Grip op data: wat datalekken ons leren over echte cybersecurity met Remko Hoekstra

De organisaties waarbij de grote hacks plaatsvonden waren allemaal ISO-gecertificeerd. Ze hadden privacystatements, ze kregen audits, ze vinkten de checkboxen af. En toch werden er miljoenen documenten buitgemaakt. Hoe kan dat?

Omdat een audit controleert of beleid bestaat, niet of het werkt. Als een auditor toegang krijgt tot tientallen losse systemen, kan hij onmogelijk controleren of documenten na de afgesproken bewaartermijn ook echt zijn verwijderd. Dat is geen falen van de auditor, dat is een structuurprobleem. Informatie die verspreid staat over CRM-systemen, SharePoint, e-mail, klantportalen en OneDrive laat zich niet centraal beheren. En wat je niet centraal beheert, kun je ook niet aantoonbaar beveiligen.

Bij de recente grote datalekken werd social engineering ingezet. Een medewerker kreeg een telefoontje van iemand die zich voordeed als IT-support, werd gevraagd om een inlogcode door te geven en deed dat. Binnenin. Vervolgens konden de aanvallers grote hoeveelheden informatie downloaden, zonder dat er een alarm afging.

Dat is het moment waarop informatiemanagement het verschil maakt. Want het echte probleem was niet dat iemand naar binnen kwam, maar dat die persoon eenmaal binnen ongehinderd toegang had tot alles. Geen limieten, geen monitoring, geen alarm. In een goed ingericht systeem had dat niet gekund.

Remko legt uit hoe Woodwing dat technisch heeft opgelost. Wil je meer dan 1000 documenten tegelijk downloaden, dan stopt het systeem automatisch en sloeg het alarm. Wil je überhaupt bij de documenten komen, dan heb je minimaal drie verschillende inloggegevens nodig. Kom je in vanuit een ongebruikelijke locatie, bijvoorbeeld vanuit het buitenland, dan blokkeert het systeem de toegang al voordat je iets kunt doen.

Dit is geen luxe feature voor grote corporates. Dit is de minimumstandaard voor elke organisatie die gevoelige informatie beheert. En dat zijn er meer dan de meeste directeuren denken.

Een onderwerp dat zelden aandacht krijgt, maar enorm relevant is: bewaartermijnen. Sommige organisaties moeten documenten 7 jaar bewaren. Anderen 20 jaar. Soms langer, en dan ook nog aantoonbaar op Nederlandse bodem.

Woodwing draait al sinds 1995 en kan documenten van meer dan 30 jaar geleden nog steeds tonen, in leesbare vorm, met volledige traceerbaarheid over wat er mee gedaan is. Dat klinkt vanzelfsprekend, maar probeer het maar eens met je huidige applicaties. De meeste systemen zijn daar simpelweg niet op gebouwd. Een goed ingericht documentmanagementsysteem zorgt ervoor dat je over 20 jaar nog kunt aantonen wat je vandaag met een document hebt gedaan, wie het heeft ingezien en wanneer het is verwijderd.

De discussie over digitale soevereiniteit is geen theoretisch debat meer. Organisaties in de financiële sector, de overheid en woningcorporaties kiezen bewust voor een private cloudoplossing op Nederlandse bodem, niet omdat de publieke cloud onveilig is, maar omdat wet- en regelgeving hen dwingt na te denken over waar hun informatie staat en wie daar in theorie bij kan.

Dat is een terechte afweging. En steeds meer organisaties maken die bewuste keuze, voordat ze gedwongen worden dat te doen.

Remko sluit af met praktisch advies dat direct toepasbaar is. Kijk naar je applicatielandschap: waar slaan jouw medewerkers documenten op en heb je daar beleid op? Zijn die documenten vindbaar voor de juiste mensen, en alleen voor de juiste mensen? En is de manier waarop je nu informatie opslaat en deelt de veiligste manier, of is het gewoon de manier die er altijd al was?

Kies niet eerst een applicatie. Begin met je visie en je beleid, en kies dan pas de technologie die daarbij past. Want jij als CEO bent eindverantwoordelijk voor de informatiehuishouding van je organisatie. Niet je IT-leverancier, niet je softwarepakket. Jij.

Beluister de volledige podcast en ontdek meer over hoe Remko en OneXillium informatiebeveiliging concreet aanpakken.