De zomerperiode staat voor de deur. Voor veel organisaties betekent dat een lagere bezetting op locaties en kantoren, meer inzet van tijdelijke krachten en medewerkers die vanaf vakantieadressen werken. Tegelijkertijd blijft de verantwoordelijkheid voor toegang en veiligheid onveranderd groot. Cybercriminelen weten dat organisaties in deze periode kwetsbaarder zijn en spelen daar actief op in. Daar komt nog iets bij. De Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de Europese NIS2-richtlijn, treedt naar verwachting rond of na de zomer in werking. Organisaties die onder deze wet vallen, moeten aantonen dat zij hun digitale weerbaarheid beheersen, incidenten kunnen opvolgen en passende maatregelen hebben getroffen. Juist daarom is dit hét moment om kritisch te kijken naar uw digitale én fysieke security.
Kaz Roelfsema, Business Developer IT bij Nsecure, deelt zes aandachtspunten die deze zomer niet mogen ontbreken.
1. Artificial Intelligence (AI) maakt phishing slimmer dan ooit
De invloed van kunstmatige intelligentie neemt snel toe: inmiddels bevat ruim 80 procent van alle phishingmails AI-content. Dat leidt tot overtuigende, persoonlijk geschreven e-mails, deepfake-telefoongesprekken via voice cloning (vishing) en zelfs realtime gegenereerde videocalls die bijna niet van echt te onderscheiden zijn.
Een sprekend voorbeeld is een zaak uit 2024 bij het Britse ingenieursbureau Arup. Daar deden cybercriminelen zich met behulp van deepfake-technologie voor als leidinggevenden en overtuigden zij een medewerker om deel te nemen aan een online vergadering. De beelden en stemmen in die videocall waren door AI gegenereerd. Uiteindelijk maakte de medewerker, verspreid over meerdere transacties, ongeveer 25 miljoen euro over naar de oplichters.
Juist in de zomer vraagt dit extra alertheid. Organisaties zetten tijdelijke krachten in, terwijl vaste collega’s met vakantie zijn. Kaz geeft daarom drie concrete adviezen:
- Laat teams oefenen met AI-aanvallen die realistisch aanvoelen, zodat men goed herkent hoe dergelijke mails en aanvallen eruitzien en waar men op moet letten;
- Geef tijdelijk personeel een compacte, gerichte awareness-instructie. Ook voor deze groep is het belangrijk om de risico’s te begrijpen en zaken te herkennen;
- Stel tweestapsverificatie verplicht bij betalingen, wachtwoordresets en andere administratieve wijzigingen. Een bekende stem of gezicht is geen identiteitsbewijs meer.
2. Zero Trust is geen luxe maar noodzaak
Nsecure adviseert organisaties om hun securitybeleid in te richten volgens het Zero Trust-principe. Daarbij krijgt niemand vanzelfsprekend toegang en wordt iedere aanvraag actief gecontroleerd, of het nu gaat om een medewerker, leverancier of bezoeker. Pas wanneer identiteit, apparaat én gedrag kloppen, krijgt iemand toegang tot systemen of data. “Zeker in de zomer, wanneer medewerkers vanaf andere locaties en apparaten werken, voorkomt dit principe dat u afhankelijk bent van menselijke waakzaamheid”, legt Kaz uit.
Wat houdt Zero Trust concreet in?
- Authenticatie op meerdere niveaus, zoals locatie, apparaat en gedrag;
- Alleen toegang geven tot systemen die echt nodig zijn;
- Toegang intrekken zodra iemand de organisatie (tijdelijk) verlaat;
- Verdachte inlogpogingen automatisch blokkeren of extra laten verifiëren.
Zero Trust helpt risico’s automatisch te beperken. Zo bent u minder afhankelijk van mensen in een periode waarin teams vaak onderbezet zijn.
3. Vergeet uw fysieke toegang en security niet
“Security stopt niet bij de digitale voordeur”, zegt Kaz. “Zeker in de zomerperiode moeten ook fysieke toegangsprocessen op orde zijn. Want minder medewerkers op locatie betekent niet dat beveiliging minder belangrijk wordt. Integendeel. Door lagere bezetting veranderen gebruikspatronen binnen gebouwen. Verdiepingen worden minder gebruikt, recepties zijn beperkt bemand. Maar leveranciers, bezoekers, schoonmaakdiensten en tijdelijke medewerkers blijven komen en gaan. Zonder goed toegangsbeheer ontstaan al snel blinde vlekken en dus risico’s.”
- Het blijft daarom belangrijk om na te gaan:
- Wie heeft toegang tot welke locaties ruimtes?
- Zijn toegangsrechten nog actueel?
- Wordt toegang automatisch ingetrokken wanneer deze niet meer nodig is?
- Is inzichtelijk wie waar aanwezig is geweest?
Let daarbij in elk geval op de volgende punten:
- Duidelijke zones instellen met specifieke toegangsrechten;
- Logging activeren: wie was waar en wanneer en waarom;
- Tijdelijke toegang automatisch laten verlopen.
Met een modern toegangsbeheerplatform houdt u het overzicht, ook bij lage bezetting. Voor organisaties die zich voorbereiden op de Cyberbeveiligingswet geldt bovendien dat fysieke beveiliging en digitale beveiliging steeds vaker als één geheel worden bekeken. Toegang tot een serverruimte kan immers net zo kritisch zijn als toegang tot een netwerk.
4. Security awareness blijft de sterkste verdedigingslinie
De menselijke factor blijft een cruciale schakel in de digitale en fysieke weerbaarheid van uw organisatie. Kaz licht toe: “Bewustwording en security awareness zijn juist in aanloop naar de vakantieperiode essentieel. Dat vraagt om meer dan alleen het delen van beleid. Beveiliging zit voor een groot deel in gedrag en gedrag verandert alleen door herhaling. Zorg daarom voor praktische richtlijnen, actuele informatie, trainingen en oefeningen zoals phishingtesten. Door die herhaling blijven medewerkers alert en beter voorbereid op (cyber)dreigingen of wat te doen bij calamiteiten of incidenten.”
5. Beveiliging op afstand tijdens lage bezetting
Ook bij een lage bezetting van manbeveiliging of receptiediensten blijft de noodzaak voor inzicht en controle onverminderd aanwezig. Remote services, zoals observation, maken het mogelijk om de regie te behouden zonder fysiek aanwezig te zijn. Met oplossingen als virtuele toegang, remote intercom en videotoezicht, behoudt u ook bij onderbezetting controle. De Observation Room van Nsecure brengt digitale en fysieke beveiliging samen en helpt afwijkend gedrag sneller zichtbaar te maken.
Kaz licht toe: “Vanuit de Nsecure Observation Room ondersteunen we organisaties 24/7 op afstand bij beveiligings- en receptietaken. Denk aan virtuele surveillancerondes of het ontvangen van bezoekers via intercomoproepen. Zeker voor organisaties met meerdere locaties biedt dat extra continuïteit, meer grip en een efficiëntere inzet van personeel en dus kostenbesparingen.”
6. Werken vanuit het buitenland vraagt extra aandacht
Laptops, tablets en mobile devices reizen steeds vaker mee op vakantie. Daarmee reizen ook bedrijfsgegevens mee. Maar dat betekent ook: privé-wifi, onbekende netwerken en apparaten die buiten de vertrouwde werkomgeving worden gebruikt. Kaz benadrukt: “Veel landen bieden niet dezelfde mate van (privacy)bescherming als Nederland. Vermijd daarom openbare wifi-netwerken en zorg dat apparaten goed zijn beveiligd met sterke wachtwoorden en multi-factor-authenticatie (MFA). Juist als er op afstand toegang wordt gevraagd tot gevoelige systemen, moet die toegang goed zijn afgeschermd.”
Met een paar duidelijke afspraken voorkomt u dat werken op afstand leidt tot onnodige kwetsbaarheden:
- Gebruik alleen vertrouwde netwerken of een VPN;
- Zorg dat apparaten automatisch vergrendelen;
- Beperk toegang tot wat echt nodig is;
- Gebruik altijd MFA, ook voor ‘snelle checks’ onderweg.
Conclusie: is uw security klaar voor de zomer?
Kaz sluit af: “De vraag is niet of er deze zomer een incident plaatsvindt. De vraag is hoe goed uw organisatie daarop voorbereid is. Juist in een periode van lagere bezetting wordt zichtbaar of security een verzameling losse maatregelen is, of een volwassen strategie die ook standhoudt wanneer niet iedereen aanwezig is.”
Ook met de komst van de Cyberbeveiligingswet wordt die vraag nog relevanter. Organisaties moeten kunnen aantonen dat beveiligingsmaatregelen niet alleen op papier bestaan, maar ook in de praktijk functioneren.
Samenvatting
Een veilige organisatie bewijst zich juist wanneer de bezetting laag is. Samengevat:
- Controleer of uw Zero Trust-beleid ook werkt bij extern inloggen, tijdelijke accounts en mobiele apparaten;
- Breng fysieke toegangsscenario’s in kaart: wie mag waar naar binnen en waarom?
- Zorg dat (tijdelijk) personeel AI-gedreven dreigingen leert herkennen;
- Leg vast hoe uw incidentrespons functioneert bij onderbezetting;
- Herhaal security awareness met korte, gerichte reminders.
