#informatiebeveiliging

[itrealiteit]

Security by obscurity? Stoppen met verbieden als reflex Security by obscurity is het digitale equivalent van een slot op de deur zetten en hopen dat niemand een raam ziet. We blijven maar dingen verbieden “voor de veiligheid” zonder te snappen wát we eigenlijk beschermen. Spoiler: verbieden is geen strategie, het is een paniekreactie. Als je reflex “nee” is, heb je geen beveiligingsbeleid. Je hebt angstmanagement. Echte security zit in zichtbaarheid, bewuste keuzes, ontwerp en volwassen risicoacceptatie. Niet in het verstoppen van systemen en hopen dat hackers beleefd blijven. De vraag is niet: “Hoeveel mag er niet?” De vraag is: “Hoe goed durven we worden?” Wie zich blijft verschuilen, heeft de strijd al verloren.

Security by obscurity? Stoppen met verbieden als reflex

[itrealiteit]

Zero Trust is geen product. En zeker geen knop die je omzet zodra je Zscaler, Cloudflare of Microsoft hebt afgevinkt in je architectuur. Toch doen we alsof het zo werkt. We kopen tooling, zetten het op een slide en noemen het “Zero Trust implementatie”. Klaar. Veilig. Gecontroleerd. Alleen klopt het niet. Zero Trust is geen technologie, het is een principe dat behoorlijk ongemakkelijk is als je het serieus neemt. Het zegt eigenlijk: vertrouw niets standaard, ook niet wat je al 20 jaar “intern veilig” noemt. En daar wringt het. Want in de praktijk blijkt: legacy systemen willen niet meedoen rechten zijn historisch gegroeid in plaats van ontworpen en gemak wint het vaak van beveiliging Dus wat doen we? We plakken er een platform overheen en hopen dat het gedrag verandert. Dat is geen transformatie, dat is cosmetica met een security label. De industrie helpt daar niet altijd bij. “Zero Trust ready”, “Zero Trust enabled”, “Zero Trust platform”. Het klinkt goed in sales decks, maar het verbergt de echte vraag: heb je je fundamentele aannames eigenlijk wel veranderd? Zero Trust wordt pas echt interessant als het pijn doet. Als je privileges moet afpakken. Als je legacy moet isoleren in plaats van negeren. Als je moet accepteren dat vertrouwen nooit statisch is geweest, maar altijd al een risico-inschatting. De waarheid is simpel, maar niet populair: Zero Trust koop je niet. Je bouwt het. En je blijft het opnieuw uitvinden. Alles daarbuiten is vooral geruststellende marketing.

Zero Trust is geen product. Stop met doen alsof.

[itrealiteit]

Iedereen heeft een mening over Chinese hardware. “Geen Huawei in mijn netwerk.” “Kwestie van security.” “Kwestie van principes.” Klinkt daadkrachtig. Tot je iets verder kijkt. De chips in je “veilige” netwerkapparatuur? Grote kans dat ze uit dezelfde regio komen. De firmware? Ontwikkeld door teams verspreid over de hele wereld. De risico’s? Die stoppen niet bij een landsgrens. En dan de interessante vraag die bijna niemand hardop stelt: Vertrouw je een Chinese leverancier niet vanwege mogelijke staatsinvloed… maar ga je er wél vanuit dat Amerikaanse vendors volledig buiten het bereik van hun overheid opereren? Dat is geen securitystrategie. Dat is selectief vertrouwen. Ondertussen voeren we discussies over merken, terwijl het echte probleem ergens anders zit: We bouwen infrastructuren die ervan uitgaan dat leveranciers te vertrouwen zijn. Terwijl de enige realistische aanname zou moeten zijn dat dat niet zo is. Dus misschien is de vraag niet: “Moeten we Huawei weren?” Maar: “Waarom ontwerpen we nog steeds systemen die instorten zodra één leverancier faalt of gecompromitteerd raakt?” Vendor-keuze voelt als controle. Architectuur ís controle. En dat verschil bepaalt uiteindelijk je risico.

Hardwarekeuze: techniek vs geopolitiek

[itrealiteit]

AI schuift sneller richting geopolitiek terrein dan veel mensen doorhebben. De afgelopen dagen zagen we hoe Anthropic’s nieuwe Fable 5 en Mythos 5 modellen vrijwel direct na release weer wereldwijd werden uitgeschakeld, na een Amerikaanse exportcontrole die toegang voor buitenlandse gebruikers én zelfs buitenlandse medewerkers blokkeerde. Dat is geen detail. Dat is een signaal. AI wordt niet langer behandeld als “software in de cloud”, maar als strategische infrastructuur. Net als chips en energie begint toegang tot modellen onderdeel te worden van nationale veiligheid. Tegelijk zie je de kloof in benadering groeien. In de VS wordt AI steeds nadrukkelijker gekoppeld aan concurrentiekracht en geopolitieke positie. In Europa blijft de focus vooral liggen op regulering en risico’s. Beide zijn terecht, maar samen creëren ze een ongemakkelijke asymmetrie: wie bepaalt de technologie, en wie bepaalt alleen de regels eromheen? Dit is niet hetzelfde als de cloud-revolutie van twintig jaar geleden. Toen ging het om infrastructuur. Nu gaat het om cognitieve capaciteit: systemen die werk, analyse en besluitvorming steeds vaker mede bepalen. De echte vraag is dus niet of AI belangrijk wordt. Die is al beantwoord. De vraag is wie er straks nog toegang heeft tot de meest geavanceerde vormen ervan, en onder welke voorwaarden. En dat is geen technologiediscussie meer. Dat is machtspolitiek in softwarevorm.

AI als geopolitiek wapen: Europa kijkt nog steeds naar de verkeerde discussie

[itrealiteit]

Digitale soevereiniteit is ineens hét onderwerp. Minder afhankelijk van Microsoft. Meer controle over onze data. Strategisch volwassen worden. Klinkt goed. Tot je het serieus neemt. Want echte onafhankelijkheid betekent dat je afscheid neemt van wat vandaag gewoon werkt. Dat je accepteert dat productiviteit daalt. Dat je jarenlang bezig bent met iets waarvan je niet zeker weet of het beter wordt. En precies daar haakt iedereen af. De meeste organisaties willen namelijk geen onafhankelijkheid. Ze willen stabiliteit. Voorspelbaarheid. Systemen die het gewoon doen zonder gedoe. Dus blijven we waar we zitten. En noemen we dat “strategie”. In mijn nieuwste artikel trek ik dat verhaal verder uit elkaar. Niet hoe het zou moeten, maar hoe het daadwerkelijk zit.

Digitale soevereiniteit is een sprookje (en we doen alsof we het geloven)

[itrealiteit]

Cyberrisico’s zitten al in de boardroom. De CISO vaak nog niet. In veel organisaties wordt de CISO nog steeds ergens onder IT geplaatst. Logisch misschien, want security komt uit de techniek. Maar de risico’s waar de CISO voor waarschuwt zijn allang geen IT-problemen meer. Ransomware legt productie stil. Datalekken raken reputatie en juridische aansprakelijkheid. Manipulatie van data kan direct impact hebben op besluitvorming. Dat zijn geen technische incidenten. Dat zijn bedrijfsrisico’s. Toch verwachten we van de CISO dat hij of zij die risico’s bewaakt, terwijl de strategische keuzes vaak elders worden gemaakt. Dan ontstaat een vreemd model: de persoon die het cyberrisico moet duiden zit niet aan de tafel waar het risico wordt geaccepteerd. De echte vraag is daarom niet of de CISO formeel in de board moet zitten. De echte vraag is deze: als cyberrisico’s een strategisch risico zijn, waarom behandelen we de functie die dat risico bewaakt dan nog zo vaak als een IT-rol? #cybersecurity #ciso #governance

De CISO buiten de boardroom houden is comfortabel. Tot het incident plaatsvindt.

[itrealiteit]

Mensen willen altijd iets “slims” zeggen over security. Zero trust. AI. XDR. Buzzword bingo waar je een halve consultancy op kunt laten draaien. Ondertussen ligt de basis nog steeds te rotten. Signing keys die jaren blijven bestaan. Private keys die ergens op een server staan “voor het gemak”. Geen idee wie er toegang toe heeft. Geen rotatie. Geen monitoring. Maar wel doen alsof je security volwassen is omdat je een mooi dashboard hebt. Realiteit: als je je signing keys niet onder controle hebt, is alles wat je daarna bouwt cosmetisch. Dan vertrouwt je hele omgeving op aannames die je niet kunt waarmaken. En het pijnlijke is, dit is geen complex probleem. Het is geen innovatievraagstuk. Het is discipline. Structuur. Gewoon doen wat al twintig jaar bekend is. Maar dat verkoopt niet lekker. Dus schuiven we het voor ons uit en investeren we liever in iets wat wél indruk maakt in een boardroom. Tot het een keer misgaat. En dan blijkt ineens dat je geen securityprobleem had, maar een fundamentprobleem.

Key management en signing keys: saai, cruciaal en vaak onderschat

[itrealiteit]

Van harde schil naar paranoïde systeem. Mensen zijn gek op het idee dat hun datacenter “goed beveiligd” is. Totdat je één vraag stelt: Vertrouw jij alles wat al binnen is? De meeste organisaties doen dat namelijk nog steeds. Sterke firewalls, nette perimeter, en daarachter… impliciet vertrouwen. Systemen die met elkaar praten omdat ze “op hetzelfde netwerk zitten”. Dat model werkt prima. Tot het moment dat iemand binnenkomt. En dat moment komt er altijd. Niet omdat je slecht bent, maar omdat het speelveld veranderd is. Cloud, remote work, koppelingen met alles en iedereen. De grens tussen binnen en buiten bestaat praktisch niet meer. Zero Trust probeert dat probleem op te lossen door iets ongemakkelijks te zeggen: vertrouwen is geen uitgangspunt meer, maar iets wat je continu moet afdwingen. Klinkt logisch. Is het ook. Tot je het probeert te implementeren. Want dan loop je tegen de realiteit aan: legacy systemen, onduidelijke datastromen, te brede rechten, en teams die langs elkaar heen werken. Ineens wordt zichtbaar hoe “netjes” je omgeving echt is ingericht. In mijn artikel ga ik hier dieper op in: waar het traditionele model faalt, wat Zero Trust wél oplost, waar het stukloopt in de praktijk en waar je echt scherp op moet zijn als je hier serieus mee aan de slag gaat. Geen hype. Geen tool-praat. Gewoon hoe het zit.

Van harde schil naar paranoïde systeem