Security, explained for the board.Security, uitgelegd voor de directie.
Plain-language briefings on the risks that matter and the controls worth considering for each one. Every topic ends with what it means for your risk register and for NIS2, DORA, SOC 2 and ISAE 3402. English and Dutch. Begrijpelijke briefings over de risico's die ertoe doen en de maatregelen die per risico het overwegen waard zijn. Elk onderwerp eindigt met wat het betekent voor uw risicoregister en voor NIS2, DORA, SOC 2 en ISAE 3402. Engels en Nederlands.
No briefing matches. Missing one? Use “Request a topic” below.Geen briefing gevonden. Mist er een? Gebruik “Vraag een onderwerp aan” hieronder.
Email securityE-mailbeveiligingInterception, tampering, spoofing and man-in-the-middle. What each costs, what stops it.Afluisteren, manipulatie, spoofing en man-in-the-middle. Wat elk kost, wat het stopt.
Cookie hijackingCookie-kaperijHow stolen or intercepted cookies enable account takeover, bypass MFA, and impersonate users on trusted downstream systems.Hoe gestolen of onderschepte cookies accountovername, MFA-omzeiling en gebruikersnabootsing op vertrouwde downstream-systemen mogelijk maken.
SSL and TLS cipher suitesSSL- en TLS-ciphersuitesA layer deeper into encryption in transit: weak suites, downgrades and key exchange. What to ask of IT.Een laag dieper in versleuteling onderweg: zwakke suites, downgrades en sleuteluitwisseling. Wat u IT kunt vragen.
RansomwareOne stolen login, four steps to a standstill. What happens at each step, what breaks the chain.Eén gestolen inlog, vier stappen naar stilstand. Wat er bij elke stap gebeurt, wat de keten breekt.
Decrease the blast radiusBeperk de reikwijdte van een inbreukOne breach becomes a total outage — unless networks are segmented, admin is tiered, and permissions are minimal. The difference between an incident and a crisis.Eén inbreuk wordt een totale storing — tenzij netwerken gesegmenteerd zijn, beheer gelaagd en machtigingen minimaal. Het verschil tussen een incident en een crisis.
PhishingFake login pages, MFA fatigue, CEO fraud and every other channel. What one click can and cannot do.Nepinlogpagina's, MFA-moeheid, CEO-fraude en elk ander kanaal. Wat één klik wel en niet kan.
Passwords & identityWachtwoorden & identiteitReused passwords, phone-read codes, leavers and standing admins. Who can get in, who can do anything.Hergebruikte wachtwoorden, voorgelezen codes, vertrekkers en vaste beheerders. Wie binnenkomt, wie alles kan.
Entra ID: the keys to Microsoft 365Entra ID: de sleutels van Microsoft 365Global Admins, an open Conditional Access gate, guests who never left, and the hybrid sync back door.Global Admins, een open Conditional Access-poort, gasten die nooit vertrokken, en de hybride sync-achterdeur.
IAM: who may do whatIAM: wie mag watOrphaned service accounts, wildcard roles, one person with both signatures, shared admin logins. With examples.Verweesde serviceaccounts, wildcard-rollen, één persoon met beide handtekeningen, gedeelde beheerlogins. Met voorbeelden.
Supply chain attacksAanvallen via de toeleveringsketenBreached through someone we trust: vendor updates, supplier logins, open-source code and SaaS leaks.Gehackt via iemand die we vertrouwen: leveranciersupdates, leverancierslogins, open-sourcecode en SaaS-lekken.
Cloud misconfigurationCloudmisconfiguratieThe cloud is secure, our settings are not. Four mistakes behind most cloud breaches, and what prevents each.De cloud is veilig, onze instellingen niet. Vier fouten achter de meeste cloudlekken, en wat elk voorkomt.
Shared responsibility: whose job is it?Gedeelde verantwoordelijkheid: wiens taak is het?The provider secures the cloud, you secure what you put in it. Where the line sits for IaaS, PaaS and SaaS.De leverancier beveiligt de cloud, u wat u erin zet. Waar de grens ligt bij IaaS, PaaS en SaaS, en wat u tekent.
Reading a SOC 2 or ISAE 3402 reportEen SOC 2- of ISAE 3402-rapport lezenA 90-page report from a supplier. Which type and period, what is carved out, the controls it assumes you run, the exceptions, and what a clean opinion never tells you.Een rapport van 90 pagina's van een leverancier. Welk type en welke periode, wat is uitgesloten, de maatregelen die het bij u veronderstelt, de afwijkingen, en wat een goedkeurend oordeel nooit zegt.
Insider threatDe dreiging van binnenuitFour people who already have the keys: leaver, careless colleague, unwatched admin, pressured employee.Vier mensen die de sleutels al hebben: vertrekker, onoplettende collega, ongecontroleerde beheerder, medewerker onder druk.
DDoS & availabilityDDoS & beschikbaarheidOffline without a break-in. Floods, fake shoppers, one DNS provider, extortion, what keeps us up.Offline zonder inbraak. Verkeersvloedgolven, nepklanten, één DNS-provider, afpersing, wat ons online houdt.
Things that expireWat verlooptCould we go offline because somebody forgot to renew something? Domains, DNS and certificates all carry a date, and public certificates shrink to 47 days by 2029.Kunnen we offline gaan omdat iemand vergat iets te verlengen? Domeinen, DNS en certificaten hebben allemaal een datum, en publieke certificaten krimpen tot 47 dagen in 2029.
The unpatched serverDe ongepatchte serverKnown hole, published fix, still open. Four ways patching fails, and the one control that closes each.Bekend gat, fix beschikbaar, nog steeds open. Vier manieren waarop patchen faalt, en de maatregel die elk sluit.
Fixing vulnerabilities with AIKwetsbaarheden dichten met AIFaster, not on autopilot. How bots and AI write the fix, the AI fix that looks right, auto-merge and poisoned updates, and the fixing agent with the keys.Sneller, niet op de automatische piloot. Hoe bots en AI de fix schrijven, de AI-fix die er goed uitziet, auto-merge en vergiftigde updates, en de herstelagent met de sleutels.
The box at the edgeDe doos aan de randVPN and firewall appliances are the most common way in. Who owns the box, is it patched, is the admin page on the internet, and what zero trust changes.VPN- en firewall-apparaten zijn de meest voorkomende ingang. Wie is eigenaar, is het gepatcht, staat de beheerpagina aan het internet, en wat zero trust verandert.
php2shellphp2shellTwo critical PHP flaws let anyone run code on a web server without logging in. Update, find the old PHP, and ask your suppliers.Twee kritieke PHP-lekken laten iedereen zonder inlog code uitvoeren op een webserver. Bijwerken, oude PHP vinden, en uw leveranciers vragen.
The trusted app that let them inDe vertrouwde app die hen binnenlietConnectWise Cloud Backup: attackers signed in to Microsoft 365 as a supplier's app, with no user and no MFA, helped by AI agents. What it means for you.ConnectWise Cloud Backup: aanvallers logden in Microsoft 365 in als de app van een leverancier, zonder gebruiker en zonder MFA, geholpen door AI-agents. Wat het voor u betekent.
Could we restore?Kunnen we herstellen?If ransomware hits tonight, how long until we are back? Recovery targets in plain words, the copy an attacker cannot delete, the restore nobody tested, and the cloud data nobody backs up.Als ransomware vannacht toeslaat, hoe lang duurt het dan tot we terug zijn? Hersteldoelen in gewone taal, de kopie die een aanvaller niet kan wissen, het herstel dat niemand testte, en de clouddata waar niemand een back-up van maakt.
Shadow IT & SaaS sprawlShadow IT & SaaS-wildgroeiCompany data in tools nobody approved, accounts nobody manages, apps nobody revoked. How to see it again.Bedrijfsdata in tools die niemand goedkeurde, accounts die niemand beheert, apps die niemand introk. Hoe u het weer in beeld krijgt.
AI at workAI op de werkvloerPublic chatbots, hijacked assistants, cloned voices and confident nonsense. What each costs, what contains it.Publieke chatbots, gekaapte assistenten, gekloonde stemmen en zelfverzekerde onzin. Wat elk kost, wat het beheerst.
A sandbox for AIEen zandbak voor AIWhere should an AI agent be allowed to run? A throwaway machine, a strong wall, a closed door and a pilot with an end date.Waar mag een AI-agent draaien? Een wegwerpmachine, een stevige muur, een dichte deur en een pilot met een einddatum.
How AI agents workHoe AI-agents werkenModel versus harness, what agents, skills and MCP servers are, why to review them before installing, and what keeps them contained.Model versus harness, wat agents, skills en MCP-servers zijn, waarom u ze controleert voor installatie, en wat ze begrensd houdt.
Cloud sovereigntyCloudsoevereiniteitSovereign from whom? The EU's own yardstick, the law that follows the provider, what still leaves with your SaaS, and whether you could leave.Soeverein ten opzichte van wie? De maatstaf van de EU, het recht dat de aanbieder volgt, wat er met uw SaaS toch vertrekt, en of u weg kunt.
CADA vs. the sovereignty frameworkCADA vs. het soevereiniteitskaderThe Commission's SEAL ladder and the proposed law's four assurance levels. What each is, how the levels work, who would have to comply, three examples.De SEAL-ladder van de Commissie en de vier zekerheidsniveaus van het wetsvoorstel. Wat elk is, hoe de niveaus werken, wie eraan zou moeten voldoen, drie voorbeelden.
Encryption at restVersleutelde opslagEncrypted, so safe? Only against a stolen disk. Logins, keys, forgotten copies, and what quantum really changes.Versleuteld, dus veilig? Alleen tegen een gestolen schijf. Inlogs, sleutels, vergeten kopieën, en wat quantum echt verandert.
Quantum and AIQuantum en AIEncrypted today, decrypted tomorrow. How quantum computers and AI together threaten current encryption, and why the migration is worth starting now.Vandaag versleuteld, morgen ontcijferd. Hoe quantumcomputers en AI samen huidige encryptie bedreigen, en waarom het loont nu met de migratie te beginnen.
Your website is a front doorUw website is een voordeurInjection, forgotten plugins, account takeover and skimmed checkouts. Four ways in, one control each.Injectie, vergeten plug-ins, accountovername en afgeroomde betaalpagina's. Vier ingangen, één maatregel per ingang.
Laptops, phones and the kitchen tableLaptops, telefoons en de keukentafelLost laptops, unmanaged phones, admin for everyone, an outdated browser. Where the data really lives.Verloren laptops, onbeheerde telefoons, admin voor iedereen, een verouderde browser. Waar de data echt staat.
Knowing what to protectWeten wat u beschermtCrown jewels nobody can name, forty copies, links for anyone, data kept fifteen years. How to see it again.Kroonjuwelen die niemand kan noemen, veertig kopieën, links voor iedereen, data die vijftien jaar bewaard blijft. Hoe u het weer in beeld krijgt.
Would we even notice?Zouden we het merken?Logs nobody kept, alerts nobody read, half the estate unwatched, tickets read Monday. Would we notice?Logs die niemand bewaarde, alarmen die niemand las, de helft onbewaakt, tickets pas op maandag. Zouden we het merken?
The factory, the building and the camerasDe fabriek, het gebouw en de camera'sProduction lines, building systems and cameras that cannot be patched. Four ways they stop, one fix each.Productielijnen, gebouwsystemen en camera's die niet te patchen zijn. Vier manieren waarop ze stilvallen, één oplossing per stuk.
Building software that holdsSoftware bouwen die standhoudtSecrets in code, a hijacked build server, testing after launch, apps nobody owns. What closes each gap.Geheimen in code, een gekaapte buildserver, testen na de lancering, apps zonder eigenaar. Wat elk gat sluit.
Code securityCodebeveiligingFlaws in your own code, open-source parts, server templates and container images. And which ones to fix first.Fouten in eigen code, open-sourceonderdelen, serversjablonen en containerimages. En welke u eerst herstelt.
What a pentest tells youWat een pentest u verteltThe report came back fine. What was tested and when, how much the tester knew, findings that never get fixed, and scan versus pentest versus red team.Het rapport was in orde. Wat is getest en wanneer, hoeveel de tester wist, bevindingen die nooit worden opgelost, en scan versus pentest versus red team.
How much security is enoughHoeveel beveiliging is genoegWhat to spend, who the CISO reports to, five numbers for the quarterly board dashboard, when to ask for an outside view, and what NIS2 and DORA ask of the board itself.Wat u uitgeeft, aan wie de CISO rapporteert, vijf getallen voor het kwartaaldashboard, wanneer u een blik van buiten vraagt, en wat NIS2 en DORA van het bestuur zelf vragen.
Buying a company, buying its breachesEen bedrijf kopen, en zijn inbraken erbijAn attacker already inside, systems nobody listed, connecting on day one, who pays for a breach that started before closing, and the personal data that comes with the deal.Een aanvaller die al binnen is, systemen die niemand opschreef, koppelen op dag één, wie betaalt voor een inbraak van vóór de closing, en de persoonsgegevens die meekomen.
Terraform state: the map of everything you runTerraform state: de kaart van alles wat u draaitWhat state is and why it exists, the passwords inside it, locking and versions, the chicken and the egg, and HCP Terraform, GitLab, S3 and Azure compared.Wat state is en waarom het bestaat, de wachtwoorden erin, vergrendeling en versies, de kip en het ei, en HCP Terraform, GitLab, S3 en Azure vergeleken.
The Cyber Resilience Act for makersDe Cyber Resilience Act voor makersWe sell products with software in them. Reporting since September 2026, CE mark and support period from December 2027, and what importers and resellers check.Wij verkopen producten met software erin. Meldplicht sinds september 2026, CE-markering en ondersteuningsperiode vanaf december 2027, en wat importeurs en wederverkopers controleren.
The first 72 hoursDe eerste 72 uurWho decides, what gets wiped, who says what, who to call. How the first three days derail.Wie beslist, wat gewist wordt, wie wat zegt, wie u belt. Hoe de eerste drie dagen ontsporen.
Cyber insurance: what it pays, what it won'tCyberverzekering: wat het betaalt, wat nietThe policy is a control with small print. Questionnaire, exclusions, sub-limits, notification: what each costs.De polis is een maatregel met kleine lettertjes. Vragenlijst, uitsluitingen, sublimieten, melding: wat elk kost.
NIS2 & DORA: what the board must ownNIS2 & DORA: wat de directie moet dragenThe law now names the board. Four things that changed, and what has to be in place before the audit.De wet noemt nu de directie. Vier dingen die veranderden, en wat er moet staan vóór de audit.
Cbw & Wwke: cyber and physical resilienceCbw & Wwke: digitale en fysieke weerbaarheidTwo Dutch laws, one start date. Which one applies to you, what the physical side adds, two reporting clocks, and the one board decision that covers both.Twee Nederlandse wetten, één startdatum. Welke voor u geldt, wat de fysieke kant toevoegt, twee meldklokken, en het ene bestuursbesluit dat beide dekt.
The board as a targetDe directie als doelwitYou are the way in: private mail and phones, a cloned voice on a call, the board pack, and the road. Four routes, and what closes each.U bent de ingang: privémail en telefoons, een gekloonde stem aan de telefoon, de vergaderstukken, en onderweg. Vier routes, en wat elke route sluit.
Authentication protocolsAuthenticatieprotocollenOAuth2, SAML, OIDC, mTLS, passkeys, Kerberos, LDAP, RADIUS, API keys and AI agents. When to use each, where it breaks, and what AI changes.OAuth2, SAML, OIDC, mTLS, passkeys, Kerberos, LDAP, RADIUS, API-sleutels en AI-agents. Wanneer u welke gebruikt, waar het breekt, en wat AI verandert.
Missing a topic your board keeps asking about? Request it and it goes on the list. Find it useful? Sponsoring keeps the briefings free and ad-free. Mist u een onderwerp waar uw directie steeds naar vraagt? Vraag het aan en het komt op de lijst. Nuttig? Sponsoren houdt de briefings gratis en reclamevrij.
Request a topic Vraag een onderwerp aan SponsorSponsoren