Laptops, phones and the kitchen table. Where the data really is. Laptops, telefoons en de keukentafel. Waar de data echt staat.

A login password protects the screen, not the disk. Take the drive out, or boot from a USB stick, and every file on an unencrypted laptop is readable in minutes: the customer export, the HR spreadsheet, the cached mailbox, the saved passwords in the browser. Nobody has to break anything. The laptop does not even have to be stolen on purpose; a bag left on a train is enough.

Business impact: a lost device with unencrypted personal data is usually a reportable breach under GDPR: the Autoriteit Persoonsgegevens is to be notified within 72 hours of becoming aware (Art. 33). With encryption switched on and verified, the same loss is a hardware replacement and a form. The difference between those two outcomes is one setting.

Een inlogwachtwoord beschermt het scherm, niet de schijf. Haal de schijf eruit, of start op vanaf een USB-stick, en elk bestand op een onversleutelde laptop is binnen minuten leesbaar: de klantexport, het HR-spreadsheet, de gecachte mailbox, de opgeslagen wachtwoorden in de browser. Niemand hoeft iets te kraken. De laptop hoeft niet eens bewust gestolen te zijn; een tas die in de trein blijft liggen is genoeg.

Bedrijfsimpact: een verloren apparaat met onversleutelde persoonsgegevens is meestal een meldplichtig datalek onder de AVG: de Autoriteit Persoonsgegevens moet binnen 72 uur na kennisname worden ingelicht (art. 33). Met versleuteling ingeschakeld en gecontroleerd is hetzelfde verlies een vervangende laptop en een formulier. Het verschil tussen die twee uitkomsten is één instelling.

Mail, chat and files on a personal phone are convenient, and they work by default. That phone has no screen lock we can enforce, no update policy, no encryption we can check, and when it is sold, lost or handed to a teenager, nobody can wipe the company data on it. When the employee leaves, the mailbox is switched off, but the downloaded attachments and cached messages stay behind.

Business impact: this is not a question of banning personal devices. It is a question of whether every device that holds company data is one we can wipe, update and lock from a distance. Devices that meet that bar are welcome. Devices that do not should be able to read mail in the browser, and nothing more.

Mail, chat en bestanden op een privételefoon zijn handig, en ze werken standaard. Die telefoon heeft geen schermvergrendeling die wij kunnen afdwingen, geen updatebeleid, geen versleuteling die wij kunnen controleren, en als hij wordt verkocht, verloren of aan een puber gegeven, kan niemand de bedrijfsdata erop wissen. Als de medewerker vertrekt, gaat de mailbox uit, maar de gedownloade bijlagen en gecachte berichten blijven staan.

Bedrijfsimpact: dit is geen kwestie van privéapparaten verbieden. Het is de vraag of elk apparaat met bedrijfsdata een apparaat is dat wij op afstand kunnen wissen, bijwerken en vergrendelen. Apparaten die aan die lat voldoen zijn welkom. Apparaten die dat niet doen, mogen mail lezen in de browser, en verder niets.

Local administrator rights let a user install anything, change any setting and switch off any protection. Most people have them because it was easier for the helpdesk, years ago. Malware knows this. A fake PDF tool, a cracked font pack or a “required plugin” runs with the same rights as the person who clicked it. With admin rights it disables the antivirus, installs itself deep in the system and hides. Without them, it is a file in a downloads folder that cannot do much.

Business impact: standing admin rights turn every careless click into a full compromise of the device, and the device into a springboard into the network. Removing them costs some helpdesk friction for a few weeks. Keeping them costs the first incident.

Lokale beheerdersrechten laten een gebruiker alles installeren, elke instelling wijzigen en elke bescherming uitzetten. De meeste mensen hebben ze omdat het jaren geleden makkelijker was voor de helpdesk. Malware weet dat. Een nep-PDF-tool, een gekraakt lettertypepakket of een “vereiste plug-in” draait met dezelfde rechten als degene die erop klikte. Met beheerdersrechten schakelt hij de virusscanner uit, nestelt hij zich diep in het systeem en verbergt hij zich. Zonder die rechten is het een bestand in een downloadmap dat weinig kan.

Bedrijfsimpact: permanente beheerdersrechten maken van elke onvoorzichtige klik een volledige overname van het apparaat, en van het apparaat een springplank het netwerk in. Ze weghalen kost een paar weken wrijving met de helpdesk. Ze houden kost het eerste incident.

Almost all work now happens in the browser: mail, finance, HR, the customer system. That makes the browser the most attacked program on the device. Three things go wrong. Updates wait weeks while known, actively exploited flaws stay open. A fake “update now” banner on a legitimate website delivers malware in one click. And a browser extension installed for convenience, a coupon finder or a PDF converter, is quietly sold to a new owner who makes it read every page, every form and every password typed.

Business impact: a malicious extension sits inside the logged-in session, after MFA has already been passed. Infostealer malware does the same from outside: it copies saved passwords and session cookies, so the attacker logs in as the employee without meeting MFA. It sees what the employee sees, including the online banking and the admin consoles. None of this needs administrator rights. It needs a browser that is behind on updates and free to install anything from the store.

Bijna al het werk gebeurt nu in de browser: mail, finance, HR, het klantsysteem. Daarmee is de browser het meest aangevallen programma op het apparaat. Drie dingen gaan mis. Updates wachten weken terwijl bekende, actief misbruikte fouten openstaan. Een nep-banner “nu bijwerken” op een legitieme website levert met één klik malware af. En een browserextensie die voor het gemak is geïnstalleerd, een kortingszoeker of een PDF-converter, wordt stilletjes verkocht aan een nieuwe eigenaar die hem elke pagina, elk formulier en elk getypt wachtwoord laat meelezen.

Bedrijfsimpact: een kwaadaardige extensie zit ín de ingelogde sessie, nadat MFA al is doorlopen. Infostealer-malware doet hetzelfde van buitenaf: die kopieert opgeslagen wachtwoorden en sessiecookies, zodat de aanvaller als de medewerker inlogt zonder MFA tegen te komen. Hij ziet wat de medewerker ziet, inclusief het internetbankieren en de beheerconsoles. Niets hiervan vereist beheerdersrechten. Het vereist een browser die achterloopt met updates en vrij is om alles uit de winkel te installeren.

Checked against: Microsoft on Windows 10 ESU (Sep 2026), Entra token protection (Aug 2026), Chrome DBSC on Windows (May 2026), GDPR Art. 33–34, NIS2 Art. 23, DORA and the Cbw (Aug 2026) · September 2026.

Gecontroleerd tegen: Microsoft over Windows 10-ESU (sep 2026), Entra-tokenbescherming (aug 2026), Chrome DBSC op Windows (mei 2026), AVG art. 33–34, NIS2 art. 23, DORA en de Cbw (aug 2026) · september 2026.