Wat is het grootste securityrisico op een advocatenkantoor?
Het grootste securityrisico op een advocatenkantoor is de gebruiker zelf, niet de techniek. Phishingmails, publieke wifi en onzorgvuldig delen van bestanden veroorzaken meer incidenten dan malware, omdat geen virusscanner beschermt tegen een klik op een verleidelijke link.
Transcript
David, wat zijn de grootste security-risico's die jij in de praktijk ziet bij advocatenkantoren? Ja, eigenlijk kom je een beetje terug op de tweede vraag. Ik denk vooral dat het toch het gedrag is hoe je dus met je werkplek omgaat.
En eventueel de data. Zoals ik al zei, we kunnen advocaten gewoon heel goed helpen inderdaad, door antivirus in te stellen, vijwersysteem of antispam. We kunnen recht instellen op bestanden en noem het maar op.
Maar op het moment dat... En dat is toch weer die gevaarlijkste, is phishingmail. Die mail komt toch gewoon binnen.
Dan kun je beveiligen wat je wil. Maar goed, dat soort mailtjes komen toch binnen. Die lijken verlieden.
En op het moment dat een gebruiker op zijn link klikt, gegevens gaat invullen, daar is geen virusscanner tegenop gewassen. En dat vind ik de grootste zorg. Maar ook voor de klant.
Dit is de grootste nachtmerrie, dat de gegevens op straat komen te liggen. Geiselsoftware, en dan niet meer bij je data kunnen. En als het tegen neut, kun je dan eigenlijk bijna niks meer doen.
Dus kom je ook weer terug op dat security awareness. Laat gebruiken, vooral merken. Wees voorzichtig hoe je met je data omgaat.
Wat ik ook wel zie is... Het is niet alleen extern, maar ook intern. Dus met het bestanden delen of rechten toepassen.
Wees voorzichtig wat je ook met je collega's deelt. Ook dat zie ik gebeuren. Dus eigenlijk, als ik het even samenvat David, dan zeggen we het grootste risico, security risico in de praktijk wat we zien, is degene die tussen het beeldscherm en de stoel zit.
Ja, is toch de gebruiker. Dat is de gebruiker en dat maakt dat, die bepaalt hoe sterk de schakels in de ketting zijn. Ja, dat klopt.
En ja, daar is bijna geen systeem tegen opgewassen. Dus adviseren is daar heel belangrijk in. En dat doen wij ook graag.
Ja, en ook de trainingen die we daarin geven. De security awareness training. En vooral ook de phishing campagne die wij kantoren aanbieden.
Waardoor ze worden getraind in het herkennen van de verkeerde e-mails. En ook worden getraind in het verbeteren van de awareness over hun security risico's. Ja, dat klopt helemaal.
Het grappige is, ik volg dezelfde trainingen ook als techneut. Om even te kijken, hoe ziet dat er nou uit. Zelfs ik als techneut kan ook wel eens een foutje maken.
Dus het komt elke keer weer op bewustwording van wat er kan gebeuren. De physical bias vind ik de grootste zorg. Maar goed, er zijn ook andere dingen die wel fout kunnen gaan.
Kijk bijvoorbeeld naar een simpel wifi-netwerk. Men gaat weleens met een laptop in een internetcafé zitten om zaken te doen. En je hebt gewoon geen idee.
Je zit gewoon op een publiek netwerk. En je weet niet wat er over dat lijntje gaat. Of er iemand misschien toch ziek in me zit mee te luisteren.
Ik heb een prachtig voorbeeld gehad. Toen zat ik in een vakantiepark. En daar ging iedereen in een zaaltje gewoon lekker lopen internetten.
Toen dacht ik, nou eens kijken wat er gebeurt. Dus toen ben ik zelf met mijn laptop gaan zitten. En toen ben ik eens gaan scannen.
In m'n tijd vond ik twintig laptops die verbonden waren met dat netwerk. Ik heb vervolgens gewoon met simpele software... wist ik gewoon via zogenaamd guest access toegang te krijgen.
En toen zat ik op de zeeschijf van zo'n machine. Nou, dan kon ik alles kapotmaken wat ik wilde. Dat heb ik natuurlijk niet gedaan.
Maar goed, ik heb wel even een mapje achtergelaten van... joh, misschien moet je dit niet meer doen. Dus dat is erg leuk.
Dus ook, het is misschien ook wel verstandiger als je op reis bent met je laptop en je moet aan het werk. Ga liever niet op een publiek wifi zitten. Kijk gewoon of je misschien toch via 4G-verbinding je werk kan doen.
Zorg dat je, als je inlogt op systemen, dat je altijd met 2-factor-automatie erin gaat. VPN-verbindingen, allemaal dat soort dingen. Dat maakt het een stuk veiliger.
Waarom is de gebruiker de zwakste schakel?
Antivirus, antispam en rechtenbeheer vangen technische aanvallen af, maar phishing omzeilt die laag door direct op menselijk gedrag te mikken. Eén klik op een nep-inlogpagina levert gijzelsoftware of datalek op, met dossiers van cliënten op straat als reëel gevolg. Awareness-training en simulatie-phishingcampagnes verlagen dat risico structureel, mits ze ook door partners en IT-medewerkers zelf worden gevolgd.
Waarom werkt phishing zo goed?
Phishingmails passeren spamfilters omdat ze legitiem ogen en op urgentie inspelen. Op het moment dat een medewerker gegevens invult op een nep-inlogpagina, is geen enkele virusscanner opgewassen tegen de gevolgen.
Waarom is publieke wifi gevaarlijk?
Op een publiek netwerk in een hotel, internetcafé of vakantiepark kan een aanvaller via simpele scan-software meelezen of via guest access toegang krijgen tot de C-schijf van laptops. Werken via 4G of een VPN-verbinding is veiliger dan open wifi.
Welke interne risico's zien we?
Het verkeerd toepassen van rechten of te breed delen van bestanden met collega's veroorzaakt onbedoelde lekken van dossierinformatie. Zorgvuldig rechtenbeheer en tweefactor-authenticatie op alle systemen beperken die interne blootstelling.
Het grootste securityrisico zit tussen het beeldscherm en de stoel.
Veelgestelde vragen
Phishingmails imiteren vaak bekende afzenders zoals rechtbanken, KvK of banken en spelen in op urgentie of vertrouwelijkheid. Signalen zijn een afwijkend afzenderadres, links die bij hover naar een vreemd domein wijzen, taalfouten of ongebruikelijke betaalverzoeken. Bij twijfel: niet klikken, de afzender via een bekend nummer verifiëren en de mail melden bij de IT-beheerder voor analyse en eventuele blokkade.
