Bedrijven en particulieren produceren elke dag een toenemend volume aan digitale gegevens. Het Europese regelgevingskader is dichter geworden: naast de AVG zijn er nu NIS2 voor kritieke sectoren, DORA voor de financiën en de AI Act voor systemen van kunstmatige intelligentie, met gefaseerde toepassingsschema’s. In deze context is gegevensbeveiliging niet langer alleen een antivirus of een robuust wachtwoord. Het omvat keuzes op het gebied van architectuur, governance en continue verificatie.
Gerichte back-ups door aanvallers: een blinde vlek in beschermingsstrategieën
De meeste cyberbeveiligingsgidsen raden aan om regelmatig bestanden te back-uppen. Dit advies blijft geldig, maar het verbergt een recentere probleem. Terugkoppelingen uit de praktijk tonen aan dat back-upinfrastructuren nu een prioritaire doelwit zijn voor aanvallers. Het doel is niet langer alleen om actieve bestanden te versleutelen, maar ook om de back-upkopieën te neutraliseren, waardoor herstel onmogelijk wordt zonder betaling van een losgeld.
Deze evolutie verandert de situatie voor IT-teams. Het hebben van een back-up is niet meer voldoende als deze toegankelijk is vanaf hetzelfde netwerk als de productiesystemen. De onveranderlijkheid van de kopieën (onmogelijk om ze te wijzigen na het schrijven) en hun fysieke of logische isolatie worden criteria voor de keuze van elke opslagoplossing. Het is ook aan te raden om regelmatig de effectieve herstelbaarheid van de gegevens te testen, want een back-up die niet hersteld kan worden, is er geen.
Om deze kwesties verder te verkennen, biedt Open Syd informatie over beveiliging die verschillende benaderingen beschrijft die geschikt zijn voor bedrijven en zelfstandigen.
Digitale toeleveringsketen en risico’s verbonden aan leveranciers
Recente regelgeving, met NIS2 voorop, breidt de verantwoordelijkheidsomvang veel verder uit dan het interne informatiesysteem. De risico-evaluatie van leveranciers en onderaannemers maakt nu deel uit van de verplichtingen voor de betrokken entiteiten. Een slecht beveiligde cloudprovider, een SaaS-tool die persoonlijke gegevens opslaat zonder adequate versleuteling, een niet ingetrokken derde toegang na afloop van een contract: dit zijn allemaal kwetsbaarheden die digitale oplossingen moeten dekken.
Concreet houdt dit verschillende controles in voordat gegevens aan een derde partij worden toevertrouwd:
- De beveiligingscertificeringen van de leverancier (ISO 27001, SecNumCloud-kwalificatie of gelijkwaardig) onderzoeken en hun exacte bereik verifiëren.
- De verplichtingen tot melding in geval van een incident contractueel vastleggen, met specifieke termijnen en toezeggingen tot transparantie.
- Een mechanisme voor omkeerbaarheid voorzien: de mogelijkheid om al zijn gegevens in een bruikbaar formaat terug te krijgen als de leverancier zijn voorwaarden wijzigt of zijn activiteiten stopzet.
- Derde toegang regelmatig auditen, door degenen die niet meer gerechtvaardigd zijn te verwijderen.
De terugkoppelingen uit de praktijk verschillen over de werkelijke capaciteit van KMO’s om deze audits systematisch uit te voeren. De kosten en complexiteit blijven obstakels, wat sommige structuren ertoe aanzet om deze evaluaties te bundelen via sectorale verenigingen.
Regelgevingsconformiteit: AVG, NIS2, DORA en AI Act in de praktijk
De opeenstapeling van Europese teksten creëert een concrete moeilijkheid voor bedrijven: elke regelgeving dekt een ander bereik, met verplichtingen die gedeeltelijk overlappen. De AVG regelt de verwerking van persoonlijke gegevens. NIS2 legt cybersecuritymaatregelen op aan zogenaamde “belangrijke” of “kritieke” entiteiten. DORA richt zich specifiek op de digitale veerkracht van de financiële sector. De AI Act voegt beperkingen toe voor systemen van kunstmatige intelligentie met een hoog risico.
Voor een bedrijf dat een AI-tool gebruikt die persoonlijke gegevens verwerkt in een sector die onder NIS2 valt, zijn deze drie teksten tegelijkertijd van toepassing. Digitale oplossingen voor naleving proberen een deel van dit werk te automatiseren: mapping van de verwerkingen, register van activiteiten, detectie van afwijkingen. De beschikbare gegevens maken het nog niet mogelijk om de werkelijke effectiviteit van deze tools op lange termijn te meten, maar hun adoptie vordert in middelgrote organisaties.
Wat de AI Act verandert voor gegevensbescherming
De AI Act introduceert een classificatie van AI-systemen op basis van risiconiveau. Systemen met een hoog risico (geautomatiseerde werving, bank scoring, intelligente videobewaking) moeten voldoen aan eisen van transparantie, traceerbaarheid en governance van trainingsgegevens. Een AI-model dat is getraind op bevooroordeelde of slecht beschermde gegevens stelt het bedrijf bloot aan sancties op basis van zowel de AI Act als de AVG.
De CNIL heeft richtlijnen gepubliceerd over de relatie tussen AI en de bescherming van persoonlijke gegevens, met name voor zogenaamde “agentische” systemen (autonome AI die in staat is tot ketenacties). Deze preciseringen zijn recent en hun operationele vertaling moet voor veel organisaties nog worden opgebouwd.
Digitale oplossingen voor detectie en respons op bedreigingen
Detectietools zijn geëvolueerd voorbij de analyse van bekende handtekeningen. Oplossingen zoals EDR (Endpoint Detection and Response) en XDR (Extended Detection and Response) correleren gebeurtenissen over verschillende lagen van het informatiesysteem: werkstations, e-mail, netwerk, cloud. Detectie is nu gebaseerd op gedragsanalyse, wat het mogelijk maakt om nieuwe bedreigingen te identificeren die niet overeenkomen met enige geregistreerde handtekening.
Daarentegen genereren deze oplossingen een volume aan waarschuwingen dat de teams moeten sorteren. Zonder een duidelijk kwalificatieproces is het risico dat analisten worden overspoeld door valse positieven of, omgekeerd, een echt incident missen dat verloren gaat in de massa. Automatisering van de sortering (via regels of AI) helpt, maar elimineert niet de behoefte aan menselijke expertise voor kritieke beslissingen.
De keuze voor een beveiligingsoplossing wordt niet gemaakt op basis van een lijst met functies. Het hangt af van de grootte van de organisatie, de gevoeligheid van de verwerkte gegevens, het toepasselijke regelgevingskader en de werkelijke capaciteit van de teams om de tool dagelijks te gebruiken. Een geavanceerde tool die slecht is geconfigureerd biedt minder bescherming dan een eenvoudige tool die goed wordt onderhouden. Dit is het punt waarop de meeste incidenten hun oorsprong vinden, veel meer dan op een spectaculaire technologische kwetsbaarheid.
