)
Waar loop je als organisatie daadwerkelijk risico en waar niet? Dat begint met inzicht in je kwetsbaarheden én in het gedrag van medewerkers. Want security draait niet alleen om techniek, maar ook om bewustwording, goede keuzes en continu blijven verbeteren. Van Human Risk Management en sneller reageren op dreigingen met continuous patching tot meer grip dankzij een gestandaardiseerd applicatielandschap: elk onderdeel helpt om risico’s beter zichtbaar en beheersbaar te maken. Ook wachtwoordhygiëne speelt daarin een belangrijke rol; met een passende password manager verklein je de kans op zwakke wachtwoorden, datalekken en accountovernames. Zo bouw je stap voor stap aan een veiligere digitale werkomgeving waarin medewerkers weten waar ze op moeten letten en IT beter kan sturen op risico’s. Onze specialisten nemen je mee in Security Awareness, dat je helpt om risico’s beter te herkennen, te verkleinen en bespreekbaar te maken.
Opzettelijk of onopzettelijk, ongeveer 70% van alle datalekken wordt nog steeds veroorzaakt door menselijk handelen. Erg belangrijk dus dat je je medewerkers bewust maakt van de gevaren, naast dat je je beveiliging natuurlijk technisch op orde moet hebben. Medewerkers moeten weten hoe ze verdachte situaties kunnen herkennen maar ook hoe ze deze kunnen melden, zodat ook die verdedigingslinie ijzersterk is. Juist omdat het ook loont dat deze versterkt wordt. Daarvoor zijn drie aspecten noodzakelijk: de houding en het nemen van verantwoordelijkheid, het hebben van kennis en het herkennen van dreigingen, maar ook vaardigheden om ze te signaleren en vervolgens te melden. Human Risk Management is daarmee een noodzakelijke evolutie.
In de tweede aflevering van “Gehackt! Wat moeten we nu doen?” duiken hosts Thijs Kappert en Frank Dammers in de wereld van Human Risk Management. Dat doen ze samen met hun collega Jeroen Voogd en Merel Koenderink van KnowBe4. Je hoort concrete voorbeelden van phishing-scenario’s, dashboards die wél iets zeggen, en hoe je van ‘eenmalige training’ naar continu leren gaat.
)
Een realistisch scenario dat zorgt voor een kat-en-muisspel. In de wereld van kunstmatige intelligentie maken niet alleen softwareontwikkelaars steeds vaker gebruik van AI; ook cybercriminelen weten AI te ‘benutten’ . Cybercriminelen gebruiken AI om kwetsbaarheden sneller te identificeren en aanvallen te automatiseren, beveiligingsteams voor het detecteren van ongebruikelijke activiteiten en het verbeteren van responsstrategieën en softwareontwikkelaars voor het automatisch testen en implementeren van software-updates en beveiligingsfixes. Je wilt immers niet wachten op grote, maandelijkse updates, maar direct kunnen bijwerken zodra er een bugfix of patch beschikbaar is. Gert Penninkhof, onze Service Portfoliomanager, praat je erover bij hoe je hier bewustzijn creëert.
)
)
)
Softwareontwikkelaars en IT-organisaties zetten vandaag de dag steeds vaker in op continuous patching; kwetsbaarheden worden sneller bekend en daardoor ook sneller misbruikt. Door AI en automatisering heeft die snelheid helemaal een vlucht genomen, wij maar ook cybercriminelen vinden, analyseren en benutten in een hoog tempo kwetsbaarheden.
Waar je eerder prima uit de voeten kon met periodieke patchrondes, is dat principe niet meer passend bij het actuele dreigingsbeeld. Door continuous patching toe te passen, kun je sneller, gecontroleerder en consistenter beveiligingsupdates doorvoeren. Je verkleint ermee de periode waarin systemen kwetsbaar zijn. Het is daardoor niet alleen een technische maatregel, maar onderdeel van een moderne beheer- en securitypropositie.
Snellere risicovermindering
Kwetsbaarheden blijven minder lang openstaan, waardoor de kans op misbruik afneemt.
Meer voorspelbaarheid in beheer
Updates worden onderdeel van een continu proces in plaats van losse, grote patchmomenten.
Minder operationele druk
Door patches gefaseerd en geautomatiseerd uit te rollen, voorkom je piekbelasting op IT-teams.
Betere compliance en aantoonbaarheid
Organisaties kunnen beter laten zien dat zij actief werken aan kwetsbaarheden en beveiligingshygiëne.
Hogere digitale weerbaarheid
De organisatie wordt minder afhankelijk van reactief handelen na incidenten.
Voor organisaties betekent dit vooral: minder verrassingen, minder risico en meer grip op de veiligheid van hun digitale werkomgeving.
Continuous patching wordt toegepast als uitbreiding van het vaak al reguliere patchmanagement. Waar regulier patchmanagement zorgt voor periodieke en gecontroleerde updates, richt continuous patching zich op het sneller en risicogestuurd reageren op actuele kwetsbaarheden. In omgevingen waarvoor wij volledig verantwoordelijk zijn, zoals onze private cloud, is dit onderdeel van onze zorgplicht voor een veilige, actuele en beheersbare omgeving.
Binnen het klantdomein (gedeelde verantwoordelijkheid) begint de inrichting van continuous patching vaak met inzicht: welke systemen, applicaties, platformlagen en werkplekken vallen binnen wiens verantwoordelijkheid, welke kwetsbaarheden zijn relevant en wat is de impact op de omgeving? Op basis daarvan kun je bepalen waar versnelling nodig is, waar de bestaande patchcyclus volstaat en waar aanvullende afspraken nodig zijn over verantwoordelijkheden buiten de ‘standaard’ beheergrenzen.
Vervolgens is het van belang het beleid en processen aan te scherpen, bijvoorbeeld rondom testgroepen, acceptatie, uitrolvensters, uitzonderingen en rapportage. Niet iedere patch hoeft op hetzelfde moment of met dezelfde urgentie te worden uitgerold. Het gaat juist om risicogestuurd patchen: kritisch waar nodig, gecontroleerd waar mogelijk.
)
)
)
Daarmee is continuous patching geen vervanging van een bestaande patchmanagementdienst zoals we die bij Unica ICT hebben, maar een verdieping daarop. Voor omgevingen waar wij integraal verantwoordelijk zijn, is het onderdeel van goed en veilig beheer; voor klantlagen of applicaties buiten onze verantwoordelijkheid positioneren we het als aanvullende dienstverlening met duidelijke afspraken over scope, risicoacceptatie, governance en rapportage.
De toekomst ligt in meer automatisering, meer intelligentie en kortere doorlooptijden. AI gaat softwareontwikkelaars helpen om kwetsbaarheden eerder te herkennen, code veiliger te schrijven, patches sneller te testen en impactanalyses beter uit te voeren. Tegelijkertijd wordt AI ook door aanvallers gebruikt. Daardoor ontstaat een versnelling aan beide kanten: ontwikkelaars en beheerders moeten sneller reageren, terwijl aanvallers sneller zoeken naar zwakke plekken.
Gert is vanuit zijn rol nauw betrokken bij dit thema. Hij verwacht dat continuous patching steeds meer een onderdeel wordt van de standaard software lifecycle. Patchen wordt geen los beheerproces meer, maar een integraal onderdeel van ontwikkelen, testen, uitrollen en monitoren. Voor IT-dienstverleners betekent dit dat diensten rondom vulnerability management, endpoint management, applicatiebeheer en security operations dichter naar elkaar toe groeien.
Doordat werkplekken tegenwoordig steeds meer te standaardiseren zijn, wordt het mogelijk een sterke én veilige werkplekomgeving te creëren. Alles vanuit het nieuwste systeem, met een nieuwe securitystandaard waarin lokale adminrechten voor medewerkers die dit niet nodig zijn verwijderd worden maar ook applicaties automatisch gedistribueerd worden. Het maakt de beveiliging sterker, stroomlijnt werkplekmanagement en medewerkers maken gebruik van een moderne en betrouwbare digitale werkplek.
Door onnodige complexiteit weg te halen en applicaties te standaardiseren, creëer je een meer transparant en beter te managen omgeving. Door daar een applicatiewerkruimte aan toe te voegen, creëer je een eenvoudig en gebruiksvriendelijk platform dat je medewerkers in staat stelt om applicaties zelfstandig te installeren en te updaten. Tegelijkertijd blijft je IT-afdeling volledig in controle over de veiligheid, het beleid en het beheer van de levenscyclus van de gebruikte devices.
Het evenwicht dat zo tussen autonomie en governance ontstaat stelt jou als organisatie in staat om snel te reageren op veranderende bedrijfsbehoeften, zonder de stabiliteit of veiligheid ervan in gevaar te brengen. Het applicatieplatform en de bijbehorende satellietmogelijkheden zorgt voor centraal beheer, updates en distributie vanaf één enkele plek; de efficiëntie en consistentie zal aanzienlijk verbeteren, Shadow IT wordt verminderd en medewerkers profiteren van een snelle, stabiele en toekomstbestendige digitale werkruimte.
Volgens Gert zit het securityvoordeel hier vooral in standaardisatie, centrale regie en minder variatie in de werkplekomgeving. Hoe meer uitzonderingen, lokale installaties en handmatige beheeracties er zijn, hoe groter het risico op kwetsbaarheden, shadow IT en beheerfouten.
Met een gestandaardiseerde werkplek en een Application Workspace ontstaat een beter beheersbaar applicatielandschap. Applicaties kunnen centraal beschikbaar worden gesteld, geüpdatet en gecontroleerd. Medewerkers krijgen de flexibiliteit om de applicaties te gebruiken die zij nodig hebben, terwijl IT grip houdt op beleid, distributie en lifecycle management.
)
)
)
Dat levert securityvoordeel op doordat:
Lokale adminrechten beter kunnen worden beperkt;
Ongecontroleerde software-installaties worden verminderd;
Updates consistenter kunnen worden uitgerold;
Inzicht ontstaat in welke applicaties daadwerkelijk worden gebruikt;
Afwijkingen sneller zichtbaar worden;
De werkplek beter aansluit op moderne securityprincipes zoals Zero Trust.
Het is zo niet alleen een werkplekconcept, maar ook een haakje naar bredere dienstverlening: modern workplace, applicatiebeheer, lifecycle management, security hardening en continuous improvement. Kort gezegd: standaardisatie maakt beheer schaalbaarder, patching betrouwbaarder en security beter aantoonbaar.
Organisaties zien de risico’s van zwakke wachtwoorden toenemen, terwijl het aanbod aan oplossingen juist groter en diverser wordt. Onze specialisten krijgen dan ook regelmatig de vraag: wat is een goede passwordmanager? Een logische vraag, want het is lastig om te bepalen wat écht nodig is. Wanneer volstaat bijvoorbeeld een eenvoudige oplossing? En in welke situaties zijn zwaardere, enterprise‑ of PAM‑achtige maatregelen gerechtvaardigd?
Digitale veiligheid begint bij goede wachtwoordhygiëne, maar dat is in de praktijk eenvoudiger gezegd dan gedaan. Medewerkers werken met steeds meer applicaties, accounts en digitale ‘secrets’, zoals API‑keys en service‑accounts. Tegelijkertijd nemen dreigingen zoals phishing, datalekken en accountovernames toe. Een passwordmanager kan dan een belangrijk hulpmiddel zijn, mits deze aansluit bij het gebruik en het risicoprofiel van de organisatie.
Vanuit Unica leveren wij geen generieke beheerdienst voor passwordmanagers. Dit heeft vooral te maken met de aard van deze oplossingen. Het dagelijkse gebruik en beheer ligt in de praktijk vaak dicht bij de eindgebruiker of bij de organisatie zelf, bijvoorbeeld rondom persoonlijke kluizen, gedeelde accounts, gebruiksafspraken en adoptie. Deze aspecten verschillen sterk per organisatie en laten zich daardoor lastig uniform standaardiseren binnen een beheerdienst.
)
)
)
Wel ondersteunen en adviseren wij organisaties regelmatig bij de keuze, inrichting en inbedding van passwordmanagers. Daarbij brengen wij gebruiksscenario’s, risico’s, architectuurkeuzes en governancevraagstukken in kaart, gebaseerd op onze ervaring met uiteenlopende klantomgevingen en volwassenheidsniveaus.
Wordt de passwordmanager uitsluitend gebruikt voor persoonlijke accounts of ook voor het delen ervan binnen teams en afdelingen? In dat laatste geval worden governance, inzicht en eigenaarschap belangrijker.
Gratis oplossingen zijn vaak voldoende voor persoonlijk en niet kritisch gebruik. Voor zakelijke scenario’s met gedeelde accounts, compliance eisen en centrale aansturing bieden betaalde oplossingen doorgaans meer mogelijkheden. Houd rekening met kosten van gemiddeld circa €7 per gebruiker per maand.
Cloudoplossingen maken snel starten mogelijk en vereisen minder beheer. Self hosted of on premises varianten bieden meer controle, maar vragen ook meer verantwoordelijkheid en beheerinspanning. Onderstaande voorbeelden dienen ter illustratie van verschillende type keuzes en zijn geen aanbeveling voor specifieke leveranciers. Ze laten zien dat er geen ‘one‑size‑fits‑all’ bestaat. De juiste keuze volgt altijd uit het beoogde gebruik, het risicoprofiel en de gewenste mate van centrale aansturing.
KeePass is gratis en open source en vooral geschikt voor persoonlijk gebruik. De oplossing draait lokaal, waardoor expliciete aandacht nodig is voor back‑ups en herstel.
Bitwarden is beschikbaar als gratis en betaalde variant en ondersteunt zowel cloud‑ als self‑hosted gebruik. In betaalde edities is SSO‑integratie (zoals Entra ID) mogelijk.
1Password en Keeper zijn volwassen cloud‑only oplossingen met persoonlijke en zakelijke varianten. In zakelijke edities ondersteunen zij SSO‑integratie met Entra ID; persoonlijke voorkeur speelt hier vaak een rol.
Microsoft Edge, met de ingebouwde passwordmanager, wordt regelmatig over het hoofd gezien. Voor basisgebruik is dit een verrassend complete, gratis optie, zeker binnen een Microsoft‑omgeving waar instellingen via Intune afdwingbaar zijn.
Elke passwordmanager kent risico’s, zoals een single point of failure, vendor lock in, afhankelijkheid van gebruikersgedrag, risico’s rond browser extensies en het belang van goede recovery- en exitscenario’s. Een passwordmanager is daarin geen doel op zich, maar een bouwsteen binnen een bredere beveiligingsstrategie. Door bewust stil te staan bij gebruik, risico’s, architectuur en governance maak je een keuze die past bij jouw organisatie - voor nu én in de toekomst.
Security Awareness is daarmee geen losstaand onderwerp, maar een combinatie van mensen, processen en technologie. Door medewerkers bewuster te maken van risico’s, kwetsbaarheden sneller op te volgen met continuous patching, applicaties centraal en veilig te beheren en wachtwoordhygiëne serieus te nemen, vergroot je stap voor stap de digitale weerbaarheid van je organisatie. Het gaat niet om één maatregel, maar om het creëren van overzicht, eigenaarschap en continu bewustzijn. Wil je sparren met onze specialisten over het thema Security Awareness, dan staan we voor je klaar!
)
)
)
)