Niet elk datalek begint met een schimmige hacker en een externe aanval. Soms zijn het niet kwaadwillende derden die netwerkbeveiligers overrompelen. Het zijn gewone werknemers die zich niet houden aan de vastgestelde richtlijnen voor informatiebeheer, waardoor organisaties in de problemen komen. Of regels voor gegevensverwerking die niet meer werken.
In dergelijke situaties is zelfs de meest geavanceerde cyberbeveiligingstechnologie ter wereld mogelijk niet voldoende om een schadelijk datalek of een schending van de regelgeving te voorkomen. Dat ondervond UK Government Investments (UKGI) onlangs aan den lijve nadat potentieel gevoelige gegevens bijna twee dagen lang online waren gelekt.
Dit is niet het eerste en zal ook niet het laatste waarschuwende verhaal in zijn soort zijn. De juiste aanpak voor het opbouwen van bedrijfsveerkracht is het vinden van een balans tussen beveiligingstechnologie en informatiebeheer.
Wat is er gebeurd bij UKGI?
Het incident bij UKGI, dat de commerciële belangen van de staat in bedrijven beheert, is enigszins ironisch, gezien het feit dat het agentschap zichzelf omschrijft als expert op het gebied van corporate governance. Het agentschap van het ministerie van Financiën meldde in zijn jaarverslag van augustus dat een datalek in 2025-26 het gevolg was van het per ongeluk lekken van een intern bestand. Dit bestand bevatte "managementinformatie op hoog niveau en de namen en werk-e-mailadressen van 51 overheidsfunctionarissen", die gedurende ongeveer 40 uur openbaar toegankelijk waren. De schuldige was "een medewerker die zich niet aan de vastgestelde informatiebeveiligingsrichtlijnen hield".
UKGI meldde het incident aan het Information Commissioner's Office (ICO) en liet een extern onderzoek uitvoeren. Dit onderzoek leverde aanbevelingen op voor het versterken van de paraatheid en de controlemechanismen bij incidenten. Het bedrijf heeft het overgrote deel van deze aanbevelingen al geïmplementeerd of is van plan dit te doen.
Bestuurlijke uitdagingen zijn overal.
Hoewel dit incident zonder grote gevolgen is verlopen, hebben vergelijkbare gevallen een veel grotere impact gehad. Een paar voorbeelden schieten me te binnen:
De Post Office werd in 2025 door de ICO berispt nadat het bedrijf een onbewerkte versie van een juridisch document over het aanhoudende Horizon IT-schandaal op zijn website had gepubliceerd. Het document bevatte de naam, het huisadres en de functie van postmeester van meer dan 500 personen die betrokken waren bij rechtszaken tegen de Post Office. Deze informatie bleef bijna twee maanden lang openbaar toegankelijk. De Post Office ontkwam ternauwernood aan een boete van £1 miljoen.
De gemeente Hammersmith & Fulham werd vorig jaar ook berispt door de ICO (Information Commissioner's Office) nadat per ongeluk de gegevens van 6,528 mensen, waaronder 2,342 kinderen, waren gelekt naar aanleiding van een WOB-verzoek (Wet openbaarheid van bestuur). Het betreffende Excel-bestand bevatte 35 verborgen werkmappen met de informatie, waaronder gegevens over asielzoekende kinderen. De persoonlijke gegevens waren bijna twee jaar lang openbaar toegankelijk.
De politie van Noord-Ierland (PSNI) bracht talloze agenten en medewerkers in gevaar door hun persoonlijke gegevens, waaronder namen, rangen en functies, te lekken in een spreadsheet-gebaseerd antwoord op een WOB-verzoek. Hoewel de gegevens slechts enkele uren openbaar toegankelijk waren, wordt aangenomen dat de informatie is verkregen door dissidente republikeinen. De PSNI ontliep een boete van £5.6 miljoen alleen dankzij een door de ICO aangenomen beleid voor financiële sancties in de publieke sector na de coronapandemie.
Hoe ziet een goede werkwijze eruit?
Dergelijke incidenten illustreren een groeiend probleem: de investeringen in technische beveiligingsmaatregelen hebben in veel organisaties de financiering voor informatiebeheer dramatisch overtroffen, aldus Muhammad Yahya Patel, vCISO EMEA bij Huntress.
"Informatiebeheer, weten welke gegevens je hebt, waar ze zich bevinden, wie er toegang toe heeft, hoe ermee moet worden omgegaan en of die regels in de praktijk ook daadwerkelijk worden nageleefd, is geen glamoureus werk", vertelt hij aan IO (voorheen ISMS.online). "Het is het onderdeel dat in de meeste gesprekken wordt vergeten. Het levert geen spannende presentaties voor de raad van bestuur op. Maar het is de controlelaag die zich bevindt tussen een beleidsdocument en het moment waarop een medewerker om 4 uur op een vrijdag een beslissing neemt over een gevoelig dossier."
Patel betoogt dat een proportionele benadering van risicomanagement betekent dat niet elk risico een technische oplossing vereist. "Soms is de juiste beheersmaatregel een duidelijker proces, betere training die wordt gegeven op het moment dat het relevante risico zich voordoet in plaats van jaarlijks, of een eenvoudige collegiale toetsing voordat gevoelige informatie wordt gepubliceerd of gedeeld," vervolgde hij.
Jake Taylor, hoofd van de publieke sector bij Filigran, is het hiermee eens en stelt dat organisaties niet kunnen beschermen wat ze niet kennen.
"Naarmate overheidsdepartementen en -organisaties worden gereorganiseerd, zal het dreigingslandschap in het VK aanzienlijk verbreden, waardoor er gaten ontstaan die kwaadwillende actoren kunnen uitbuiten. Databeheer wordt hier minstens zo belangrijk, zo niet belangrijker, dan technische verdedigingsmechanismen", vertelt hij aan IO.
"Leiders moeten begrijpen dat veiligheid niet kan bestaan zonder controle, evenwicht en helder inzicht."
Taylor moedigt teams aan om de activiteiten regelmatig te controleren, te registreren en te bekijken wie toegang heeft tot gevoelige mappen om ongebruikelijk gedrag vroegtijdig te signaleren. Hij dringt er ook bij organisaties op aan om de drempel voor gebruikers zo laag mogelijk te houden.
"Zorg ervoor dat beveiligingsregels medewerkers niet belemmeren in hun werk, anders zullen ze gevaarlijke omwegen zoeken", vervolgt hij. "Probeer ook de scheiding tussen de verschillende afdelingen te overbruggen. Dwing uw juridische, IT-, compliance- en beveiligingsteams om samen te werken volgens één uniforme datastrategie."
Introductie van een continue monitoringaanpak
Experts met wie IO sprak, zijn het erover eens dat een continue aanpak van governance en compliance de voorkeur verdient. Dit betekent dat er voortdurend bewijsmateriaal wordt verzameld en dat er continu wordt gecontroleerd op afwijkingen van de compliance-regels. Zo kunnen problemen vroegtijdig worden opgespoord en verholpen, in plaats van te wachten tot een audit historische problemen aan het licht brengt die inmiddels zijn geëscaleerd.
"Momentopnames zoals jaarlijkse audits en penetratietests tonen slechts de status van uw gegevens en de kwetsbaarheden voor één dag, waardoor een vals gevoel van veiligheid ontstaat", betoogt Taylor. "Continue monitoring zorgt ervoor dat uw gegevenskaart, toegangsregels en bewaarbeleid elke seconde accuraat blijven."
Patel van Huntress voegt daaraan toe dat continue monitoring al goed ingeburgerd is in de cybersecurity, en dat informatiebeheer dit voorbeeld moet volgen.
"Geautomatiseerde monitoring die aangeeft wanneer gevoelige documenten openbaar toegankelijk worden gemaakt, een risicowaarschuwing die wordt afgegeven wanneer gevoelige gegevens worden gedeeld – wanneer toegangsrechten onverwacht veranderen, of wanneer gegevens buiten de geautoriseerde kanalen worden verplaatst – reduceert een risico van 40 uur tot vier minuten," zegt hij.
“De technologie hiervoor bestaat en is volwassen. Wat doorgaans ontbreekt, is de wil binnen de organisatie om deze net zo rigoureus te implementeren als technische beveiligingsmaatregelen.”
Het goede en slechte nieuws is dat AI deze taak zowel gemakkelijker als uitdagender zal maken. Enerzijds brengt schaduw-AI nieuwe risico's met zich mee. IBM beweert dat 43% van de datalekken vorig jaar te maken had met ongeoorloofd gebruik van AI. Anderzijds kunnen AI-tools het beheer stroomlijnen door middel van geautomatiseerde classificatie van gevoelige documenten, continue monitoring van datastromen, anomaliedetectie en het razendsnel afdwingen van beleid, legt Patel van Huntress uit.
"De organisaties die het meeste profijt zullen hebben van AI op het gebied van informatiebeheer, zijn de organisaties die hebben geïnvesteerd in een goed begrip van hun dataomgeving, zodat ze weten wat bescherming nodig heeft en waarom," concludeert hij.
"AI versterkt goede praktijken op het gebied van informatiebeheer. Het versterkt echter ook de gevolgen van slechte praktijken, en dat is het aspect waar de meeste leiders nog niet volledig rekening mee hebben gehouden."
Breid je kennis uit
Podcast: Phishing for Trouble S2 E10: Built to Last: How Compliance Enables Business Resilience
