De AIVD waarschuwde deze week voor een nieuw type risico: de security-vermijdende insider. Geen medewerker die kwaad wil, maar iemand die bewust of onbewust beveiligingsmaatregelen omzeilt omdat die zijn werk vertragen. Een deur die wordt vastgezet met een stuk tape. Een wachtwoord op een briefje onder het toetsenbord. Een bestand dat via de privé-mail gaat omdat het bedrijfssysteem te traag reageert. Voor de AIVD is dit geen incident maar een patroon. Voor jou als ondernemer is het vooral een vraag: wat vertelt dit gedrag over hoe beveiliging in jouw bedrijf is ingericht?
Geen kwade wil, wel een signaal
Als iemand een maatregel omzeilt, is de eerste reactie vaak: dit moet strenger, dit moet verboden worden. Dat is begrijpelijk, maar het mist het punt. Een medewerker die een omweg zoekt, doet dat bijna altijd omdat de officiële weg niet werkt zoals bedacht. De scanner logt er iedere keer uit tijdens een drukke dienst. De beveiligde app voor planningen laadt traag op een oude telefoon in de bestelbus. De tweede inlogstap is lastig met werkhandschoenen aan. Het gevolg is dat mensen zelf een praktische oplossing verzinnen, meestal zonder erbij stil te staan dat ze daarmee een risico openzetten.
Waar dit in jouw bedrijf opduikt
In een groothandel zie je het terug in gedeelde inlogcodes op het magazijn, omdat iedereen tijdens een shift dezelfde scanner gebruikt en apart inloggen tijd kost. In transport en logistiek gaat een route of levertijd weleens via WhatsApp in plaats van de beveiligde planningsapp, omdat dat nu eenmaal sneller gaat tussen twee stops. In productie wordt een tweede authenticatiestap soms overgeslagen bij de machine, omdat de operator net zijn handen heeft gewassen en geen zin heeft in een extra stap. Geen van deze mensen denkt aan risico. Ze denken aan hun werk afkrijgen.
Wat er op het spel staat
Het risico zit niet alleen in een mogelijk datalek, hoewel dat al genoeg reden is om hier serieus naar te kijken. Het raakt ook de manier waarop je straks aantoonbaar richting NIS2 kunt maken dat je beveiliging onder controle hebt. Een beleid op papier dat in de praktijk massaal wordt omzeild, helpt je daar niet mee. Sterker nog: het laat zien dat er een kloof zit tussen wat je denkt te hebben geregeld en wat er werkelijk gebeurt. Die kloof is precies waar een controle, een verzekeraar of een incident je op zal bevragen.
Eerst meten, dan pas ingrijpen
De reflex om meteen strengere regels of extra techniek in te voeren, lijkt logisch maar werkt averechts als je niet weet waar en waarom mensen omzeilen. Begin daarom met in kaart brengen welk gedrag daadwerkelijk voorkomt. Waar wordt een wachtwoord gedeeld. Welke app wordt links gelaten voor iets handigers. Welke stap in een proces wordt structureel overgeslagen. Dat beeld krijg je niet uit een beleidsdocument maar uit gesprekken met teamleiders en uit het gedrag dat je in systemen kunt terugzien. Pas als je weet wat er speelt, kun je bepalen of het beleid moet veranderen, de techniek moet worden aangepast, of mensen beter moeten worden meegenomen.
Beleid dat aansluit op de werkvloer
Beleid dat is bedacht achter een bureau en nooit is getoetst op de werkvloer, verliest het bijna altijd van de praktijk. Vraag daarom aan de mensen die er dagelijks mee werken wat wel en niet werkt, voordat je iets verplicht stelt. Een magazijnmedewerker die zegt dat inloggen te lang duurt tijdens een piekdrukte, geeft je een concreet knelpunt om op te lossen, bijvoorbeeld met een sneller inlogmiddel in plaats van een verbod. Zo wordt beveiliging iets waar mensen in meegaan, in plaats van iets wat ze proberen te ontwijken.
Wat je deze week al kunt doen
Ga deze week in gesprek met een paar teamleiders of ploegbazen en vraag simpelweg waar beveiligingsmaatregelen in de weg zitten. Kijk vervolgens welke drie maatregelen het vaakst worden omzeild en waarom. Bespreek die uitkomst intern voordat je nieuwe regels bedenkt, en betrek de mensen die het raakt bij de oplossing. Dat kost een middag, en het levert meer op dan een nieuw beleidsdocument dat niemand leest.
Een paar vragen die we vaak krijgen
Is een security-vermijdende insider hetzelfde als een kwaadwillende medewerker?
Nee, en dat onderscheid is belangrijk. Een kwaadwillende insider handelt bewust ten koste van het bedrijf, terwijl een security-vermijdende medewerker juist zijn werk probeert te doen en daarbij per ongeluk een risico opent. De aanpak verschilt dan ook volledig: bij de een grijp je in, bij de ander ga je het gesprek aan.
Moet ik nu extra controles instellen op medewerkers?
Dat is meestal niet de eerste stap. Voordat je controle toevoegt, is het waardevoller om te begrijpen waarom mensen afwijken van het beleid. Extra controle zonder dat begrip leidt vaak tot nieuwe, nog slimmere omwegen.
Hoe weet ik of dit in mijn bedrijf speelt?
Je herkent het meestal aan kleine dingen die niemand als probleem ziet: een gedeeld wachtwoord dat als normaal wordt beschouwd, een vaste werkronde om een systeem heen, of een opmerking als ‘dat doen we eigenlijk nooit zo’. Een kort gesprek met een paar medewerkers op de werkvloer legt dit vaak sneller bloot dan een uitgebreide audit.
Wat heeft dit te maken met NIS2?
NIS2 vraagt niet alleen om beleid op papier, maar ook om aantoonbaar te maken dat dat beleid in de praktijk werkt. Een maatregel die structureel wordt omzeild, is lastig aantoonbaar te maken richting toezichthouders of opdrachtgevers, ook al staat hij keurig beschreven in een document.
Wil je weten waar beveiligingsmaatregelen in jouw bedrijf worden omzeild en waarom? Wij denken graag mee over hoe je dat eerst in beeld brengt, voordat je nieuwe regels bedenkt.
