Wat de media met je securitybudget doen

Nov 10, 2026

Deel 3 van een drieluik over beveiliging die op gevoel draait in plaats van op metingen. Een gesprek met Geert De Keyser, security architect en oprichter van Dunetrails. Deel 1 verscheen als "We doen toch al aan security?", deel 2 als "Tools kopen is geen beveiliging".

De organisaties in deze serie zijn geanonimiseerd en details zijn aangepast.

Geert, je laatste stelling in deze serie is misschien je meest ongemakkelijke: het securitybudget wordt vaak bepaald door het laatste nieuwsbericht. Hoe kom je daar bij?

Omdat ik het te vaak heb zien gebeuren, bij organisaties die er niets aan konden doen. Er komt een reportage over een inbraak die via een printer verliep, of een artikel over een gehackte organisatie in de buurt, en binnen een week is er budget. Niet omdat iemand heeft uitgerekend dat de printer het grootste risico was, maar omdat iedereen op de parking erover sprak. Angst is een uitstekende onkostennota, mits correct ingevuld.

Kun je dat concreet maken?

Een organisatie die na zo'n mediareportage een printermigratie heeft uitgevoerd, compleet met eigen netwerksegment. Luister: op zich was dat een goed project. Nieuwe printers, nettere scheiding, nettere toegang. Ik wil het niet belachelijk maken. Maar in diezelfde omgeving lagen gaten die veel groter waren, en die bleven gewoon liggen, omdat geen cameraploeg er ooit over had bericht. Het budget ging naar wat zichtbaar was in de media, niet naar wat zichtbaar was in de eigen omgeving.

Hoe noem je dat als professional?

Salience bias, salientie: mensen laten zich leiden door wat recent, beeldend en beschikbaar is in het geheugen. Een reportage met beelden verslaat een spreadsheet. Psychologen Kahneman en Tversky hebben dit decennia geleden al beschreven: systeem 1, het snelle, associatieve denken, neemt het over van systeem 2, het trage, rekenende. Op een securitycongres hoorde ik het onlangs vertaald naar ons vak: bespreek cyber met systeem 2. Wie een aankoop doet in systeem 1, in de schrik van de week, koopt zelden het juiste.

Wat is er mis met bang zijn? Is angst niet ook rationaal?

Angst is een signaal, geen analyse. Het vertelt je dat er aandacht moet zijn. Het vertelt je niet waar. En de aanvaller evolueert voortdurend, dus wat vandaag de grootste gaping is, kan er volgende maand al weer anders uitzien. Wie zijn prioriteiten een jaar lang niet herevalueert, kijkt naar gisteren.

Wat bovendien gevaarlijk is: het voelt zo productief. Er wordt een project uitgevoerd, een vinkje gezet, een aankoop gedaan. In een eerder deel van deze serie beschreef ik de brandweertrap: het blussen van wat nu brandt terwijl de echte risico's ongemoeid blijven. Media-aandacht is die trap in zijn mechanische vorm. Slimme, gemotiveerde mensen besteden automatisch aan wat de angst op dat moment aanwijst, terwijl de brand elders woedt. En het budget is op voordat iemand de lijst van echte risico's heeft opgemaakt.

Wat is het alternatief? Er is altijd wel iets in het nieuws.

Evidence vóór budget. Dat betekent concreet: een risicoregister dat leeft, en een nulmeting die zegt waar je staat. Het risicoregister hoeft geen kunstwerk te zijn. Het moet vooral gebruikt worden: bij elke beslissing over budget, bij elk nieuw project, bij elke herevaluatie. Een register dat alleen bestaat, is papier. Het wordt een instrument pas op het moment dat het daadwerkelijk de volgorde bepaalt.

Zo draait de rol van het nieuws om. Een reportage over een printerhack is geen boodschappenlijst, het is een prompt: is dat bij ons al in beeld, en zo nee, waar staat het dan in het register tussen al het andere?

En de organisatie die nu denkt: wij kochten vorig jaar ook iets op een nieuwsbericht. Ontslaan?

Nee. Het overkomt de besten, en schaamte is net zo weinig een analyse als angst. De vraag is niet wat er toen is gekocht, de vraag is of er nu een instrument is dat de volgende keer de volgorde afdwingt. Als dat er niet is, dan is dat de eerste investering, en het is geen dure.

Hoe zorg je dat zo'n risicoregister meer is dan een kerstdocument?

Door ritme en door rollen. Het register hoort een eigenaar te hebben die het onderhoudt, het hoort op een vaste cadans herevalueerd te worden, en de uitkomsten moeten richting het management gaan, want daar zit de verantwoordelijkheid. Wie niet weet wat er speelt, kan er niet op reageren, en wie de risico's alleen in de serverruimte bespreekt, bespreekt ze met mensen die er geen budget over kunnen verdelen. Dat is de les uit alle drie de delen van deze serie: meten, opvolgen, en de cijfers laten meebeslissen. Dan zijn de media een bron onder velen in plaats van de inkoper van je budget.

De lezer legt dit weg en beseft: ons budget is eerder gegroeid uit paniek dan uit analyse. Wat nu?

Laat een nulmeting doen, en laat de uitkomsten je volgende begroting schrijven. Dat kan klein beginnen, bij een security audit die je CyFun-scores in kaart brengt, of bij de gratis email scan als je eerst een vinger aan de pols wilt. Het verschil met de nieuwsbericht-methode: na afloop weet je wat je kocht, en waarom.

Dit was het derde en laatste deel van de reeks. Mis je deel 1 of 2, ze staan op dunetrails.be.

Meer over de Security Audit van Dunetrails? Plan een gesprek via dunetrails.be.