten of je beveiliging echt werkt, ongeacht de omvang van je organisatie.

Maar dan wel op de juiste manier.

Wat een pentest is

Een penetratietest simuleert een gerichte aanval op je systemen, netwerk of applicaties. Niet om schade aan te richten, maar om te ontdekken waar een echte aanvaller binnen zou kunnen komen.

Een gespecialiseerde tester probeert op gecontroleerde wijze toegang te krijgen, precies zoals een kwaadwillende aanvaller dat zou doen. Wat hij vindt, rapporteert hij. Wat hij niet kan vinden, is een bevestiging dat die beveiliging op dit moment werkt.

Die laatste twee woorden zijn belangrijk.

Waarom een eenmalige pentest niet genoeg is

Systemen veranderen. Software wordt bijgewerkt, nieuwe applicaties worden toegevoegd, mensen krijgen andere toegangsrechten, cloudomgevingen groeien. En aanvalsmethoden veranderen mee.

Een pentest die een jaar geleden is uitgevoerd, zegt weinig over de situatie vandaag. Wat toen veilig was, kan inmiddels een open deur zijn. Niet omdat er iets fout is gegaan, maar omdat de wereld om je heen is veranderd.

Een eenmalig rapport geeft je een momentopname. En een momentopname veroudert.

Wat periodiek testen je oplevert

Organisaties die pentesting behandelen als een terugkerende gewoonte in plaats van een eenmalig project, bouwen iets op dat een enkelvoudige test nooit kan geven: een continu beeld van hoe hun beveiliging zich verhoudt tot de actuele dreiging.

Dat levert drie dingen op. Ten eerste inzicht in wat er is veranderd sinds de vorige test. Ten tweede de zekerheid dat verbeteringen die zijn doorgevoerd ook daadwerkelijk werken. Ten derde een aantoonbaar patroon van actief risicobeheer, wat steeds vaker gevraagd wordt in het kader van NIS2 en ISO 27001.

Wat het je concreet oplevert per test

Het resultaat van een goede pentest is geen stapel technische bevindingen die niemand begrijpt. Het is een helder overzicht van wat er kwetsbaar is, hoe ernstig dat is en wat je eraan kunt doen, in volgorde van prioriteit.

Dat overzicht geeft je drie dingen. Ten eerste zekerheid over wat werkt. Ten tweede inzicht in wat aandacht verdient. Ten derde een concrete lijst van acties, geen abstracte aanbevelingen.

Wanneer en hoe vaak

De frequentie hangt af van hoe snel jouw omgeving verandert en welke risico’s je loopt. Voor de meeste organisaties is een test een tot twee keer per jaar een goed uitgangspunt. Bij grotere wijzigingen in systemen of infrastructuur is een extra moment altijd verstandig.

Wij kijken samen met je naar wat past bij jouw situatie. Niet meer dan nodig, maar genoeg om het beeld actueel te houden.

Liever structureel weten dan periodiek verrast worden

De keuze voor periodieke pentesting is de keuze om structureel te weten waar je staat, in plaats van erachter te komen als het te laat is. Dat is precies de keuze waar digitale rust op gebouwd wordt.

Wat kost een cyberincident je organisatie echt

Als mensen vragen wat een cyberincident kost, denken ze meestal aan de directe schade. Systemen herstellen, data terugzetten, een IT-bedrijf inhuren. Dat is echter maar een deel van het verhaal.

De werkelijke kosten zijn hoger, minder zichtbaar en duren langer dan de meeste organisaties verwachten.

De directe kosten

De meest voor de hand liggende kosten zijn de herstelkosten. Systemen die hersteld of opnieuw opgebouwd moeten worden, data die verloren is gegaan of versleuteld is door ransomware, externe specialisten die ingeschakeld worden om de schade te beperken.

Daarbij komt stilstand. Elke dag dat systemen niet beschikbaar zijn of medewerkers niet kunnen werken, kost geld. Voor sommige organisaties is dat een paar duizend euro per dag. Voor anderen veel meer.

De indirecte kosten

Minder zichtbaar maar minstens zo ingrijpend zijn de indirecte kosten.

Reputatieschade is er een van. Als klanten, partners of de pers weten dat er een incident heeft plaatsgevonden, heeft dat gevolgen voor het vertrouwen. Dat vertrouwen terugwinnen kost tijd en moeite, en soms lukt het niet volledig.

Bij een datalek komen daar juridische verplichtingen bij. Onder de AVG ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens en in sommige gevallen bij de betrokkenen zelf. De boetes bij nalatigheid kunnen oplopen, maar de administratieve last en de reputatiegevolgen zijn vaak zwaarder dan de boete zelf.

Dan is er de managementtijd. Een incident legt beslag op de aandacht van de directie, de IT-afdeling en vaak ook HR en communicatie. Dat zijn uren die niet aan de normale bedrijfsvoering worden besteed.

De verborgen kosten

De meest onderschatte kosten zijn de verborgen kosten die pas later zichtbaar worden. Verhoogde verzekeringspremies. Klanten die afhaken of contracten niet verlengen. Medewerkers die het vertrouwen verliezen in de organisatie. Investeringen in beveiliging die na het incident alsnog gedaan moeten worden, maar nu onder druk en zonder de tijd om het goed te doen.

Wat dit in perspectief zet

De investering in preventie is bijna altijd een fractie van de kosten van een incident. Niet als bangmakerij, maar als rekensom. Een audit, een awareness training of een goede basisbeveiliging kost een veelvoud minder dan de gemiddelde hersteloperatie.

De vraag is niet of je je iets kunt veroorloven aan beveiliging. De vraag is of je je kunt veroorloven er niets aan te doen.

Hoe herken je een phishingmail die écht overtuigend is

De tijd van slecht gespelde e-mails van Nigeriaanse prinsen is voorbij. Moderne phishingaanvallen zijn overtuigend, persoonlijk en moeilijk te onderscheiden van echte berichten. Zelfs mensen die weten dat phishing bestaat, trappen er regelmatig in.

Dat is geen zwakte. Het is het resultaat van aanvallers die er hun werk van hebben gemaakt.

Waarom moderne phishing zo effectief is

Aanvallers doen hun huiswerk. Ze bekijken LinkedIn-profielen, websites en sociale media om te weten wie er bij een organisatie werkt, wie de leidinggevenden zijn en welke tools en systemen er gebruikt worden. Een phishingmail die eruitziet alsof hij van de directeur komt, gericht aan een specifieke medewerker, over een herkenbaar onderwerp, is veel moeilijker te herkennen dan een generiek bericht.

Daar komt bij dat aanvallers bewust momenten kiezen waarop mensen afgeleid zijn. Vrijdagmiddag, vlak voor een deadline, of juist op een rustige ochtend waarop de waakzaamheid wat lager is.

De signalen die je moet kennen

Er zijn een aantal signalen die ook bij overtuigende phishingmails vaak aanwezig zijn.

Wat je kunt doen: bezint eer ge begint

De effectiefste maatregel is twijfel normaliseren. Moedig medewerkers aan om even te bellen als iets niet klopt, ook als de afzender de directeur is. Dat klinkt omslachtig maar het voorkomt veel ellende.

Daarnaast helpt techniek. Goede e-mailbeveiliging filtert een groot deel van de phishingpogingen al voordat ze aankomen. Maar het filtert niet alles, en het is nooit een vervanging voor bewustzijn.

De kern

Phishing werkt omdat het inspeelt op vertrouwen en haast. De beste verdediging is niet wantrouwen maar bewuste aandacht. Een seconde extra nadenken voordat je klikt, is genoeg om de meeste aanvallen te stoppen.

Wat een onafhankelijk security-advies je oplevert dat een leverancier je nooit geeft

Er is een fundamenteel probleem met de manier waarop veel organisaties aan cybersecurity-advies komen. Ze vragen het aan de partij die ook de oplossing verkoopt.

Dat is niet per se kwaad opzet. Maar het kleurt het advies, altijd.

Hoe het meestal werkt

Een IT-leverancier kent je omgeving goed. Hij/zij is betrokken, bereikbaar en weet wat er speelt. Maar hij/zij heeft ook een belang bij de aanbeveling. Zijn of haar advies loopt door de lens van wat hij kan leveren, wat zijn marge is en wat leveranciers hem aanraden te verkopen.

Dat is geen verwijt. Het is gewoon hoe het werkt. En het betekent dat je als klant nooit zeker weet of het advies echt in jouw belang is.

Wat onafhankelijkheid betekent in de praktijk

Een onafhankelijk adviseur heeft geen producten in portefeuille en geen leverancierscontracten die zijn aanbevelingen sturen. Hij begint bij jouw situatie en werkt van daaruit naar wat past, ook als dat betekent dat de beste oplossing elders goedkoper beschikbaar is.

Dat klinkt vanzelfsprekend. Maar in de praktijk is het zeldzaam.

Wat je er concreet aan hebt

Een onafhankelijk advies geeft je drie dingen die een leveranciersadvies zelden geeft.

Ten eerste eerlijkheid over wat er al goed gaat. Een leverancier heeft weinig belang bij de conclusie dat je beveiliging grotendeels op orde is. Een onafhankelijk adviseur wel.

Ten tweede prioritering zonder bijbedoeling. Wat verdient nu aandacht en wat kan wachten? Die vraag wordt anders beantwoord als er geen verkoopbelang achter zit.

Ten derde een second opinion die je kunt vertrouwen. Als je al advies hebt gekregen van je IT-leverancier, is een onafhankelijke blik de enige manier om te weten of dat advies klopt.

Wanneer is het het meest waardevol?

Een onafhankelijk advies is extra waardevol op drie momenten. Als je twijfelt of het advies dat je hebt gekregen echt in jouw belang is. Als je een grote investering overweegt in nieuwe beveiligingstools of infrastructuur. En als je simpelweg wil weten waar je nu staat, zonder dat daar meteen een offerte achteraan komt.

Geen bijbedoeling

Bij RiskGuard verkopen we geen producten en hebben we geen leverancierscontracten. Ons advies staat of valt op zijn eigen merites. Soms is de conclusie dat je het al goed voor elkaar hebt. Soms zijn er blinde vlekken die aandacht verdienen. Altijd zonder vooringenomenheid.

Dat is wat onafhankelijk advies in de praktijk betekent.