Cybernaiviteit is een Managementkeuze
Bedrijven zijn niet dom. Maar als het om cybersecurity gaat, zijn ze soms wel verbijsterend naïef.
We vrezen dat landen als Rusland en China onze energie- en watervoorziening of verkeersinfrastructuur platleggen. Daarom dwingt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, organisaties hun digitale beveiliging serieuzer te nemen.
Blijkbaar is die boodschap nog niet overal aangekomen.
Complete energieparken zonder toegangsslot
Nederlandse onderzoekers vonden onlangs binnen enkele uren 8.547 kwetsbare beheersystemen van zonne- en windparken. Daarvan stonden er 141 in Nederland.
Op 181 locaties konden ze de installatie volledig bedienen. Met één druk op de knop konden ze een windturbine of zelfs een compleet windpark stilleggen. Soms ontbrak zelfs een inlogscherm.
Geen geraffineerde hack. Geen digitale James Bond.
Twee pijnlijke observaties die je ook als mkb-ondernemer ter harte mag nemen:
Hackers hoeven je niet te kennen
Als onderzoekers deze systemen zo snel vinden, kunnen cybercriminelen dat ook.
Aanvallen zijn grotendeels geautomatiseerd. Criminelen scannen massaal het internet op kwetsbare systemen. Je hoeft dus niet interessant te zijn. Alleen vindbaar en slecht beveiligd.
Online accepteren we wat offline ondenkbaar is
Niemand koopt een bedrijfspand zonder degelijk slot. Maar bij IT sluiten we systemen aan op internet en nemen we aan dat de beveiliging wel geregeld is.
Door Microsoft. Door de leverancier. Door iemand.
Zoals nu blijkt, was die iemand niemand.
Cybernaïviteit is een managementkeuze
Voor veel ondernemers blijft IT een ver-van-hun-bedshow. Zolang alles werkt, sussen ze zichzelf in slaap met de gedachte: geen nieuws is goed nieuws.
Veel beveiliging zit al in Windows en Microsoft 365. Maar wat niemand goed instelt, bijhoudt en controleert, beschermt niets.
Ondertussen vibecoden medewerkers vrolijk software en AI-agents bij elkaar. Werkt het? Dan wordt het gebruikt. Over security, privacy en compliance denkt iemand later wel na.
Meestal na het incident.
Hackers zoeken geen groot bedrijf. Ze zoeken een slecht beveiligd bedrijf.
Zorg dus dat jij dat niet bent. Want als het misgaat, kijken je klanten en verzekeraar niet naar je personeel, Microsoft of je IT-leverancier.
Ze kijken naar jou.
Jij bent en blijft blijft eindverantwoordelijk.
