NIEUWS

IN HET KORT: De Algemene Inlichtingen- en Veiligheidsdienst (AIVD) waarschuwt Nederlandse organisaties en bedrijven vandaag expliciet voor de gevaren van 'insiders'. Dit zijn medewerkers die — bewust of onbewust — schade kunnen toebrengen aan de belangen, de digitale infrastructuur of de concurrentiepositie van hun eigen werkgever. In het bijzonder vraagt de veiligheidsdienst aandacht voor zogeheten 'security-vermijdende insiders'. Deze categorie werknemers omzeilt bewust ingestelde beveiligingsmaatregelen om hun dagelijkse werk sneller of makkelijker te maken, maar zet daarmee ongewild de deur wijd open voor cybercriminelen en buitenlandse spionnen.

Gemakzucht als grootste beveiligingslek

In de cybersecuritywereld gaat veel aandacht uit naar externe dreigingen, zoals geavanceerde hackersgroepen of statelijke actoren. De AIVD benadrukt echter dat het gevaar net zo vaak van binnenuit komt. Een insider beschikt al over legitieme toegang tot systemen, gebouwen en gevoelige informatie.

De 'security-vermijdende insider' handelt in de regel niet uit boze opzet of met het doel de organisatie financieel of strategisch te benadelen. Vaak ontstaat dit gedrag uit frustratie over complexe beveiligingsprocedures of onhandige IT-systemen. Medewerkers zoeken dan creatieve geitenpaadjes om hun werk efficiënter uit te voeren. Denk hierbij aan het doorsturen van vertrouwelijke bedrijfsdocumenten naar een privé-e-mailadres om 's avonds thuis te kunnen werken, het gebruik van niet-geautoriseerde cloudopslag (Shadow IT), of het delven van beveiligingsfilters om snel bestanden uit te wisselen.

Hoewel de intenties van de werknemer niet kwaadwillend zijn, zijn de gevolgen wel degelijk schadelijk. Zodra bedrijfsgevoelige gegevens op onbeveiligde externe platforms of persoonlijke apparaten belanden, vervalt de controle en de versleuteling die de organisatie hanteert. Kwaadwillenden kunnen deze zwakke plekken eenvoudig uitbuiten om vertrouwelijke data te onderscheppen.

Verschillende typen insider-risico's

De AIVD maakt in haar analyses onderscheid tussen meerdere categorieën insiders die een bedreiging vormen voor de continuïteit en veiligheid van organisaties:

De security-vermijdende insider: Negeert of omzeilt regels uit efficiëntieoverwegingen of gemakzucht, zonder de intentie te hebben om schade aan te richten.

De onbewuste insider: Trapt in phishingmails, gebruikt zwakke wachtwoorden of verliest onbeveiligde apparatuur, waardoor kwaadwillenden toegang krijgen.

De malafide of chantabele insider: Werkt bewust mee aan datadiefstal, spionage of sabotage. Dit kan gebeuren uit financieel gewin, wrok tegen de werkgever, of door druk en chantage van buitenaf (zoals door criminele netwerken of buitenlandse inlichtingendiensten).

Maatregelen tegen de interne dreiging

Om de risico's van insiders effectief te beperken, adviseert de veiligheidsdienst organisaties om een multidisciplinair insiderrisicobeleid te voeren. Een van de belangrijkste pijlers daarin is het principe van least privilege. Dit houdt in dat medewerkers uitsluitend toegang krijgen tot de data en systemen die strikt noodzakelijk zijn voor het uitvoeren van hun specifieke functie. De AIVD pleit er bovendien voor dat organisaties periodiek controleren of de toegewezen autorisaties van personeel nog aansluiten bij hun huidige werkzaamheden.

Daarnaast is het essentieel dat de beveiligingsmaatregelen zelf werkbaar blijven. Wanneer beveiligingstools te veel frictie veroorzaken in de dagelijkse werkstroom, neemt het risico op 'security-vermijdend' gedrag toe. Door te investeren in gebruiksvriendelijke alternatieven, het creëren van een open meldcultuur en het continue trainen van personeel en leidinggevenden, kunnen organisaties het risico op menselijke fouten en datalekken drastisch terugdringen.