Anno 2026 bestaan er genoeg normen en wetgevingen om de cyberveiligheid te borgen, zoals de NIS2, ISO 27001 en NEN 7510. Het voldoen aan deze normen maakt het hackers lastiger, maar garandeert niet dat er nergens in jouw systemen “een raam openstaat”. En juist naar dat ene open raam zijn aanvallers op zoek.
Die opening zoeken ze bij elke organisatie. Ze gaan hetzelfde te werk als inbrekers, die maar zelden een specifiek huis op het oog hebben. Vaak maken ze een rondje door de wijk en kiezen ze een huis uit waar ze makkelijk naar binnen kunnen komen. Nu cybercrime een echt businessmodel is geworden, met helpdesks die 24/7 bereikbaar zijn en waar bij succes veel geld te verdienen valt, is het voor organisaties belangrijker dan ooit om prioriteit te geven aan cyberveiligheid. Het voldoen aan de normering is hierbij een ondergrens, maar geen garantie. Breng dus duidelijk in kaart waar bij jou een raam openstaat, en vooral: hoe ver een aanvaller komt als hij erdoor naar binnen klimt.
Van opening naar datalek
De realiteit is dat je netwerk kwetsbaarheden zal bevatten. Ga er dus van uit dat een aanvaller vroeg of laat binnenkomt, zeker nu met de opkomst van AI kwetsbaarheden sneller dan ooit gevonden worden. Wat jou nog rest is het wapenen van jouw organisatie tegen het echte gevaar: wanneer een aanvaller via het raam naar andere kamers in het huis kan lopen. Daar is de echte winst te halen, want veel bedrijven richten al hun security nog op het dichthouden van het raam, in plaats van op het beperken van hun bewegingsruimte zodra hackers binnen zijn.
Hoe dat in de praktijk uitpakt, laat een bekend voorbeeld bij een casino zien. Hackers kwamen binnen via een met internet verbonden thermometer in het aquarium in de lobby. Vanuit daar wisten ze door te dringen tot een database met klantgegevens. Het probleem was niet zozeer het hacken van de thermometer, maar het feit dat je via die ingang helemaal de klantendatabase kon bereiken.
Zo’n thermometer is bovendien typisch iets dat buiten het zicht van IT valt. En juist daar schuilt vaak het risico: in de uitzonderingen op het securitybeleid. Denk aan een directeur die als enige een afwijkend apparaat gebruikt of vanaf allerlei locaties wereldwijd inlogt. Of de server die al jaren in een bezemkast draait en formeel onder facilitair valt, waardoor niemand in IT zich daarvoor verantwoordelijk voelt.
Risico’s van wat je niet ziet
Wat je niet ziet, kun je niet verdedigen. Echte cyberveiligheid begint daarom met het in kaart brengen van wat er allemaal met jouw netwerk verbonden is en welke uitzonderingen er gemaakt worden. Vertrouw daarbij niet blind op alleen de inventarislijst. Die laat namelijk zien wat je denkt te hebben, niet wat er werkelijk is aangesloten. Bij netwerkscans die we bij PQR uitvoeren, komen we vrijwel altijd apparaten tegen die op geen enkele lijst voorkomen. Denk aan een wifi-accesspoint dat een afdeling zelf heeft opgehangen, of de laptop van een bezoeker die in een vrije netwerkpoort is geprikt. Elk apparaat dat niet in beeld is, is een raam waarvan je niet eens weet dat het openstaat.
Hoe krijg je dat volledige beeld? Begin bij Network Access Control (NAC). Dit helpt om grip te krijgen op wat er op het netwerk aansluit en wat het daar mag. Daarnaast geeft IT Asset Management (ITAM) op ieder moment inzicht in welke hardware en software je hebt, in welke staat die verkeren en welke updates nodig zijn. Een bijkomend voordeel: als je precies weet wat er draait, ontdek je ongetwijfeld licenties en abonnementen die niemand meer gebruikt. Een betere beveiliging en kostenbesparing in één dus.
Zero trust
Zero trust moet dan ook de norm zijn als het om security gaat. Niets of niemand wordt vertrouwd alleen omdat hij/zij/het zich in het netwerk bevindt. Elke verbinding moet continu beoordeeld worden: wie of wat maakt verbinding, is het apparaat beheerd en up-to-date, vanaf welke locatie komt het verzoek en is die toegang echt nodig? Dat geldt voor iedereen, of er nu vanaf kantoor of ergens anders gewerkt wordt. Daarop mag geen enkele uitzondering meer bestaan. Je hoeft daarvoor niet allerlei nieuwe software en hardware aan te schaffen. Breng eerst in kaart welke middelen je al hebt om dit te waarborgen, bijvoorbeeld voor segmentatie. Je netwerk is daarbij zelf een waardevolle sensor.
Het voldoen aan normen en certificeringen wordt nog te vaak als eindpunt gezien als het gaat om cyberveiligheid. Natuurlijk helpt het om de risico’s zo veel mogelijk te beperken, maar het houdt je in een AI-gestuurde wereld niet veilig. Wie weet wat er in zijn netwerk staat, de bewegingsruimte van een hacker beperkt en bestaande middelen goed inzet, legt precies het fundament dat vrijwel elk normenkader vraagt. Staar je dus niet blind op de normenkaders, maar stel jezelf de juiste vragen: waar staat bij ons een raam open, en hoe ver komt iemand die erdoor klimt?
Dit is een ingezonden bijdrage van PQR. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.