Waarom administratieve teams niet meer zonder human firewall kunnen

Bedrijven investeren meer dan ooit in digitale veiligheid, zo blijkt uit de meest recente CS-barometer van de Vlaamse Overheid. Er is wel één belangrijke kanttekening: de focus ligt vandaag vooral op technologie, terwijl de menselijke risicofactor minstens zo groot is. Hoe veranker je de principes van veilige bedrijfsadministratie niet alleen in je tools en systemen, maar ook in de mindset en het gedrag van medewerkers? In De digitale omslag vertellen Mathias Vissers (Fox&Fish Cyberdefense) en Bart Van den Brande (Sirius Legal) waarom een robuuste menselijke firewall vandaag onmisbaar is - en hoe je er werk van maakt.

​De mosterd voor deze blog haalden we bij de tweede aflevering van onze video- en podcastreeks De digitale omslag. Bekijk of beluister de volledige aflevering.

Goede intenties

In 2024 werd bijna de helft van de Vlaamse bedrijven getroffen door een cyberaanval. Bij één op tien pogingen was de aanval succesvol en leidde die tot effectieve schade. “Vooral bedrijven die snel groeien, bijvoorbeeld via overnames, zijn makkelijke targets”, vertelt Mathias. “Daar komen zoveel culturen bij elkaar dat de IT er bij wijze van spreken met ducttape bij elkaar gehouden wordt. Door een gebrek aan duidelijkheid begint iedereen maar wat te doen - dat is menselijk, maar het maakt je als bedrijf ook kwetsbaar voor cybercriminelen.”

Om zich te wapenen tegen cyberrisico’s, investeerden bedrijven anno 2024 gemiddeld 22% van hun IT-budget in digitale veiligheid. “Onder andere door een beroep te doen op gespecialiseerde partners”, gaat Mathias verder. “Of op firewalls en antivirusprogramma’s. Dat is uiteraard een goede zaak, maar onvoldoende. Digitale veiligheid beperkt zich niet tot je systemen, het gaat ook over menselijk gedrag en gewoontes. Daarom pleiten wij naast veilige IT-infrastructuur ook voor een robuuste human firewall.”​

Veiligheid structureel inbedden

In heel wat gevallen is een succesvolle cyberaanval niet het gevolg van falende systemen, maar van een menselijke fout. “Digitale veiligheid mag geen eenmalige campagne zijn”, zegt Bart. “Het is een permanente oefening: bij de les en up-to-date blijven en je mensen meenemen in het verhaal. Dat bewustzijn moet je structureel in elke laag van je organisatie inbedden.”

Volgens Mathias valt 9 op de 10 geslaagde cyberaanvallen te vermijden door medewerkers op te leiden. “Wij doen dat bijvoorbeeld met interactieve userawareness-trainingen. Daarin leren mensen niet alleen wat ze wel en niet mogen doen, maar tonen we ook hoe hackers te werk gaan en hoe moderne cyberaanvallen worden opgebouwd. Op die manier krijgen medewerkers inzicht in de gevaren en begrijpen ze beter hoe ze hun digitale werkplek veilig kunnen inrichten.”

Een aantal vuistregels

Mathias deelt een aantal tips die medewerkers meteen kunnen toepassen: “Kies een sterk wachtwoord; hergebruik geen wachtwoorden - al zeker geen privéwachtwoorden voor professionele logins -; en analyseer elke inkomende e-mail kritisch, zodat je zeker weet dat het niet om phishing gaat. Dat is zeker niet evident, maar wel broodnodig. Want een mailbox kan altijd gehackt worden, en een frauduleuze factuur kan perfect via een ogenschijnlijk correcte afzender verstuurd worden. Waakzaam blijven bij elke klik is de boodschap.”

Duidelijke richtlijnen

“Het bewustzijn verhogen via opleidingen en trainingen is belangrijk”, erkent Bart. “Wat ik meeneem uit mijn ervaring als data protection officer, is dat bedrijven ook een duidelijk kader moeten creëren voor medewerkers. Eenduidige policies opstellen rond wat wel én niet mag. En nieuwe medewerkers bij hun onboarding briefen over de richtlijnen, bijvoorbeeld rond wachtwoorden of het gebruik van eigen toestellen bij telewerken. Daarnaast moeten medewerkers ook weten bij welke verantwoordelijke ze terechtkunnen, bijvoorbeeld om te checken of ze een nieuwe tool mogen gebruiken. Zonder kader lopen medewerkers verloren en zet je de deur op een kier voor hackers.”

Phishing-simulaties

De CS-barometer toont aan dat 71% van de bedrijven ervan overtuigd is digitaal goed beveiligd te zijn. Toch hanteren ze volgens Bart en Mathias in de praktijk nog vaak ontoereikende procedures en maatregelen. “Wij adviseren onze klanten om doorheen het jaar niet alleen userawareness-trainingen te organiseren, maar ook phishing-simulaties”, aldus Mathias. “Daarbij krijgen medewerkers door ons gecreëerde – en uiteraard goedaardige – phishing-mails die ze moeten herkennen. Klikken ze toch op die mail, dan krijgen ze een melding en een korte uitleg hoe ze gelijkaardige berichten in de toekomst kunnen herkennen. Daar zit ook een stukje dashboarding bij, zodat je als verantwoordelijke kunt monitoren wie extra begeleiding nodig heeft.”

Incident response plan

100% digitale veiligheid? Dat is natuurlijk een utopie. Maar wat kan en moet je doen als je bedrijf op een dag ooit het slachtoffer wordt van een cyberaanval? “Vooral niet panikeren”, zegt Mathias. “Zorg dat er een duidelijk incident response plan klaarligt. Daarin staat uitgelegd wie welke stappen neemt om het voorval te isoleren en schade te beperken. Zo ben je altijd op het slechtste voorbereid.”

“Zo’n incident response plan is geen nice-to-have, het is wettelijk verplicht”, vult Bart aan. “Als er bij een data breach naar aansprakelijkheid gekeken wordt, dan moet je kunnen aantonen dat je al het redelijke gedaan hebt om die breach te voorkomen. Dat je simulaties hebt gedaan, trainingen hebt georganiseerd om je medewerkers op te leiden ... spreekt dan allemaal in je voordeel.”

​Benieuwd welke andere inzichten Bart en Mathias nog met ons deelden? Check de volledige aflevering van De digitale omslag.