Welke blinde vlekken hebben advocatenkantoren in hun IT?

Transcript

heb, dan zie je bepaalde dingen niet. Ik maak altijd eigenlijk het verschil. Kijk, als je al je hele leven lang je gras maait met een nagelschaartje en dat gaat prima, dan weet je niet beter.

Maar ja, als je weet dat er een grasmaaier is, dan rui je die nagelschaar zo in. En misschien kies je er zelf wel voor om je hele tuintje te betegelen. Dan heb je helemaal geen geracht meer.

Dat is ook lekker makkelijk. Dus die is er zeker. Een blinde vlek waarvan ik denk dat hij kan wel heersen, dat heeft te maken met het beleid als het gaat om IT.

Kijk, de meeste klanten die denken IT, dat ligt bij Xeno. Dus ook mijn hele security, mijn beveiliging en dat soort zaken, daar zijn zij voor. En dat is deels waar, voor een groot deel misschien ook wel, maar ook best wel een groot deel niet.

Want kijk, wij legen natuurlijk alle technische aspecten, als het gaat om beveiliging, achter de schermen doen we heel veel eigenlijk om die boel te bewaken. En je kunt de mooiste sloten om je huis bouwen, de mooiste gracht graven of wat dan ook, geen idee. Maar op het moment dat jij gewoon je raampje openlaat staan of je...

je doet je deur niet dicht met dat mooie slot dat ik heb gegeven, dan valt er weinig te beveiligen. En het is ook een enorme trend dat alle aanvallen van vandaag de dag, misschien de afgelopen vijf jaar, daar is uiteindelijk altijd via een menselijke component is die aanval aangezet. met phishing of wat dan ook.

Dus ik denk dat het heel verstandig is dat er meer awareness komt bij advocaten dat ze zelf aan die component ook moeten sluiteren. Nou ja, als ik dat toch het woord aware noem, dan een aware sessie over security en cyber aanvallen. Ja, ik vind dat eigenlijk wat de vereisen zou moeten zijn bij elke advocatenkantoor, zodat mensen echt worden geconfronteerd met de gevaren die eigenlijk vanuit hun stoel eigenlijk tot stand kunnen komen.

En dat is ook wel leuk, want we geven ook wel van die cybersecurity awareness sessies, waarbij we eigenlijk gewoon een hele simpele voorbeeld van phishing laten zien. En de meeste kantoren die denken dan, ja, daar trap ik toch niet in. Want geloof me, we geven ook phishing campagnes en we hebben gemiddelde scores, zelfs na die training om te geven, dat er gewoon 90% ons nog intrapt.

Dus ik denk dat daar echt gewoon bij kantoren die de IT eigenlijk gewoon heel serieus nemen, natuurlijk moeten vertrouwen op wat wij doen, achter de schermen, als het gaat om beveiliging en security. Maar ik denk dat ze ook op hun netvlies moeten hebben wat ze zelf moeten doen. Ja.

Welk gedeelte zou je dan scharen over onder bijvoorbeeld waar is een kantoren zelf verantwoordelijk voor, beleid? Nou kijk, een kantoor heeft gewoon een kantoorbeleid aan zich. Dat heeft met allerlei aspecten te maken.

Ook de normen en waardes, hoe je met elkaar omgaat. En ik denk dat er een hoofdstuk is IT, waarin gewoon wordt gezegd over hoe de medewerkers, het kantoor, kijkt naar hoe om te gaan met IT. En dat zijn hele praktische zaken.

Neem je wel of niet je laptop mee naar de kroeg op de vrijdagmiddagborrel. Er kan zomaar een beleid zijn dat mensen dat niet willen. Het kan ook zijn dat je een bepaalde wachtwoordpolicy hebt en die kan kantoor bedenken.

Wij implementeren dat dan. Maar ik kan dat beleid niet bepalen. Als een kantoor zegt ik wil 16 karakters hebben voor mijn wachtwoord en wij zeggen 8 vinden we ook genoeg, dan worden het er 16.

Dus wij implementeren dat. Maar ik denk dat kantoor vooral heel goed moet nadenken over wat behelst al die beveiliging eigenlijk en dat beleid eigenlijk wat IT gerelateerd is. En welk gedeelte schaar je dan onder verantwoordelijkheid van de IT?

Kun je daar een of twee voorbeelden van noemen? Ik denk dat die IT vooral de verantwoordelijkheid heeft dat wat er in het beleid staat, dat het nageleefd wordt. Heel simpel, in ieder geval de technische zaken.

Want de praktische zaken kan ik nog steeds niet allemaal tackelen natuurlijk. Ik kan mensen niet behoeden om wel of niet iets te doen, maar ergens niet aan te houden. Maar als er bijvoorbeeld staat, joh luister, als je weggaat, wordt je computer automatisch gelokt na 10 seconden.

Ja, dat kunnen we instellen, dan lever ik dat na. Als er alleen maar staat, als je weggaat, dan moet je zelf je computer lokken, dan kan ik dat niet voor ze doen. Dus dat is een beleid wat ze zelf eigenlijk moeten aanleggen.

We hadden het net al over, Microsoft Cloud. Zijn daar nog onbekende risico's? Nou ja, wat ik denk...

Microsoft Cloud is fantastisch. Laat ik eerlijk zijn, dat biedt heel veel mogelijkheden, heel veel functionaliteiten in je data gaan naar Microsoft toe. En wat het risico is, wat mensen dan denken, omdat bij Microsoft staat, staat het ook wel veilig.

Het probleem is alleen wel dat Microsoft eigenlijk niks anders doet dan het faciliteren van een infrastructuur. Je bent zelf verantwoordelijk voor de data die je daar neerzet. Wat ermee gebeurt?

Als je daar een bestand weggooit, of je overschrijft iets, of je bent het kwijt, kun je niet Microsoft bellen, ik wil het terug. Dus je moet goed nadenken over, ja, moet ik dan een partner hebben, zoals Xenon, die eigenlijk daar gewoon meer de vinger aan de pols houdt van, joh, hoe is het gesteld met je data? Want becurs maken doet Microsoft niet.

Compliancy stelt Microsoft niet automatisch in. Security stelt Microsoft niet automatisch in. Dat moet je allemaal zelf doen, hè.

Dat kun je natuurlijk niet zelf, daar heb je gewoon een partij voor nodig. Maar ik denk dat mensen heel goed bewust moeten zijn dat in the end, je bent als kantoor verantwoordelijk voor je eigen data. Mensen gebruiken veel software, die eigenlijk al best wel lang meegaat.

Sommigen zijn wel twintig jaar oud. Wij noemen dat eigenlijk een beetje legacy applicaties. Daar heb je een stukje software voor op je computer nodig en daar het server en daar is de data.

Dat is gewoon een heel gebruikelijke technologie van toen de tijd. Maar die is niet meer, omdat alles naar de cloud gaat. En de blinde flex zou kunnen zijn dat mensen vinden, ja, ik kan gewoon mijn werk doen, kan tijdschrijven, kan declareren, dus alles werkt wel.

Maar de ontwikkelingen naar cloud gaan zo snel, Die legacy software die gaat zometeen niet meer kunnen communiceren met die cloud software. En dan ga je op langere termijn, langere termijn kan waarschijnlijk al over zes maanden zijn, spaak met lopen met functionaliteiten waar je behoefte aan hebt. En dan is, misschien over de blinde vlek, dat mensen moeten migreren naar een ander stukje software, wat dus wel eigenlijk cloud-based is.

Versaagde software noemen we dat eigenlijk. Ja, en dat zijn wel trajectjes van zes maanden. Dus als je dat al wilt, dan moet je eerst een keuze maken, moet je gaan oriënteren, dan krijg je demonstraties en dan moet je kiezen, je moet onderhandelen.

Misschien dat dat al zes maanden duurt overigens. En dan moet je nog gaan implementeren. Je moet je data migreren.

Dat zijn wel trajecten die een aardige doorlooptijd kennen. Het is niet in een weekje omgezet, zeg maar. Dus het zou wel eens een benieuwde vlek kunnen zijn dat mensen te lang blijven vasthouden aan hun oude vertrouwen bekende software omgeving, terwijl de wereld heel erg snel aan het veranderen is en ze eigenlijk pas gaan acteren op het moment dat ze erachter komen en er dan achter komen dat ze nog eigenlijk een jaar nodig hebben om die transitie naar die nieuwe eigenlijk cloud beweging te gaan maken.