We doen toch al aan security?

Oct 27, 2026

Deel 1 van een drieluik over beveiliging die op gevoel draait in plaats van op metingen. Een gesprek met Geert De Keyser, security architect en oprichter van Dunetrails.

De organisaties in deze serie zijn geanonimiseerd en details zijn aangepast. Het patroon is helaas herkenbaarder dan ons lief is.

Je zit al meer dan vijfentwintig jaar in IT, Geert. Waar begin je?

Net voor de eeuwwisseling, met de millenniumbug als allereerste opdracht. Daar ben ik recent nog over blijven nadenken. De millenniumbug wordt soms een hoax genoemd, want er is uiteindelijk niets gebeurd. Maar draai het nu eens om: het was misschien een van de beste projecten ooit. Er is enorm veel werk verzet, en dat werk was vermoedelijk nodig. Als security slaagt, gebeurt er niets. En dat is meteen het probleem van het vak: niemand ziet wat er niet gebeurd is. Zelf begon ik via de helpdesk en schoof ik rond 2010 door naar consultancy, met veel Citrix-projecten. Citrix is een mooie school, want het raakt alles. Je leert Windows vanbinnen, en je leert dat beveiliging een randvoorwaarde is, geen bijzaak.

Je begeleidt intussen organisaties bij security. Wat is de aanleiding voor deze serie?

Drie situaties die ik in de loop der jaren tegenkwam en die op één lijn liggen: organisaties die hun best deden, en die toch niet veiliger werden op de manier die ze dachten. Ik had ze eerst voor één verhaal gehouden, maar dat zijn het er niet. Het zijn drie verschijnselen met dezelfde oorzaak: er wordt niet gemeten. Daarom drie delen. Dit is het eerste, over het verschil tussen inspanning en maturiteit.

Wat zag je daar?

Een team dat een jaar lang écht had gewerkt. Projecten uitgevoerd, bewustwording opgezet, de infrastructuur verbeterd. Geen theater, gewoon werk. Er was zelfs al een nulmeting geweest tegen het Belgische CyberFundamentals-kader, kortweg CyFun, de maatstaf van het CCB. Je scoort daar per maatregel van 0 tot 5, en je ziet meteen waar je staat. Die nulmeting gaf 1,67 op 5. Een jaar later heb ik de hermeting gedaan: 1,83. 0,16 punt vooruit, na een jaar hard werken.

Inderdaad. Mijn eerste reactie was: ergens klopt deze meting niet. Maar ze klopte wel.

Hoe kan dat?

De prioriteiten waren verkeerd gezet. Er was geen structurele verandering doorgevoerd, en de aanpak wisselde onderweg van handen: wie de nulmeting deed, vertrok, een tijdelijke manager kwam en ging weer. Wat overbleef, waren losse en vaak goede initiatieven zonder gezamenlijk beeld. Zonder architectuur en zonder overzicht stopt je een paar gaten, maar er zijn zoveel gaten dat de score amper beweegt. En de maatregelen die al laag stonden, bleven laag: governance, inzicht, opvolging. Er was één keer gemeten, en daarna nooit meer. Meten is weten, zeggen we hier. Zonder het tweede deel van die zin blijft het eerste ook zonder waarde.

Wat betekent 1,83 op 5 concreet?

CyFun telt 34 basismaatregelen: van beleid en risicobeheer tot back-ups, toegangsbeheer en patchbeheer. De basisverwachting is dat je elke maatregel minstens 2,5 op 5 haalt. Op 1,83 zit je daar over de hele linie ver onder. En dit is het basisniveau. Wie zwaarder geclassificeerd is, kijkt naar 133 of zelfs 218 maatregelen, met een hogere lat. Het probleem van deze organisatie was niet dat de technische projecten slecht waren. Het probleem was dat de projecten langs de falende functies heen gingen. Je kunt een datacenter volledig opnieuw opbouwen en nog steeds niets aan governance doen. Dat is precies wat er gebeurde.

Was het dan zinloos werk?

Nee, en dat wil ik expliciet zeggen, want de conclusie van dit verhaal is niet "doe maar niets". Servermigraties, bewustwording, infrastructuurverbeteringen: het was allemaal nodig geweest. Maar er lagen ook quick wins binnen handbereik, en die werden nooit dichtgeschoven. Omdat niemand de lijst had. Mijn actielijst na de hermeting telde inmiddels ruim negentig punten, en die werk je af van kritiek naar hoog naar midden naar laag. Niet beginnen bij het punt dat toevallig het interessantste lijkt, of bij het project dat net een leveranciersdemo kreeg. De volgorde komt uit de meting, niet uit de agenda van de best betaalde stem in de kamer.

Terugkijkend: wat had er dan eerst moeten gebeuren?

Twee sporen, parallel.

Spoor 1 is voor het team, en het kan vandaag beginnen: inzicht opbouwen. Elke dag kijken naar de logs, alerts opvolgen, weten waar de problemen zitten. Dat bouwt meteen de onderbouwing richting het management, want wie niet weet wat er speelt, kan er niet op reageren. Tegelijk: de écht kritieke zaken dichten binnen de bestaande omgeving, zonder te wachten op een groot project. Geen lijstjes kleinigheden, maar quick wins die verschil maken.

Spoor 2 loopt ernaast, meestal buiten het team: de architectuur opbouwen. Roadmap, toolkeuzes, budget, partners. Dat duurt te lang om stil te blijven zitten, en het is te belangrijk om alleen aan het team over te laten. Het team hoort erbij, maar hoeft niet te leiden.

Wat neemt een KMO met een beperkt budget hiervan mee?

Begin met een nulmeting, en koop niet op angst. Laat de evidence bepalen wat budget verdient, niet het laatste nieuwsbericht, en zeker niet de angst van de afgelopen maand. En reken erop dat meten nooit af is.. Ook wie al jaren als securityverantwoordelijke werkt, vindt af en toe een afdeling die software kocht zonder iemand te betrekken, met een kritieke kwetsbaarheid erin. Schaduw-IT heet dat, en het overkomt de besten.

Wat kost zo'n nulmeting bij jullies? Eerlijk antwoord, want daar durft niemand over te praten.

Dat hangt van de omgeving af, en dat zeg ik liever eerlijk dan met een lokprijs. Reken op minimaal twee à drie dagen. Voor een typische KMO van tien tot honderd medewerkers geeft drie dagen al een goed beeld tegen de CyFun-basismaatregelen. Is de omgeving groter, of bestaat er nauwelijks documentatie en moeten we zelf het speurwerk doen, dan loopt dat op, tot tien dagen toe. Je kunt oneindig door met meten. Maar de eerste meting verandert al alles, omdat je vanaf die dag weet wat eerst komt in plaats van te raden.

De lezer legt dit weg en denkt: dit zijn wij. Wat doet hij deze week?

Plan een audit. Zet een gesprek in, en we meten samen. Binnen enkele weken weet je waar je staat, en vooral: wat eerst. Wie er nog niet aan toe is, zet met de gratis email scan al een eerste meetpunt. Maar wie zich in dit interview herkent: begin met meten, niet met kopen.

Volgende week lees je in deel 2 waarom tools kopen geen beveiliging is. Meer over de Security Audit van Dunetrails, of eerst een gratis email scan doen? Je vindt beide op dunetrails.be.