Bestaan cybercriminelen vanwege excuses? Soms lijkt het erop…
Excuses, van een cybercrimineel? Dat zou jouw interpretatie van deze titel kunnen zijn. Sorry dat we je dan op het verkeerde been hebben gezet. In deze blog gaat het over excuses die we in de praktijk signaleren die door bedrijven gemaakt worden om (nog) niet in actie te hoeven komen. Met als gevolg dat cybercriminelen daarvan kunnen profiteren. Daarom deze keer eens aandacht voor excuses die je maar beter niet kunt maken:
“Wij zijn anders…”
Dat dit excuus vaak voorkomt is logisch te verklaren: veel organisaties voelen zich uniek. De cultuur en bedrijfs- en werkprocessen zijn natuurlijk verschillend. Als je echter inzoomt op menselijk gedrag dan blijken organisaties verrassend veel op elkaar te lijken.
In de praktijk horen we bijvoorbeeld in het basisonderwijs weleens zeggen: “Voor deze collega’s werkt een awareness training niet, want ze willen gewoon voor de klas staan.” Of in de advocatuur: “Onze uurtarieven zijn te hoog om een training te volgen.” In iedere branche is er wel een ‘wij-zijn-anders-excuus’ te vinden, maar dat mag geen reden zijn dat je organisatie kan worden platgelegd. Bovendien is de gemiddelde belastbaarheid van een goed awarenessprogramma voor Informatiebeveiliging zo’n 15 minuten per maand, per medewerker. Dat moet voor iedere organisatie op te brengen zijn, zeker als je daarmee het risico op succesvolle aanvallen aanzienlijk verkleint.
“Geen cybercrimineel weet van ons bestaan…”
Ook deze uitspraak komt vanuit de praktijk. Het zijn bedrijven die ‘achter de schermen’ werken, vaak voor grotere organisaties. Daar verdienen zij hun geld en het is niet nodig voor hen om zelf op de voorgrond te treden. Helaas werkt dit in de praktijk alleen niet zo. Criminelen scannen het hele internet af naar bekende kwetsbaarheden, ongeacht de bekendheid, formaat of branche van het potentiële slachtoffer. Je kunt dus interessant zijn zonder dat je het doorhebt.
“We voldoen aan de regels, we zijn compliant…”
Dit excuus kan risicovol zijn, omdat voldoen aan wet- en regelgeving – bijvoorbeeld het hebben van een ISO-27001 certificering op het gebied van informatiebeveiliging – slechts een momentopname betreft. Je hebt ermee aangetoond dat de processen rondom security ingericht zijn. Alleen betekent dat nog niet dat je nu goed beschermd bent tegen cyberaanvallen. Want wat nu als er gisteren per ongeluk een onveilige applicatie in gebruik is genomen die verbonden is met jouw website?
“IT heeft het al geregeld met moderne firewalls…”
Met dit excuus worden twee belangrijke zaken vergeten. Allereerst is cybersecurity niet alleen een technologisch vraagstuk, maar ontstaan de meeste aanvallen door menselijk gedrag. Ten tweede komen steeds meer gevaren van buitenaf die niet met het bedrijfsnetwerk, dus de firewall, te maken hebben. Het kan bijvoorbeeld gaan over het gebruiken van een onveilige cloudapplicatie of app, door een medewerker die zich daar niet van bewust is. Of vanuit vertrouwede partners, die op hun beurt gecompromitteerd blijken te zijn. Dit is ook waarom een securitybeleid zo belangrijk is. Weten jouw collega’s precies wat ze wel en niet op de thuiswerkplek mogen doen? Is jullie keten in kaart en worden ketenpartners gecontroleerd?
“Dat gebeurt alleen bij grote bedrijven…”
De werkelijkheid is helaas anders: Een derde van de Nederlandse mkb-bedrijven kreeg in 2025 te maken met een aanval. Dit valt te lezen in een artikel van Channel Connect*.
Er is een ook een groot verschil tussen grote en kleine bedrijven: ‘in 2025 nam 86 procent van de grote bedrijven (met 250 of meer werknemers) tien of meer van de twaalf uitgevraagde maatregelen, tegenover 13 procent van de bedrijven met 2 tot 10 werknemers’, lazen we in een artikel van het CBS**. Onderschat dus niet dat je als klein(er) bedrijf een makkelijke prooi kunt zijn. Criminelen zijn opportunisten, ze denken niet in termen van groot of klein, maar in kansen.
Excuses bestaan niet als het om cyberveiligheid gaat
We hadden nog veel meer excuses kunnen opschrijven, zoals: ‘geen tijd’ of ‘we hebben nog nooit zoiets meegemaakt.’ Dat je niets ziet of merkt wil echter niet zeggen dat er niet al iets op de achtergrond gebeurt.
Het gaat er dus niet om welk excuus je herkent, maar wel over de vraag: wat ga je vandaag anders doen?