De grootste security risico's bij advocatenkantoren zitten niet in je firewall

De grootste security risico's bij advocatenkantoren zitten zelden in de techniek. Ze zitten tussen het beeldscherm en de stoel. Je kunt de beste antivirus draaien, filters strak zetten en rechten tot op de map inrichten, en toch klikt één medewerker op één link in één mail die er precies uitziet als een bericht van de deurwaarder. Dit stuk gaat over wat er in de praktijk misgaat, waarom techniek alleen niet genoeg is, en wat wél werkt bij kantoren die hun beroepsgeheim serieus nemen.

De meeste kantoren die wij spreken hebben de basis prima op orde. Antispam staat aan, de virusscanner is up-to-date, rechten op cliëntdossiers zijn ingeregeld, back-ups draaien. Op papier ziet dat er goed uit. En toch is dit precies het punt waarop het misgaat: de aanname dat techniek de gebruiker beschermt.

Phishingmails komen binnen. Altijd. Ze omzeilen filters omdat ze er niet uitzien als spam maar als een normale mail van een collega, een notaris of een cliënt. Op het moment dat een advocaat op een dinsdagochtend tussen dertig andere mails door op zo'n link klikt en zijn gegevens invult, is er geen enkele scanner die dat tegenhoudt. Wat volgt is het scenario waar elke partner 's nachts wakker van ligt: cliëntgegevens op straat, gijzelsoftware op de fileserver, geen toegang meer tot de dossiers waar morgen zitting op is. En dan hebben we het nog niet over de meldplicht bij de Autoriteit Persoonsgegevens en het ongemakkelijke gesprek met de deken.

Wat het bij advocatenkantoren extra scherp maakt: het beroepsgeheim is geen vinkje in een compliance-lijst, het is de kern van het vak. Een lek is niet alleen een IT-probleem, het is een reputatieprobleem dat cliënten jaren later nog onthouden. En cliënten die bedrijfsgevoelig werk doen, van fusies tot arbeidszaken, vragen tegenwoordig zelf om bewijs dat het kantoor zijn security op orde heeft.

Wat wél werkt tegen de grootste security risico's bij advocatenkantoren

Wat in de praktijk het verschil maakt is niet meer techniek stapelen bovenop wat er al staat. Het is investeren in het onderdeel van de keten dat het zwakst is: de mens die het gebruikt. Security awareness training, gecombineerd met periodieke phishing-simulaties, verandert het gedrag op een manier die geen enkele appliance kan.

Concreet betekent dat: medewerkers krijgen korte trainingen in het herkennen van verdachte mails, en daarna ontvangen ze zonder aankondiging test-phishingmails vanuit een gecontroleerde campagne. Wie klikt, krijgt direct feedback en een korte herhalingsmodule. Wie niet klikt, meldt de mail en versterkt daarmee de reflex. Na een paar maanden zie je de klikratio dalen van vaak 20 tot 30 procent naar enkele procenten. Dat is geen marketingclaim. Dat is simpelweg wat gebeurt als je bewustwording behandelt als een proces en niet als een eenmalige e-learning die iedereen op vrijdagmiddag wegklikt.

De vier plekken waar het bij advocatenkantoren echt fout gaat

In 17 jaar werken met juridische kantoren zien we vier terugkerende faalpunten. Ze staan zelden op de agenda van het MT, maar veroorzaken bijna alle incidenten die wij bij kantoren zien binnenkomen.

Eén: phishing. De klassieker, en veruit de grootste. Zelfs technische mensen trappen erin. Ik volg zelf dezelfde awareness-trainingen die we aan kantoren geven, en ook ik maak weleens een foutje. De mails worden slimmer: ze gebruiken echte namen uit LinkedIn, verwijzen naar lopende zaken en komen op momenten dat je snel iets moet afhandelen. Twee: intern delen. Advocaten delen mappen met collega's, vergeten rechten in te trekken bij een dossierswitch, of zetten een cliëntdossier in een gedeelde map die breder toegankelijk is dan bedoeld. Dit is geen kwade wil, dit is haast. Drie: publieke wifi. Werken vanuit de trein, een hotel, of tijdens een korte break in een café. Vier: inloggen zonder tweede factor, vaak omdat "het even snel moest" en niemand de admin lastig wilde vallen om MFA opnieuw te configureren.

Wat publieke wifi echt betekent

Een concreet voorbeeld waar ik zelf bij zat. In een vakantiepark zaten ongeveer twintig mensen tegelijk op het wifi-netwerk in de centrale ruimte. Met simpele scan-software, niets exotisch, waren die twintig apparaten binnen enkele minuten zichtbaar. Via een standaard guest-access-instelling die op veel laptops nog aan staat, kreeg ik toegang tot de C-schijf van een van die machines. Ik heb daar een mapje achtergelaten met de suggestie dit niet meer te doen. Als dit een advocatenlaptop was geweest met lokale cliëntbestanden, was het verhaal een ander geweest. Publieke wifi is voor een advocaat geen gemak, het is een lek in de beroepsgeheimhouding.

Het advies dat we standaard meegeven is niet ingewikkeld: gebruik onderweg een 4G- of 5G-verbinding vanaf je telefoon in plaats van open wifi, log altijd in met tweefactor-authenticatie, en zet een VPN-verbinding op als je iets moet doen dat verder gaat dan een mail lezen. In de Modern Workplace-varianten die wij inrichten staan deze zaken standaard aan, zodat de medewerker niet elke keer opnieuw hoeft te kiezen tussen gemak en veiligheid.

Waarom intern delen het meest onderschatte risico is

Van de vier faalpunten is intern delen degene die het minst gemeld wordt en tegelijkertijd het vaakst tot vervelende situaties leidt. Een advocaat werkt aan een echtscheiding, deelt de map met een secretaresse, die vervolgens uit dienst gaat maar wier account nog een half jaar actief blijft "voor de zekerheid". Of een dossier wordt overgedragen aan een collega en de rechten van de vorige behandelaar blijven staan. Op zichzelf gebeurt er dan niets. Tot het moment dat er toch iets gebeurt, en de vraag is wie er allemaal in dat dossier kon.

De oplossing is niet strengere regels op papier, want die worden onder tijdsdruk toch omzeild. De oplossing is een omgeving waarin rechtenbeheer automatisch meebeweegt met wie waar aan werkt, waarin verlopen accounts direct worden afgesloten, en waarin je met één blik ziet wie toegang heeft tot welk dossier. Dat vraagt een goede inrichting van Microsoft 365 of een vergelijkbaar platform, plus periodieke checks. Bij kantoren waar dit goed staat, is intern delen geen risico meer maar een geregistreerde handeling waar je op terug kunt vallen.

Want dat is de kern van al deze vier punten: op het moment dat veilig werken een extra handeling wordt, kiest de mens onder tijdsdruk voor de snelle route. Techniek moet die snelle route veilig maken, niet de veilige route langzaam.

Zo pakken wij het aan bij juridische kantoren

De grootste security risico's bij advocatenkantoren zijn menselijk, dus de oplossing is dat ook. Techniek is de bodem, gedrag is het plafond. Wij helpen kantoren met een gecombineerd traject: een Modern Workplace die tweefactor, VPN en rechtenbeheer standaard goed heeft staan, plus doorlopende awareness-training en phishing-campagnes zodat de mens sterker wordt in plaats van zwakker. Wie wil weten hoe zijn eigen kantoor er op dit moment voor staat, kan bij ons een gesprek inplannen waarin we die vier faalpunten concreet doorlopen, zonder verkooppraatje en zonder verplichting.