Columns

De zomer van 2026 voelt als een levend kwartetspel. Datalek hier, datalek daar. Telkens weer een melding in de app, een mailtje van een leverancier, een berichtje dat je wachtwoord "mogelijk is buitgemaakt". Deze keer met bekende namen: Odido, Bol.com (via Ceva), en misschien ook wel de sportschool om de hoek.

En dan komt de spelbreker, meestal op een verjaardag of borrel, ver buiten de cybersecurity bubbel: "Mijn gegevens liggen toch al overal op straat, waarom zou ik nog moeite doen?"

Ik hoor deze reactie steeds vaker. En eerlijk gezegd snap ik hem soms best.

Wat hier gebeurt is dat assume breach, ooit een technisch uitgangspunt voor securityprofessionals, is doorgesijpeld naar de gewone burger. Alleen landt het daar niet als strategie, maar als berusting. Waar wij het gebruiken om alerter te worden, gebruiken mensen thuis het om af te haken. Dezelfde aanname, tegenovergestelde uitkomst.

Dat is het probleem. Niet dat mensen moe zijn van datalekken, dat is logisch. Maar dat vermoeidheid omslaat in onverschilligheid, precies op het moment dat oplettendheid het hardst nodig is.

Want achter elk kwartetkaartje zit soms een echt slachtoffer. Iemand die durft te vertellen dat hij is opgelicht via bankhelpdeskfraude, of die na een phishingmail zijn hele spaarrekening kwijt was. Dat verhaal komt vaak pas los als iemand het aandurft om het hardop te zeggen, ondanks de schaamte. #cyberschaamte

Dus ja, ik ga door met assume breach, maar dan met de juiste vertaalslag. Niet "het maakt toch niet meer uit", maar "ga ervan uit dat je gegevens ooit misbruikt kunnen worden, en weet dus wat je doet als het misgaat."

Twee dingen die je vandaag al kunt doen, ervan uitgaande dat je data al ergens op straat ligt:

1. Weet hoe fraude eruitziet voordat het gebeurt. Bankhelpdeskfraude en phishing werken omdat ze inspelen op tijdsdruk. Wie het patroon herkent, hoeft niet te twijfelen op het moment zelf.
2. Praat erover, ook als het jou is overkomen. Elk verhaal dat wordt gedeeld, maakt het makkelijker voor de volgende persoon om op tijd aan de bel te trekken.

Assume breach hoeft geen reden te zijn om op te geven. Het kan ook de reden zijn om eindelijk voorbereid te zijn.

Het was donderdag 13 oktober 2011. Een prachtige vakantie op Bali zat er bijna op. We hadden genoten van de stranden en de rijke cultuur. De koffers stonden al ingepakt, ik was net gedoucht en over een paar uur zouden we vertrekken naar het vliegveld van Denpasar. Maar dan opeens begon de bodem van de hotelkamer zachtjes te trillen. In eerste instantie dacht ik dat er vrachtwagens langsreden, maar dat kon niet: ons hotel lag ver van de weg. Binnen een fractie van een seconde besefte ik het: dit is een aardbeving. Als Nederlander wist ik niet of dit een erge aardbeving was of slechts een klein schokje.

Ik gooide de deur van mijn kamer open en hoorde buiten mensen schreeuwen. Ons hotel lag naast een winkelcentrum en overal brak paniek uit. Samen met mijn reisgenoten rende ik via een lang balkon naar de voorkant van het hotel. Overal lagen spullen en we kwamen zelfs petjes tegen van bouwvakkers die kort daarvoor nog op het dak werkten.

Het was slechts zeven jaar na de grote tsunami en de angst zat nog diep. Veel mensen wilden naar hoger gelegen gebieden vluchten, bang voor een nieuwe vloedgolf. Gelukkig bleef een tsunami uit en keerde langzaam de rust terug.

Toen mijn adrenaline zakte, liep ik terug naar mijn kamer. De tegels van de hotelvloer waren gebarsten door het schudden. Ik realiseerde me dat ik in paniek was geraakt. Ik was zomaar gaan rennen, zonder plan. Terug bij mijn kamer zag ik dat ik, als ik rechts was gegaan in plaats van links, tien meter verder via een nooduitgang direct naar buiten had gekund. Later vroegen anderen waarom ik niet gewoon in de deuropening was blijven staan.

De aardbeving bleek 6,1 (zwaar) op de schaal van richter te hebben Er was gelukkig geen zware schade, maar wel gewonden en botbreuken, vooral veroorzaakt door paniek.

Kort daarna maakte ik de overstap naar het cybersecurityvak. Die ervaring draag ik nog steeds met me mee: ze leerde me hoe belangrijk voorbereiding en oefening zijn. Tijdens de vakantie had ik nog tegen mijn reisgenoten gezegd: “Indonesië ligt in de Ring of Fire, de kans op natuurrampen is hier groot.” Maar was ik zelf voorbereid? Had ik geoefend? Nee.

Niet elke ramp is te voorkomen of te beheersen. Maar hoe mensen reageren kun je wél trainen. Paniek ontstaat vaak uit onbekendheid en gebrek aan routine, precies zoals bij cyberincidenten.

Daarom zeg ik altijd: blijf scenario’s oefenen. Investeer niet alleen in preventie, maar zorg dat je klaar bent op het moment dat het echt misgaat. Dat voorkomt paniek en beperkt de schade, of het nu om een aardbeving gaat of een digitale ramp.

Onlangs bracht het Britse NCSC nog het advies uit om je crisisplan op pen en papier te zetten. Heel analoog, maar helemaal geen gek idee, zeker niet als je digitale infrastructuur platligt.

Wat kun je vandaag al doen om beter voorbereid te zijn?

1. Oefen minimaal één keer per jaar een realistisch scenario. Geen PowerPoint-sessie, maar een echte simulatie met tijdsdruk, onverwachte wendingen en besluitmomenten.
2. Zorg dat je crisisteam elkaar ook buiten crisissituaties kent. Vertrouwen bouw je niet op in de eerste vijf minuten van een incident.
3. Weet wie de regie heeft en wat de ‘red buttons’ zijn. Zorg dat duidelijk is wie beslissingen mag nemen, en welke directe maatregelen je kunt nemen om schade te beperken. Oefen niet alleen de procedures, maar ook die eerste handelingen die het verschil kunnen maken.
4. Test ook de basics. Werkt de telefoonlijst nog? Zijn de actuele nummers en contactpersonen bekend? Wat doe je als alles platligt? En waar ligt de papieren back-up van het crisisplan?
5. Reflecteer na elke oefening. Wat ging goed, wat niet, en wat pas je morgen aan? Echte veerkracht bouw je in de voorbereiding, niet in het moment van crisis.