Cybersecurity in drie pijlers: preventie, bewustwording en herstel

“We hebben een back-up, dus we zitten wel veilig.” Die opmerking horen we vaker dan je denkt, en hij is heel begrijpelijk. Een back-up is ook onmisbaar. Maar hij doet zijn werk pas op het moment dat het al is misgegaan.

Om cybersecurity praktisch en overzichtelijk te houden, delen wij het op in drie pijlers: preventie, bewustwording en herstel. Staat één van die drie niet, dan is je beveiliging precies zo sterk als die zwakste schakel. En dat is zelden de pijler waar je het meeste geld in hebt gestopt.

Pijler 1: preventie, voorkom dat iemand binnenkomt

De eerste pijler gaat over het afsluiten van de voordeur, de achterdeur en het keukenraam. Concreet gaat het om deze zaken.

Meervoudige verificatie (MFA). Een tweede stap bij het inloggen, bijvoorbeeld een code of een melding op je telefoon. Daarmee is een gestolen wachtwoord op zichzelf niet meer genoeg om binnen te komen. Zet het aan voor iedereen, dus ook voor de directie en juist voor de beheeraccounts.

Rechten op maat. Iedereen komt bij wat hij nodig heeft en niet bij de rest. Dat klinkt streng, maar het beperkt de schade enorm als er één account wordt overgenomen.

Updates en patches. Volgens het Data Breach Investigations Report 2026 van Verizon begon 31% van de onderzochte inbreuken bij het misbruiken van een bekende kwetsbaarheid. Dat zijn vaak gaten waar de update al voor klaarstond.

Moderne endpointbeveiliging en een doordacht Microsoft 365-beleid. Niet als losse producten die je ergens aanvinkt, maar als samenhangend geheel dat past bij hoe jullie werken.

De vraag die hier telt is niet “hebben we een virusscanner”, maar “wie kan waar bij, en hoe weten we dat”. Bij de moderne werkplek die wij inrichten, staat deze basis standaard goed.

Pijler 2: bewustwording, je team is de belangrijkste schakel

Techniek alleen is niet genoeg. In het Data Breach Investigations Report 2026 van Verizon was bij 62% van de onderzochte inbreuken de menselijke factor betrokken. Niet omdat mensen dom zijn, maar omdat een bericht dat op het juiste moment binnenkomt gewoon overtuigend is.

Aanvallers weten dat ook. Volgens hetzelfde rapport is social engineering via sms en telefoon inmiddels ongeveer 40% succesvoller dan klassieke phishing via e-mail. Er belt dus iemand die zegt dat hij van de helpdesk is, en die klinkt aardig en behulpzaam.

Wat in de praktijk werkt:

  • Security Awareness Training: korte microlearnings en periodieke phishingtests, zodat herkennen een automatisme wordt.
  • Uitleg in het werkoverleg: vijf minuten over een echt voorbeeld van vorige week doet meer dan een dik beleidsdocument.
  • Een meldroute zonder schuldvraag: één duidelijk punt waar iemand zich meldt, en niemand die daarna op zijn vingers wordt getikt.
  • Herhaling: bewustwording is geen project met een einddatum, maar onderhoud.

Dat laatste punt is belangrijker dan het lijkt. Een collega die durft te zeggen “ik denk dat ik net op iets verkeerds heb geklikt” geeft je de kans om binnen een uur in te grijpen, in plaats van er over twee weken achter te komen. Security moet dus begrijpelijk en bespreekbaar zijn in de hele organisatie.

Pijler 3: herstel, want honderd procent veilig bestaat niet

Je kunt alles goed doen en toch geraakt worden. Daarom hoort er een herstelstrategie bij, zodat een incident een vervelende dag wordt in plaats van een bedreiging voor je voortbestaan.

Back-ups die je hebt getest. Een groen vinkje in een rapport is niet hetzelfde als een geslaagde restore. Zet periodiek echt iets terug en meet hoe lang dat duurt. Zorg daarbij dat minstens één versie niet aan te passen of te verwijderen is, ook niet door een aanvaller met beheerrechten.

Monitoring en snelle opvolging. Zien dat er iets vreemds gebeurt is minstens zo waardevol als het voorkomen. Een SOC (Security Operations Center) kijkt daar dag en nacht op mee en grijpt in voordat een verkenning een uitbraak wordt.

Een incidentresponsplan dat je kunt uitvoeren. Wie beslist er, wie belt wie, en waar staan die telefoonnummers als je netwerk plat ligt? Print het en leg het in de meterkast. Dat is geen overdrijving, dat is ervaring.

Je keten hoort er ook bij. In hetzelfde Verizon-rapport was bij 48% van de inbreuken een derde partij betrokken. Je leverancier of softwarepakket is dus onderdeel van jouw risico. Lever je zelf aan een organisatie die onder de Cyberbeveiligingswet valt, dan krijg je precies daarover vragen.

Het draait om balans, niet om één tool

De meeste organisaties zijn niet op alle drie de pijlers even sterk. We zien vaak een prima ingerichte techniek naast nauwelijks aandacht voor bewustwording. Of een enthousiast trainingsprogramma terwijl de back-up nog nooit is teruggezet. Dan investeer je in de sterkste schakel en blijft de zwakste staan.

Het goede nieuws: je hoeft niet alles tegelijk. Begin met weten waar je staat. Vaak zitten de grootste winsten in kleine ingrepen, zoals MFA overal aanzetten, één keer een restoretest doen en afspreken bij wie collega’s zich melden.

Vijf vragen om vandaag te stellen

Wil je snel weten hoe jouw organisatie ervoor staat? Leg deze vijf vragen eens op tafel.

  1. Staat MFA aan voor alle gebruikers, inclusief de directie en de beheeraccounts?
  2. Wanneer is er voor het laatst echt een back-up teruggezet, en hoe lang duurde dat?
  3. Weet je collega bij wie hij zich meldt als hij vermoedt dat hij op iets verkeerds heeft geklikt?
  4. Wie kan er buiten je centrale inlog om bij bedrijfsgegevens? Denk aan wachtwoorden in de browser en aan leveranciersportalen.
  5. Wie belt jou op zaterdagnacht als de monitoring iets ziet?

Kun je er twee of meer niet vlot beantwoorden, dan weet je waar je begint. Dat is geen schande, dat is gewoon de stand van zaken.

Wij denken graag met je mee

Wij helpen organisaties in Kampen, de IJsselstreek en verder om deze drie pijlers op orde te krijgen, van ICT-beveiliging en continuïteit tot proactief beheer en een herstelplan dat werkt. We hebben zelf het ISO 27001-traject doorlopen, dus we weten uit eigen ervaring wat er bij aantoonbaar beveiligen komt kijken. En we vertalen het naar gewone taal, zonder onnodige techniek.

Wil je weten hoe jouw organisatie deze drie lagen heeft ingericht? Vraag onze security-check aan. We lopen de pijlers met je door, benoemen wat we zien en geven aan wat we als eerste zouden oppakken. ICT zonder gedoe.

Neem contact op of plan een vrijblijvend gesprek.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!

GOsensit behaalt ISO 27001-certificering

Microsoft NCE

Harmonisatie domeintarieven en nieuwe leverancier

Klantcase OCTA Adviseurs en GOsensit

Klantcase: OCTA Adviseurs & GOsensit

Je ex-medewerker neemt je bedrijfswachtwoorden mee, en niemand heeft het do...