Zeven security-uitdagingen voor bedrijven

Gepubliceerd op 2026-03-01 door William Visterin

Als het om (cyber)security gaat, bevinden we ons in een perfect storm. Securityprofessionals en hun organisaties staan voor uitdagingen, die zowel technologische als strategische ingrepen vereisen. Op basis van de input van een tiental experts komen we tot zeven grote uitdagingen, met ook oplossingen.

1. Verouderde technologie

In IT luidt de eeuwenoude stelling dat (bijna) niets verdwijnt, maar dat er alleen technologie bijkomt. Maar in functie van cybersecurity is dat een serieuze uitdaging. “Bij veel klanten zien we hetzelfde probleem. Ze beginnen met een bestaand netwerk dat snel moet groeien, zonder dat de werking van de bestaande applicaties mag worden onderbroken”, stelt Geert Baudewijns, CEO van Secutec en auteur van het boek Onderhandelen in het donker, over ransomware en cybercriminaliteit.

Het moderniseren van IT en van oude systemen in het bijzonder is, volgens Baudewijns, de moeilijkste opdracht voor IT-mensen. “Omdat je een weg moet zoeken om oude en nieuwe technologie aan elkaar te koppelen”, stelt hij. Een effectieve manier hiervoor is segmentering of het bouwen van Chinese walls, ook wel subnetting genoemd. “Maar in de praktijk blijkt dat een gigantisch en erg complex werk. Je moet nieuwe protocollen invoeren, medewerkers opleiden en verouderde technologie vervangen.”

2. De menselijke factor

Dat is een andere boutade in cybersecurity: de mens als zwakke schakel. Dat gaat dan over sensibilisering van de eindgebruiker. Maar ook op IT-niveau. “Soms zijn bedrijven gewoon niet goed beveiligd en dat ligt vaak aan de IT-manager”, oppert Baudewijns. “De toegangen tot dergelijke bedrijven zijn dan erg eenvoudig. Van multifactorauthenticatie (MFA) is geen sprake en ze veranderen hun wachtwoorden amper”, stelt hij. “Medewerkers en klanten zijn erg tevreden. Alles staat in functie van de gebruiksvriendelijkheid, maar qua beveiliging is het een ramp.”

Veel bedrijven realiseren zich niet hoe kwetsbaar ze zijn voor cyberaanvallen, zegt Stef Vermeulen, general manager van cyberverzekeraar CyberContract. “Het gaat niet alleen om grote ransomwareaanvallen, maar ook om datadiefstal, factuurfraude, identiteitsfraude enzovoort. Die worden veelal mogelijk gemaakt door simpele menselijke fouten of technische tekortkomingen”, stelt Stef Vermeulen. En die fouten zitten ook bij IT- en securityprofielen. “Door de toename van digitale kwetsbaarheden kunnen hackers eenvoudig toegang krijgen tot bedrijfssystemen via onveilige applicaties, verkeerd geconfigureerde e-mailinstellingen of open poorten in bedrijfsnetwerken.” Ook webbrowsers blijken vaak een zwakke schakel.

3. Snelheid (en zero days)

Naar aanleiding van de lijst van kwetsbaarheden (zie kader) die de FBI, NSA en andere internationale cyberveiligheidsautoriteiten onlangs hebben vrijgegeven, benadrukten deze specialisten dat organisaties steeds korter op de bal moeten spelen om hun systemen te beschermen tegen deze bedreigingen.

Opvallend is namelijk dat de meerderheid van de kwetsbaarheden eerst werd uitgebuit als zogenaamde zero-day, dus voordat ze door de leverancier kunnen worden gepatcht, merkt Jeffrey Dickerson, technisch directeur cyberbeveiliging bij de NSA. “Allereerst is het cruciaal dat organisaties regelmatig software-updates en beveiligingspatches uitvoeren. Zeker voor systemen die bekendstaan als risicovol, zoals netwerkapparatuur”, aldus Dickerson. “Gebruik daarom een gecentraliseerd patchbeheersysteem.”

Daarnaast moeten organisaties, volgens hem, investeren in proactieve monitoring en geavanceerde detectietools om verdachte activiteiten vroegtijdig op te merken en te beperken. “Organisaties moeten namelijk niet alleen focussen op het patchen van bekende kwetsbaarheden, maar ook volop voorbereid zijn op nieuwe bedreigingen.”

Al blijft het een uitdaging. “Een bijkomend probleem bij oude netwerken is dat je bepaalde software niet zomaar kunt upgraden, omdat de onderliggende technologie te oud is”, merkt Geert Baudewijns op. “Vaak stopt de leverancier na pakweg vijf jaar met het ondersteunen van de oude technologieën, waardoor je vanaf dan ook geen beveiligingsupdates meer kunt installeren. De klok blijft dan stilstaan voor die oude applicaties, maar de klok van de hackers begint dan te lopen.”

4. Aanhoudende regelgeving

Het was Jeremy Rollison, die bij Microsoft als directeur aan het hoofd staat van de EU Policy-afdeling, die op Cybersec Netherlands 2024 het overzicht gaf van de meest relevante huidige wetgeving voor cybersecurity. Concreet: de Cyber resilience act (hardware- en software-producten), Dora (voor de financiële sector), EU cloud certification scheme (voor hardware- en software-producten) en NIS2 (voor kritieke diensten). Met name die laatste is momenteel actueel.

In bedrijven zijn er rond NIS2 twee kampen, stelt Danny Zeegers, consultant bij QFirst. “Er zijn de managers van succesvolle bedrijven en die liggen al op schema. De andere bedrijven hopen op een GDPR-offensief van de overheid, maar zij hebben het deze keer mis”, vindt hij. “Als we bedenken dat de deadline voor NIS2 essentiële bedrijven voor certificatie staat op maart 2026, lijkt dat nog ver, maar toch gaan ze een probleem hebben om hun bedrijf NIS2-compliant te krijgen.”

5. Ransomware (en de IKEA-case)

Ransomware blijft een aandachtspunt, stelt men ook bij het CCB (Centrum voor Cybersecurity België). Daar krijgen ze melding van tien gevallen per maand. “Maar daar moet je een dark number bijtellen. In realiteit is het er één per dag”, geeft manager director Miguel De Bruycker aan. Het aantal gevallen van ransomware is ook al een half jaar stabiel. “Twee kenmerken staan hierbij voorop. De meeste slachtoffers van ransomware zijn kmo’s. En de meeste hebben geen actieve multifactorauthenticatie.” Zelf raadt het CCB af om ransomwarecriminelen te betalen.

Marc Vael, CISO bij Veralto en voorzitter van SAI.BE, ziet drie groepen ransomwarecriminelen. “De eerste groep zoekt een zo hoog mogelijk rendement voor een zo beperkt mogelijke inspanning. Ze scannen het internet af op zwakheden in het systeem”, weet hij. “Heb je een verouderd systeem met veiligheidsgaten? Dan heb je prijs.”

Een tweede groep neemt, volgens Vael, bedrijven met veel cash in het vizier. “Ze gaan massa’s e-mails uitsturen naar bijvoorbeeld de aankoopdirecteur of financieel directeur om ‘facturen’ te laten betalen”, illustreert hij. “Tegenwoordig worden HR-managers die vacatures plaatsen op het web zelfs geconfronteerd met fake ‘sollicitanten’ die zogezegd cv’s sturen per mail. De nietsvermoedende HR-medewerker haalt zo kwaadaardige software binnen.”

En de derde groep cybercriminelen doet actief aan spionage voor kwaadwillige regimes. “Zo worden er soms onvermoed Noord-Koreaanse spionnen aangeworven voor volledig remote jobs, die nooit fysiek op kantoor komen.”

Vandaag kan cybercriminaliteit ook niet los van de geopolitieke toestand worden gezien. “Een goed voorbeeld hiervan is IKEA dat als multinational overal zit”, haalt Geert Baudewijns aan. “Door de oorlog in Oekraïne besloot IKEA vrij eenzijdig om al zijn activiteiten in Rusland stop te zetten. Klein probleem hierbij was dat 5 tot 10 procent van hun IT’ers werkte vanuit Rusland. Die weten hoe het hele netwerk en systeem in elkaar zit. Door die plotse beslissing werd IKEA’s grootste bondgenoot plots een potentiële vijand.”

6. Artificiële intelligentie

In elk jaaroverzicht en elke prognose van een leverancier duikt AI op. En AI heeft op dat vlak twee gezichten. Hackers gebruiken AI om geavanceerde phishingcampagnes en malware te ontwikkelen. In een nieuw rapport over botactiviteit van de afgelopen twaalf maanden zagen onderzoekers van Barracuda bijvoorbeeld de opmars van een nieuwe categorie AI-bots, zogenaamde ‘grey bots’. De grens van wat ‘legitieme activiteiten’ zijn, wordt vager. “Grey bots zijn bedoeld zijn om grote hoeveelheden gegevens van websites te verzamelen”, vertelt Tushar Richabadas, principal product marketing manager bij Barracuda.

Tegelijkertijd gebruiken bedrijven AI voor detectie en reactie op bedreigingen, wat vraagt om expertise en investeringen​. “Met het toenemende aantal cyberdreigingen worden SOC’s of security operations centers steeds afhankelijker van AI”, voorspelt Nir Zuk, oprichter en CTO van Palo Alto Networks, op. Routinewerk wordt geautomatiseerd, zodat analisten zich kunnen richten op strategische en complexe vraagstukken. “Maar transparantie wordt essentieel”, zo benadrukt hij. “Organisaties moeten begrijpen hoe AI tot beslissingen komt om het vertrouwen in deze technologie te behouden.”

7. Nood aan talent

Cybersecurity draait om de drie p’s: producten (technologie), processen en people. En vooral bij dat laatste knelt het schoentje. Het tekort aan gekwalificeerde security professionals blijft namelijk een groot probleem. In veel gevallen groter, dan het vinden van mensen om de security-eigen of verplichtingen aan te pakken.

Die bevinding blijkt ook uit Belgisch onderzoek bij 150 bedrijven in België en Luxemburg (de helft grote organisaties, de helft kmo’s) dat Proximus NXT enkele maanden geleden voorstelde. “We merken dat er een groot tekort is aan gespecialiseerde profielen binnen cybersecurity”, stelde Wouter Vandenbussche, product owner cybersecurity bij Proximus NXT aan Data News. “Vorig jaar sprak één op drie Belgische bedrijven van een tekort, dit jaar is dat ruim één op twee. In grote bedrijven loopt dat op tot twee derde.”

Uit de rondvraag bleek dat ook kleinere bedrijven door dat tekort sneller kijken naar outsourcing, waar dat vroeger vooral bij de grote bedrijven gebeurde. “Niet zozeer om het inhuren van experten of adviseurs, maar vaak gewoon om het uitbesteden van bepaalde processen. Dat laatste gebeurt nu steeds vaker.” Maar voor cybersecurity hou je natuurlijk beter zelf de regie in handen. Ook al is dat evenzeer een uitdaging.