Tools kopen is geen beveiliging

Nov 03, 2026

Deel 2 van een drieluik over beveiliging die op gevoel draait in plaats van op metingen. Een gesprek met Geert De Keyser, security architect en oprichter van Dunetrails. Deel 1 verscheen als "We doen toch al aan security?".

De organisaties in deze serie zijn geanonimiseerd en details zijn aangepast.

In deel één ging het over meten. Vandaag beschuldig je tools van iets. Dat klinkt gevaarlijk, uit de mond van een IT-partner die tools levert.

Tools zijn nodig, en soms ontbreken ze gewoon, daarover zo meteen meer. Maar de duurste misvatting in beveiliging is dat een aankoop het werk doet. Een scanner die rapporten maakt die niemand leest, is een deurbel die bij de buren afgaat. Hij rinkelt, iemand kijkt, maar niemand is thuis. Tools zonder opvolging geven vals vertrouwen, en vals vertrouwen is gevaarlijker dan geen vertrouwen.

Hoe zag je dat in de praktijk?

Een situatie van een paar jaar geleden, die me is bijgebleven omdat alles er áán leek te zitten. Een degelijke omgeving, grotendeels on-premises: firewalls, scanners, mailfiltering, patchbeheer. Vink aan wat je op de checklist zet. Tot je begint te vragen: wie kijkt hier eigenlijk naar? De scanners draaiden maandelijks een rapport af dat niemand opensloeg. Er stond logging stil die niemand was opgevallen. Er waren alerts binnengekomen waarop niemand had gereageerd, niet uit onwil, maar omdat niemand wist dat het zijn taak was.

Set and forget, heet dat. De tools stonden op autopilot, en een tool die niets zegt, voelt voor iedereen als een tool die tevreden is.

Waar komt dat vandaan? Onwil?

Zelden onwil. Ik heb het zien gebeuren bij gemotiveerde, capabele teams. Wat er ontbreekt, is eigenaarschap en ritme. De tools zijn vaak in verschillende periodes aangeschaft: de een kwam uit een project, de ander uit een auditadvies, de derde uit een aanbieding. Niemand heeft ooit achteraf een totaalbeeld gemaakt van wat er nu precies allemaal rinkelt, laat staan wie er hoort te reageren.

En eerlijk is eerlijk: opvolging is werk zonder glamour. Een melding triageren wint het zelden van een kapotte printer van de directeur. Zo schuifelt het opvolgen stilletjes naar de onderkant van de prioriteiten, tot niemand meer weet dat het bestond.

Je zei: soms ontbreken tools ook gewoon. Kun je dat toelichten?

Ja, en dat deel van het verhaal wordt vaak vergeten. Bij diezelfde organisatie was de wereld ondertussen veranderd. De architectuur was gedacht voor een on-prem periode, maar de organisatie was allang verdeeld: stukken van de omgeving stonden buiten de eigen muren, bij een cloudpartij, in samenwerking met externe partijen. En de beveiliging was die verhuizing nooit gevolgd. Voor wat buiten stond, ontbraken de basis-tools volledig. Was alles on-prem gebleven, dan was het veiligheidsniveau best acceptabel geweest. Maar dat is de wereld niet meer, en je ziet deze naad overal: de bakstenen zijn beveiligd, de verhuizing niet.

Wat gebeurt er als niemand kijkt? Hoe merk je dat?

Aan het incidentenlog. Dat van deze organisatie telde een handvol meldingen per jaar. Dat kan niet. Niet omdat er niets gebeurt, maar omdat niemand kijkt. Een leeg logboek is geen geruststelling, het is een blinde vlek. Wie voor het eerst serieus begint op te volgen, ziet het aantal incidenten vrijwel altijd stijgen. Dat voelt als verslechtering, en het is juist het begin van inzicht. Vóór die stijging zat hetzelfde er ook al, alleen wist niemand het.

Op een securitycongres hoorde ik het recentelijk scherp samengevat: we weten niets. Er stond nog iets bij wat bij me is blijven hangen: een draaiboek dat je niet oefent, is een theorie. Dat geldt net zo goed voor tools: een opvolgingsritme dat niemand uitvoert, is geen ritme.

Hoe repareer je dat, zonder alles te vervangen?

Je begint bij wat er al staat, want dat vertelt je genoeg als je luistert. Elke tool krijgt een eigenaar, en elke dag krijgt een vast moment: een ochtendblik van een halfuur door de alerts, de logs en de rapporten van gisteren. Bevinding? Dan volgt er een actie, geen mapje. Waar kennis ontbreekt voor een specifieke tool, volgt training, want een tool begrijpen is deel van het opvolgen. En geen enkele nieuwe tool komt erbij zonder een antwoord op de vraag wie hem gaat volgen. Standaardisatie helpt daarbij: hoe minder uitzonderingen en losse eilandjes, hoe kleiner de blinde vlekken.

Dat ritme hoeft niet indrukwekkend te zijn. Het moet bestaan, en het moet elke werkdag gebeuren.

En wanneer is een nieuwe tool dan wél het antwoord?

Als de meting aantoont dat er een gat zit dat je met bestaande middelen niet kunt dichten. Bij die organisatie was dat zo voor de stukken buiten de muren: daar ontbrak simpelweg de tooling. Maar de volgorde staat niet op zijn kop: eerst meten en opvolgen, dan pas kopen. Een tool aankopen omdat een leverancier belde, of omdat een concurrent erover twitterde, is de omgekeerde wereld.

De lezer denkt: bij ons kijkt misschien ook niemand. Wat doet hij deze week?

Doe de test. Open de console van je belangrijkste beveiligingstool en zoek op wanneer er voor het laatst iemand een alert heeft bekeken of een rapport heeft geopend. Als het antwoord ongemakkelijk is, heb je je nulmeting al gehad. Wie er geen tijd voor heeft, of geen mens dat ervoor kan vrijmaken, doet wat steeds meer KMO's doen: dit uitbesteden aan een partij waarvan dit de kern van het werk is. Bij Dunetrails hoort dat bij de dagelijkse dienstverlening: we bewaken de scores en signalen van je Microsoft 365-omgeving en volgen ze op, zonder dat jij er een helpdesk op na hoeft te houden. En wie wil weten hoe zoiets meetbaar wordt gemaakt, leest eerst ons artikel over Secure Score en Exposure Score.

Volgende week lees je in deel 3 wat de media met je securitybudget doen.

Meer over managed security bij Dunetrails, of eerst je scores laten meten? Je vindt ons op dunetrails.be.