Ransomware, AI-ondersteunde aanvallen, risico’s bij derde partijen en geopolitieke instabiliteit zetten de cyberweerbaarheid van organisaties voortdurend onder druk. Een sterke focus op externe dreigingen kan er echter toe leiden dat risico’s die samenhangen met vertrouwde toegang, waaronder toegang voor medewerkers, zzp’ers, leveranciers en partners, minder aandacht krijgen. PwC-experts Mimoent Haddouti, Peter Avamale en Sachi Chakrabarty gaan dieper in op het begrip ‘insider risk’.
Bij het versterken van hun cybersecurity kijken organisaties vooral naar buiten, over de eigen ‘omheining’. Recent PwC-onderzoek liet zien dat Nederlandse organisaties bij cybersecurity steeds meer naar risico’s bij derden en in de toeleveringsketen kijken. Maar het misbruiken of beïnvloeden van iemand met legitieme toegang is vaak veel eenvoudiger dan het doorbreken van de beveiliging van de perimeter.
Geopolitieke spanningen, financiële druk, dwang, chantage en ideologische motieven kunnen de kans vergroten dat mensen worden gemanipuleerd of overgehaald om tegen de belangen van een organisatie in te handelen. Tegelijkertijd kunnen medewerkers met goede bedoelingen risico’s veroorzaken door fouten, te ruime toegangsrechten, onveilig gedrag of workarounds waarmee omslachtige processen worden omzeild.
Daarmee is de interne dreiging (‘insider risk') veel meer dan alleen een cybersecurityvraagstuk. Het is een strategisch bedrijfsrisico met gevolgen voor weerbaarheid, reputatie, intellectueel eigendom, naleving van wet- en regelgeving, operationele continuïteit en vertrouwen. Effectief risicobeheer vraagt om een geïntegreerde aanpak van cybersecurity, HR, Legal, Compliance, Risk, fysieke beveiliging en het bestuur, waarbij mensen, processen en governance samenkomen.
Insider risk gaat verder dan kwaadwillende intenties
Bij insider risk wordt vaak gedacht aan een ‘ontevreden medewerker’ die opzettelijk schade veroorzaakt. In de praktijk is het risico veel breder en genuanceerder en omvat het een spectrum van intenties, gedrag en organisatorische omstandigheden.
Interne-risicoprofielen en bijbehorende beheersmaatregelen
| Type insider | Wie is dit? | Motivatie of oorzaak | Hoe kan dit eruitzien? | Reactie management |
|---|---|---|---|---|
| Kwaadwillende insider | Iemand die legitieme toegang bewust misbruikt | Persoonlijke, financiële, ideologische of vergeldingsmotieven. Kan onder dwang of druk staan of worden gemanipuleerd. | Diefstal van intellectueel eigendom, manipulatie van gegevens, omleiden van betalingen, saboteren van systemen of delen van vertrouwelijke informatie met externe partijen. Kennis van de organisatie kan helpen om waardevolle assets gericht aan te vallen en controles te omzeilen. | Formeel onderzoek, beheersing van het incident en disciplinaire of juridische maatregelen. |
| Onzorgvuldige insider | Iemand die risico veroorzaakt terwijl hij legitiem werk probeert uit te voeren | Hoge werkdruk, onduidelijke verantwoordelijkheden, inefficiënte processen of controles die onvoldoende aansluiten op de dagelijkse praktijk. | Delen van inloggegevens, omzeilen van een goedkeuringsproces, uitschakelen van een controlemaatregel of gebruiken van een niet-goedgekeurde tool om een deadline te halen. | Processen evalueren, knelpunten verminderen en preventieve controles versterken. |
| Onvoldoende geïnformeerde insider | Iemand die onbedoeld risico veroorzaakt | Gebrek aan bewustzijn of een menselijke fout. | Klikken op een misleidende link, goedkeuren van een onverwacht verzoek voor multifactorauthenticatie of verkeerd instellen van toegangsrechten voor een cloudmap, waardoor externe aanvallers mogelijk legitieme toegang kunnen misbruiken en zich verder door de organisatie kunnen bewegen. | Training verbeteren en preventieve controles versterken. |
Let op: niet iedereen die risico veroorzaakt, is een kwaadwillende actor. De reactie moet aansluiten bij de intentie, toegang, het gedrag en de context.
Elk intern-risicoprofiel vraagt om een andere aanpak. Kwaadwillende activiteiten vereisen formeel onderzoek, beheersing van het incident en disciplinaire of juridische maatregelen. Bij onzorgvuldig of onbedoeld handelen kan het juist nodig zijn dat je processen herziet, trainingen verbetert, knelpunten wegneemt en preventieve controles versterkt.
De belangrijkste uitdaging voor bestuurders is om niet elk intern risico als wangedrag te behandelen. Niet iedereen die risico veroorzaakt, is een kwaadwillende actor. Effectief internrisicomanagement vraagt om inzicht in intentie, toegang, gedrag en context, gevolgd door een proportionele en juridisch verantwoorde reactie die aansluit op de bedrijfsdoelstellingen.
Waarom traditionele beveiligingsmaatregelen niet voldoende zijn
Traditionele cybersecuritymaatregelen zijn grotendeels gericht op het voorkomen van ongeautoriseerde toegang en het detecteren van externe aanvallen. Insider risk stelt die benadering ter discussie. Degene die het risico veroorzaakt, kan immers al beschikken over legitieme toegang, een vertrouwde rol en een geldige zakelijke reden om met gevoelige systemen of gegevens te werken.
Een medewerker kan toegang hebben tot vertrouwelijke informatie, maar ervoor kiezen deze te misbruiken. Een externe medewerker kan verhoogde toegangsrechten nodig hebben om een kritiek platform te ondersteunen en daardoor de mogelijkheid krijgen om gegevens of systemen bloot te stellen of te manipuleren. Tegelijkertijd behouden voormalige medewerkers, leveranciers of serviceaccounts soms toegang als je uitdiensttreding, credentialmanagement of systeemintegraties onvoldoende beheerst. Naarmate operationele modellen meer gedistribueerd raken, ontstaat daarmee een fundamenteel ander beheersvraagstuk dat niet met perimeterbeveiliging alleen kan worden opgelost.
Hierbij is context cruciaal. Een enkele ongebruikelijke login of bestandsdownload kan een legitieme verklaring hebben. Een opeenvolging van activiteiten kan echter een zorgwekkender patroon blootleggen. Een medewerker kan bijvoorbeeld toegang krijgen tot digitale archieven die buiten de gebruikelijke verantwoordelijkheden vallen, een archief met gevoelige bestanden maken en dit uploaden naar persoonlijke cloudopslag. Afzonderlijk beoordeeld leiden deze gebeurtenissen mogelijk niet tot een waarschuwing. In samenhang kunnen ze echter een indicatie zijn voor diefstal van data.
Effectief internrisicomanagement begint daarom met inzicht in de risico’s waarmee jouw organisatie wordt geconfronteerd en met een beoordeling of de bestaande beheersmaatregelen daarop aansluiten. Zo maak je hiaten zichtbaar en kun je bepalen waar actie nodig is.
Daarom kun jen insider risk niet effectief beheersen met uitsluitend afzonderlijke controlemaatregelen. Als organisaties moet je informatie over identiteit, toegang, gedrag en bedrijfscontext met elkaar kunnen verbinden tot één samenhangend beeld. Het vertrekpunt is een duidelijke beoordeling van de specifieke interne risico’s van de organisatie en van de effectiviteit van bestaande beheersmaatregelen. Daarmee kun je investeringen gericht inzetten en de weerbaarheid van je organisatie versterken zonder onnodige complexiteit of overlap toe te voegen.
Een gecoördineerde aanpak binnen de hele organisatie
Insider risk bevindt zich op het snijvlak van cybersecurity, personeelsmanagement, juridische verplichtingen, operationele weerbaarheid en organisatiecultuur.
IT- en informatiebeveiligingsteams spelen een belangrijke rol bij het identificeren van verdachte activiteiten, het beheren van toegang en het onderzoeken van technische incidenten. HR kan inzichten leveren vanuit personeelsprocessen en gedrag op de werkvloer. De juridische afdeling, risicomanagement en compliance helpen ervoor te zorgen dat onderzoeken en monitoring voldoen aan de geldende vereisten. Ook privacyprofessionals en vertegenwoordigers van werknemers moet je waar relevant betrekken, vooral als maatregelen gevolgen hebben voor de privacy van medewerkers of overleg vereisen.
Duidelijke governance is essentieel bij cyberincidenten
Duidelijke governance is essentieel. Als organisatie moet je helder eigenaarschap beleggen, verantwoordelijkheden vastleggen en afspraken maken over de escalatie van incidenten. Ook is het belangrijk bestaande beheersmaatregelen te beoordelen voordat je in nieuwe technologie investeert, zodat je hiaten efficiënt aanpakt en operationele overlap voorkomt.
Risico’s beheersen gedurende de hele medewerkerscyclus
Internrisicomanagement moet onderdeel zijn van je volledige medewerkerscyclus: van werving en het dagelijkse werk tot veranderingen in rollen of omstandigheden en uiteindelijk het vertrek. Vergelijkbare uitgangspunten gelden voor externe medewerkers en andere derde partijen.
- Onboarding: pas proportionele, wettelijk toegestane screening toe en geef alleen noodzakelijke toegangsrechten. Maak verwachtingen over informatiebeveiliging en veilig gedrag duidelijk.
- Dagelijkse werkzaamheden: combineer toegangscontroles, training en risicogebaseerde, proportionele monitoring om afwijkingen in context te herkennen. Maak veilig werken eenvoudig met werkbare processen, duidelijke regels en laagdrempelige meldkanalen.
- Veranderingen in rol of omstandigheden: beoordeel toegangsrechten opnieuw en verwijder overbodige rechten. Weeg relevante omstandigheden zorgvuldig mee, zonder aannames over personen en met bescherming van gevoelige persoonsgegevens volgens de wet.
- Offboarding: trek digitale en fysieke toegang, inclusief inloggegevens en tokens, tijdig in en laat bedrijfsmiddelen inleveren. Besteed alleen waar nodig extra aandacht aan activiteiten tijdens de opzegtermijn, met passende HR-, juridische en privacywaarborgen.
Begin met de risico’s die er het meest toe doen
Je hoeft niet alle denkbarerisicoscenario's tegelijkertijd aan te pakken. Geef prioriteit aan de risico’s die de grootste schade kunnen veroorzaken en zich richten op een beheersbaar aantal realistische scenario’s.
Insider risk is een groeiend bedrijfsrisico en niet alleen een technisch probleem. Vertrouwde toegang betekent niet dat toegang zonder risico is. Door proactief de belangrijkste risico’s te identificeren, bestaande beheersmaatregelen te beoordelen en governance, mensen, processen en technologie samen te brengen, kunnen organisaties hun cyberweerbaarheid versterken én het vertrouwen beschermen waarop hun bedrijfsvoering is gebaseerd.
Hoe goed beheerst jouw organisatie intern risico? Wij helpen je bij het in kaart brengen van de juiste beheersmaatregelen.
Over de auteurs
