Knowing what to protect. Four ways we lose track. Weten wat je beschermt. Vier manieren waarop we het overzicht verliezen.

Ask five managers which data would hurt most if it leaked tomorrow and you get five lists, or none. Without that answer, everything gets the same protection: the canteen menu and the M&A data room sit in the same folder structure with the same permissions. Equal protection sounds fair. In practice it means the budget is spread thin and the crown jewels get the average.

Business impact: security spend goes where the noise is, not where the value is. A breach of the wrong dataset becomes a regulatory event, a customer event and a headline, while the team was busy hardening things nobody would miss. A one-page list of the five datasets that matter, each with an owner, changes every decision that follows.

Vraag vijf managers welke data het meeste pijn zou doen als die morgen op straat ligt, en je krijgt vijf lijsten, of geen. Zonder dat antwoord krijgt alles dezelfde bescherming: het kantinemenu en de dataroom van de overname staan in dezelfde mappenstructuur met dezelfde rechten. Gelijke bescherming klinkt eerlijk. In de praktijk betekent het dat het budget dun wordt uitgesmeerd en de kroonjuwelen het gemiddelde krijgen.

Bedrijfsimpact: beveiligingsgeld gaat naar waar het lawaai is, niet naar waar de waarde zit. Een lek van de verkeerde dataset wordt een toezichtkwestie, een klantkwestie en een krantenkop, terwijl het team bezig was met het dichttimmeren van dingen die niemand zou missen. Eén A4 met de vijf datasets die ertoe doen, elk met een eigenaar, verandert elke beslissing daarna.

The customer file lives in the CRM. It also lives in the export someone made for a mailing, the spreadsheet finance keeps, the attachment in two hundred mailboxes, a laptop's downloads folder, the test environment that was loaded with real data because fake data was too much work, and every backup of all of the above. Protecting the CRM protects one copy out of forty.

Business impact: the breach rarely comes through the system with the good controls. It comes through the copy nobody tracked, and the letter you then send to customers has to explain why their data was in a test system. Fewer copies is cheaper than more controls: every copy you do not make is one you never have to secure, find or delete.

Het klantenbestand staat in het CRM. Het staat ook in de export die iemand maakte voor een mailing, het spreadsheet dat finance bijhoudt, de bijlage in tweehonderd mailboxen, de downloadmap van een laptop, de testomgeving die met echte data is gevuld omdat nepdata te veel werk was, en in elke back-up van al het bovenstaande. Het CRM beveiligen beschermt één kopie van de veertig.

Bedrijfsimpact: het lek komt zelden via het systeem met de goede maatregelen. Het komt via de kopie die niemand bijhield, en de brief die u daarna aan klanten stuurt, moet uitleggen waarom hun gegevens in een testsysteem stonden. Minder kopieën is goedkoper dan meer maatregelen: elke kopie die u niet maakt, hoeft u nooit te beveiligen, te vinden of te wissen.

Sharing is one click, and the default is generous: anyone with the link, the whole company, the whole partner organisation. Nobody revisits it. Years later the folder holds the salary review, the legal dispute and the pricing model, still open to everyone who ever had the link. Then one account is phished, and the attacker does not need to break into anything. They open the folders the account could already see.

Business impact: the damage from a single compromised account is decided long before the phishing mail arrives, by how much that account was allowed to see. Broad sharing turns a minor incident into a full data breach. Defaults matter more than policies: when “internal only” and “expires in 30 days” are the default, oversharing has to be a deliberate act.

Delen is één klik, en de standaardinstelling is gul: iedereen met de link, het hele bedrijf, de hele partnerorganisatie. Niemand kijkt er nog naar. Jaren later bevat de map de salarisronde, het juridische geschil en het prijsmodel, nog steeds open voor iedereen die ooit de link had. Dan wordt één account gephisht, en de aanvaller hoeft nergens in te breken. Hij opent de mappen die het account al kon zien.

Bedrijfsimpact: de schade van één gehackt account wordt lang vóór de phishingmail bepaald, door hoeveel dat account mocht zien. Ruim delen maakt van een klein incident een volledig datalek. Standaardinstellingen wegen zwaarder dan beleid: als “alleen intern” en “verloopt na 30 dagen” de standaard zijn, wordt te ruim delen een bewuste handeling.

Storage is cheap and deleting feels risky, so nothing is ever deleted. Job applications from 2011, ex-customers' records, expired contracts, chat logs. Every retention policy says two or seven years; every system still holds fifteen. When the breach comes, it exposes all of it, and the regulator asks a question that has no good answer: why did you still have this?

Business impact: data you no longer need is pure liability. It cannot generate value; it can only leak. Under GDPR keeping it too long is itself a violation, separate from the breach, and it multiplies the number of people you have to notify. A retention schedule that actually deletes is the only control that makes the problem smaller every year instead of bigger.

Opslag is goedkoop en wissen voelt riskant, dus wordt er nooit iets gewist. Sollicitaties uit 2011, dossiers van ex-klanten, verlopen contracten, chatlogs. Elk bewaarbeleid zegt twee of zeven jaar; elk systeem bewaart nog vijftien. Als het lek komt, ligt alles op straat, en stelt de toezichthouder een vraag waarop geen goed antwoord bestaat: waarom had u dit nog?

Bedrijfsimpact: data die u niet meer nodig hebt, is pure aansprakelijkheid. Ze levert geen waarde meer op; ze kan alleen nog lekken. Onder de AVG is te lang bewaren op zichzelf al een overtreding, los van het lek, en het vermenigvuldigt het aantal mensen dat u moet informeren. Een bewaarschema dat echt wist, is de enige maatregel die het probleem elk jaar kleiner maakt in plaats van groter.