"Bij ons gebeurt dat niet." Tot ik als wildvreemde door je kantoor wandel

Tijdens een cybersecurity-audit kijk ik niet alleen naar systemen en processen. Ik loop ook graag even door het bedrijf. Dat kost vaak niet meer dan een kwartier, maar levert verrassende inzichten op. In die korte tijd ontdek ik regelmatig meer over de dagelijkse cyberveiligheid dan tijdens een audit van twee uur.

 

Hoe makkelijk komt een wildvreemde binnen?

Het begint al bij de voordeur. Soms loop ik zonder problemen een bedrijfspand binnen. Zonder dat iemand mij überhaupt aanspreekt. De deur staat open, de receptie is onbemand en op de balie staat een computer aan. Naast het toetsenbord ligt een mobiele telefoon. Je hoeft geen cybersecurity-expert te zijn om te zien dat dit een probleem is. 

In sommige gevallen vraagt een receptiemedewerker wél wie ik ben en of ik een afspraak heb. Daarna krijg ik vaak aanwijzingen over waar ik moet zijn en word ik alleen gelaten. Zo kan ik zonder moeite verder het pand inlopen. 

Is de hoofdingang dicht? Dan gooi ik het over een andere boeg. Dan probeer ik een zij-ingang of het magazijn. Voor die gelegenheid heb ik een doosje met patronen voor de printer in mijn auto liggen. Dat kom ik dan ‘afleveren’. Maar eerlijk gezegd heb ik dat verhaal vaak niet eens nodig. Ik wandel via het magazijn meestal gewoon de kantoren binnen.

In veel bedrijven blijkt het verrassend eenvoudig om binnen te komen. En als iemand eenmaal binnen is, begint het echte risico pas.

 

Niemand vraagt wat ik hier kom doen

Vervolgens wandel ik verder het pand in. Meestal draag ik bij zo’n bezoek een nette jas en heb ik mijn laptop onder mijn arm. Gewoon alsof ik er thuishoor, een afspraak heb en de weg weet. Dat blijkt vaak genoeg. Mensen kijken hooguit even op en gaan daarna weer verder met hun werk. 

De buit ligt al klaar

In een paar kantoren werken mensen. Maar ik zie ook een onbemande werkplek. Het scherm staat nog aan en iemand is nog ingelogd. Ik ga zitten en kijk rond. In theorie zou ik nu e-mails kunnen lezen, bestanden downloaden, malware installeren of instellen dat berichten automatisch naar mij worden doorgestuurd. 

Voor de zekerheid open ik de browser. Bingo. Het icoontje van 1Password heeft geen slotje. Dat betekent dat ik alle opgeslagen wachtwoorden kan bekijken. Een wachtwoordenmanager is een goede oplossing, maar alleen als medewerkers die ook goed gebruiken. 

Bij veel bedrijven vind ik wachtwoorden nog makkelijker terug. In een schrift onder een bureau, op een post-it naast het scherm, onder een muismat of op een whiteboard. Zelfs het wifi-wachtwoord hangt soms van buitenaf zichtbaar in de kantine. 

Ook papieren informatie ligt regelmatig voor het oprapen. In vergaderruimtes zie ik vaak post, facturen en pakketjes op tafel liggen. Banken, verzekeraars en overheidsinstanties sturen graag hun post op papier. Deze documenten kunnen veel gevoelige informatie bevatten. Voor iemand met verkeerde bedoelingen is dat waardevolle informatie.

Waarom goede techniek niet genoeg is

Na de rondgang volgt de audit. In eerste instantie is dat een gesprek van een uur of twee. Daarin bespreken we cyberrisico’s en -weerbaarheid van het bedrijf. Wat me in dat gesprek altijd weer opvalt is het blinde vertrouwen in de IT en de techniek. 

Dat vertrouwen is niet onterecht: het is een vereiste om de technische basis op orde te hebben. Een wachtwoordmanager is bijvoorbeeld een goede manier om wachtwoorden veilig op te slaan. Ook een Multi-Factor Authenticatie (MFA) voor e-mail is inmiddels onmisbaar. Maar die maatregelen werken alleen als medewerkers ze goed gebruiken. Ze helpen niet als een onbeheerde computer nog ingelogd staat.

Als ik daarover begin, krijg ik vaak dezelfde reactie:  ‘Normaal gebeurt dat niet. Het is puur toeval dat je vandaag kon doorlopen. We hebben daar afspraken over gemaakt.’ 

Vervolgens vraag ik om een kopje koffie. Terwijl mijn gesprekspartner koffie haalt, blijft de laptop ontgrendeld achter…

 

Wat zou een wildvreemde vandaag in jouw bedrijf aantreffen?

Het is heel verleidelijk om te denken dat dat bij jouw bedrijf niet gebeurt. Maar kijk eens eerlijk rond. Wat ziet een wildvreemde als die vandaag door jouw pand loopt? Treft die onbeheerde werkplekken aan? Wachtwoorden op briefjes? Of medewerkers die de deur openhouden voor iemand die ze niet kennen? Kortom: hebben jullie regels op papier of zijn ze écht gewoontes geworden? 

Wil je weten waar de risico’s echt zitten? Dan is het verstandig om dit met een externe partij te bekijken. Een buitenstaander ziet namelijk dingen waar je zelf blind voor bent geworden, omdat jij ze elke dag al ziet. Een externe specialist weet waar hij moet kijken en welke vragen hij moet stellen.

Durf je het aan om met een ervaren buitenstaander door het bedrijf te lopen of zelfs een expert los te laten lopen? De uitkomst is regelmatig verrassend, soms oncomfortabel. Maar het levert vrijwel altijd inzichten op waar je direct mee aan de slag kunt. Want cyberveiligheid draait uiteindelijk niet om wat er in een protocol staat, maar om wat medewerkers doen als niemand kijkt.