Ctac
Neem contact op
Neem contact op

    Samenvatting

    Niet de aanval, maar de voorbereiding maakt het verschil

    Cybercriminelen worden professioneler, aanvallen slimmer en de mogelijke impact groter. Toch blijkt de doorslaggevende factor vaak niet de aanval zelf, maar hoe goed een organisatie erop is voorbereid. Tijdens het Ctac Security Event “Cyberaanval onder controle: van dreiging tot verantwoordelijkheid” namen securityexperts deelnemers mee door de volledige levenscyclus van een cyberincident. Van de eerste phishingmail en de werkwijze van een aanvaller tot detectie door een Security Operations Center (SOC), veilig AI-gebruik en de verantwoordelijkheid van bestuur en directie. De belangrijkste conclusie van de ochtend? Cyberweerbaarheid ontstaat niet door één tool of maatregel, maar door samenhang tussen technologie, mensen, processen en bestuurlijke besluitvorming.

    Eén aanval, bekeken vanuit twee perspectieven

    Hoe ziet je organisatie eruit door de ogen van een aanvaller? En wat gebeurt er als die aanvaller daadwerkelijk toegang krijgt tot een account? Anass Ali van Ethical Hacker Groep Nederland liet zien hoe cybercriminelen informatie uit verschillende bronnen combineren. Openbare bedrijfsinformatie, gelekte persoonsgegevens en overtuigende phishingtechnieken zijn samen vaak al genoeg om een medewerker te misleiden. In een live demonstratie zagen deelnemers hoe een aanvaller met een nagemaakte Microsoft-inlogomgeving een account én een actieve sessie overneemt.

    Daarmee probeert de aanvaller toegang te krijgen tot e-mail, bestanden, SharePoint en Teams, om zich vervolgens vanuit dat ene account verder door de organisatie te verspreiden. De demonstratie maakte vooral duidelijk hoe geloofwaardig moderne phishing is. Een vertrouwde huisstijl, een herkenbaar inlogscherm en een normale MFA-melding garanderen niet dat een omgeving veilig is. Bewustwording blijft belangrijk, maar heeft technische ondersteuning nodig, zoals goed ingerichte conditional access en phishingbestendige authenticatie met passkeys, FIDO-sleutels of Windows Hello for Business.

    Van detectie naar directe actie

    Vervolgens onderzocht het Ctac SOC-team dezelfde aanval vanuit het perspectief van de verdediging. In het Microsoft-securityportaal kwamen verschillende signalen samen, zoals afwijkende inlogactiviteiten, ongebruikelijk gebruik van API’s en toegang tot bestanden en samenwerkingsomgevingen. Een Security Operations Center kijkt daarbij steeds naar drie vragen:

    Wat weten we?

    Welke signalen zijn er en wat vertellen ze over de aanval?

    Welke informatie ontbreekt nog?

    Wat moeten we nog uitzoeken om het volledige beeld te krijgen?

    Welke actie is nodig?

    Wat moet er nú gebeuren om de aanval te stoppen?

    Bij een gecompromitteerd account is snel ingrijpen vaak noodzakelijk. Denk aan het blokkeren van het account, het intrekken van actieve sessies, het resetten van authenticatiemiddelen en het isoleren van een betrokken apparaat. Daarna begint het onderzoek naar de daadwerkelijke impact. Hoe eerder je een aanval detecteert en indamt, hoe kleiner de kans dat een aanvaller zich verder door de organisatie beweegt.

    Technologie alleen is daarbij niet genoeg. Een SOC moet vooraf weten welke acties het zelfstandig mag uitvoeren, wanneer overleg nodig is en wie er buiten kantooruren bereikbaar is. Mag een individueel account direct worden geblokkeerd? Mag een laptop zonder overleg worden geïsoleerd? En wat gebeurt er als een bedrijfskritische productieomgeving geraakt lijkt? Juist tijdens een incident is er geen tijd om die verantwoordelijkheden nog te verdelen.

    Weet je wat een aanvaller aan de buitenkant ziet?

    Tijdens het event kregen de deelnemende organisaties een verkorte uitkomst van het Ctac Security Assessment. Dat gaf ze een eerste indicatie van hun digitale buitenkant, zoals zichtbare systemen, mogelijke kwetsbaarheden, e-mailbeveiliging en certificaten. Zo’n assessment laat zien wat een potentiële aanvaller ziet voordat hij een eerste poging doet om binnen te komen. Het is geen volledige audit, maar wel een praktisch startpunt om risico’s te herkennen, te valideren en gericht te verkleinen.
    Vergelijk het met je huis. Een goed beveiligde voordeur helpt weinig als er aan de achterkant een raam openstaat. Op dezelfde manier vraagt digitale weerbaarheid om overzicht over je volledige aanvalsoppervlak, niet alleen over de systemen die intern de meeste aandacht krijgen.

    AI biedt kansen, maar vraagt om duidelijke grenzen

    AI-tools en agents vinden in hoog tempo hun weg naar de werkvloer. Medewerkers gebruiken generatieve AI om teksten te schrijven, analyses te maken, software te ontwikkelen en processen te automatiseren. Dat biedt grote kansen, maar brengt ook nieuwe risico’s met zich mee. Tijdens de sessie over AI & Security liet Harro Kras zien dat het risico meestal niet in het AI-model zelf zit. Het ontstaat vooral door de data die medewerkers invoeren, de rechten die toepassingen krijgen en het ontbreken van duidelijk eigenaarschap.
    Klantgegevens, contracten, intellectueel eigendom, financiële informatie, broncode en API-sleutels horen niet thuis in openbare of privé-AI-tools. Tegelijk werkt alleen verbieden meestal niet, want medewerkers hebben een veilig en werkbaar alternatief nodig. Een praktisch stoplichtmodel maakt de afspraken begrijpelijk:
    • Rood: niet invoeren
      Geen persoonsgegevens, vertrouwelijke informatie, broncode of andere gevoelige data in openbare AI-tools.
    • Oranje: alleen binnen afspraken
      Zakelijk AI-gebruik binnen goedgekeurde toepassingen, voorwaarden en processen.
    • Groen: vrij te gebruiken
      Toepassingen en informatie die je zonder aanvullende risico’s gebruikt.
    Een handige controlevraag is: “Zou ik deze informatie op deze manier ook mailen?” Is het antwoord nee, dan hoort de informatie waarschijnlijk ook niet in een AI-tool. Veilig AI-gebruik vraagt daarnaast om beleid dat directie en management dragen, zakelijke licenties, een duidelijke eigenaar en periodieke controle. En zelfgebouwde apps en agents test je niet alleen op functionaliteit, maar beoordeel je ook op datagebruik, toegangsrechten, logging en kwetsbaarheden.

    Cybersecurity is geen IT-project

    De afsluitende sessie over NIS2 en de Cyberbeveiligingswet bracht de discussie naar de bestuurskamer. Die wet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Hakan Vurel benadrukte dat cybersecurity niet alleen de verantwoordelijkheid is van IT of de CISO. Bestuurders en directieleden moeten weten welke risico’s de organisatie loopt, welke maatregelen er zijn genomen en hoe de organisatie handelt bij een incident. Het gaat daarbij niet alleen om compliance, maar vooral om aantoonbare beheersing. Belangrijke aandachtspunten zijn:

    Beleid en ketenrisico’s

    Risicomanagement, informatiebeveiligingsbeleid en de beveiliging van leveranciers en ketenpartners.

    Incidenten en crisis

    Incidentmanagement, geoefende crisisprocedures en heldere meld-, escalatie- en bereikbaarheidsprocedures.

    Techniek en mensen

    Patch- en kwetsbaarhedenmanagement, toegangsbeheer met sterke authenticatie en awareness voor medewerkers én bestuurders.

    Ook organisaties die niet rechtstreeks onder NIS2 vallen, krijgen met deze eisen te maken. Grote klanten en opdrachtgevers verwachten steeds vaker dat hun leveranciers aantoonbaar grip hebben op cyberrisico’s. Cyberweerbaarheid wordt daarmee niet alleen een beveiligingsvraagstuk, maar ook een voorwaarde om zaken te blijven doen.

    Kun je blijven handelen wanneer alles op zwart gaat?

    Een incident response plan op papier is belangrijk, maar pas tijdens een oefening blijkt of het ook echt werkt. Zijn de juiste contactpersonen buiten kantooruren bereikbaar? Wie mag besluiten om systemen af te sluiten? Hoe informeer je klanten, medewerkers en leveranciers? En heb je belangrijke telefoonnummers nog bij de hand als de normale IT-omgeving niet bereikbaar is? Dit soort ogenschijnlijk eenvoudige vragen maken tijdens een crisis het verschil. Technisch herstel is maar één onderdeel van de aanpak, want ook besluitvorming, communicatie, juridische afstemming en bedrijfscontinuïteit moet je vooraf organiseren en oefenen.

    In vijf stappen van incidentgedreven naar aantoonbaar in control

    Het Security Event liet zien dat cyberweerbaarheid geen eenmalig project is. Het is een doorlopend proces van inzicht krijgen, maatregelen treffen, monitoren, oefenen en verbeteren. Een logische aanpak bestaat uit vijf stappen:
    1. Breng je digitale aanvalsoppervlak in kaart
      Onderzoek wat er vanaf internet zichtbaar is en welke kwetsbaarheden prioriteit hebben.
    2. Test hoe ver een aanvaller kan komen
      Kijk niet alleen naar de buitenkant, maar onderzoek ook wat er gebeurt als iemand toegang krijgt tot je omgeving.
    3. Versterk detectie en respons
      Zorg dat je afwijkend gedrag snel herkent en leg vast welke acties het SOC zelfstandig mag uitvoeren.
    4. Veranker security in beleid en bestuur
      Leg verantwoordelijkheden, incidentprocedures, AI-afspraken en ketenrisico’s vast.
    5. Oefen voordat het echt misgaat
      Test niet alleen de techniek, maar ook besluitvorming, bereikbaarheid, herstel en communicatie.

    Hoe helpt Ctac bij cyberweerbaarheid?

    Wij ondersteunen organisaties bij iedere stap. Van Security Assessments, App Assessments en automated red teaming tot SOC- en MDR-dienstverlening, AI-governance, NIS2-gap-analyses, incident response en crisisoefeningen. Daarbij zien we cybersecurity niet als een losstaand domein, maar kijken we naar de samenhang met je infrastructuur, applicaties, medewerkers en bedrijfsprocessen. De echte vraag is namelijk niet of je beveiligingsmaatregelen hebt genomen, maar of je organisatie een aanval op tijd herkent, snel handelt en aantoonbaar grip houdt op de gevolgen.

    Weet jij wat een aanvaller van jouw organisatie ziet?

    Met een Ctac Security Assessment krijg je een eerste beeld van je digitale aanvalsoppervlak en concrete aanknopingspunten om je weerbaarheid te vergroten.

    Plan een gesprek →

    Veelgestelde vragen over cyberweerbaarheid

    Cyberweerbaarheid is het vermogen van een organisatie om cyberaanvallen te voorkomen, op tijd te herkennen, snel in te dammen en ervan te herstellen. Het vraagt om samenhang tussen technologie, mensen, processen en bestuur.

    Het SOC blokkeert het account, trekt actieve sessies in, reset authenticatiemiddelen en isoleert waar nodig het betrokken apparaat. Daarna volgt onderzoek naar de impact. Leg vooraf vast welke acties het SOC zelfstandig mag uitvoeren.

    Inloggen met methoden die een aanvaller niet via een nagemaakte inlogpagina kan onderscheppen, zoals passkeys, FIDO-sleutels of Windows Hello for Business. Een gewone MFA-melding biedt die bescherming niet altijd.

    Op 15 augustus 2026. De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en maakt het bestuur eindverantwoordelijk voor het beheersen van cyberrisico’s.

    Vaak wel. Organisaties die onder NIS2 vallen, moeten ook de risico’s in hun keten beheersen. Daarom verwachten ze steeds vaker dat hun leveranciers aantoonbaar grip hebben op cyberrisico’s.

    Een onderzoek naar je digitale buitenkant: zichtbare systemen, mogelijke kwetsbaarheden, e-mailbeveiliging en certificaten. Het is geen volledige audit, maar een praktisch startpunt om risico’s gericht te verkleinen.

    Meubelfabriek De Toekomst legt fundament voor flexibele groei met SAP S/4HANA Public Cloud

    Lees meer

    Waarom business- IT alignment belangrijker is dan ooit

    Lees meer
    Enabling your ambition
    Enabling your ambition