Insider threat. Four people who already have the keys. Insider threat. Vier mensen die de sleutels al hebben.

The most common insider incident is not sabotage. It is a salesperson, engineer or consultant in their notice period who exports the customer list, the price book or the source code because it feels like theirs. Access stays fully open until the last day, often longer. Nothing is broken, nothing is encrypted, and the export looks exactly like normal work.

Business impact: a competitor with our pricing and pipeline, a lawsuit we have to fund to prove what was taken, and a personal-data breach if the list contains contacts. The damage shows up months later, when deals start going elsewhere. Access that shrinks as soon as notice is given, and logging on the data that matters most, turns this from invisible into obvious.

Het meest voorkomende insiderincident is geen sabotage. Het is een verkoper, engineer of consultant in de opzegtermijn die de klantenlijst, het prijsboek of de broncode exporteert omdat het “toch van hem” voelt. De toegang blijft volledig open tot de laatste dag, vaak langer. Er gaat niets stuk, er wordt niets versleuteld, en de export ziet er precies uit als gewoon werk.

Bedrijfsimpact: een concurrent met onze prijzen en pijplijn, een rechtszaak die wij moeten betalen om te bewijzen wat er is meegenomen, en een datalek als de lijst contactgegevens bevat. De schade wordt pas maanden later zichtbaar, als deals ergens anders landen. Toegang die krimpt zodra iemand opzegt, en logging op de data die het meest telt, maakt dit van onzichtbaar tot zichtbaar.

Most data leaves by accident. A salary overview sent to a namesake outside the company because autocomplete picked the wrong address. A project folder shared with “anyone with the link” so a supplier could see one file. A spreadsheet with a hidden tab full of personal data attached to a tender. Nobody wanted harm, and the person involved usually reports it themselves, hours later.

Business impact: a reportable data breach with the same regulator and the same notification clock as a real attack. Trust damage with the staff or customers whose data went out. And a pattern: if it is easy to share everything with everyone, it will happen weekly. Need-to-know access and a warning when sensitive data is about to leave the company cut most of it off before the send button.

De meeste data verlaat het bedrijf per ongeluk. Een salarisoverzicht naar een naamgenoot buiten de organisatie omdat automatisch aanvullen het verkeerde adres koos. Een projectmap gedeeld met “iedereen met de link” zodat een leverancier één bestand kon zien. Een spreadsheet met een verborgen tabblad vol persoonsgegevens als bijlage bij een aanbesteding. Niemand wilde schade, en de betrokkene meldt het meestal zelf, uren later.

Bedrijfsimpact: een meldplichtig datalek met dezelfde toezichthouder en dezelfde meldtermijn als bij een echte aanval. Vertrouwensschade bij de medewerkers of klanten van wie de gegevens op straat liggen. En een patroon: als het makkelijk is om alles met iedereen te delen, gebeurt het wekelijks. Toegang op need-to-know-basis en een waarschuwing zodra gevoelige data het bedrijf dreigt te verlaten, vangt het meeste af vóór de verzendknop.

Every organisation has a handful of people who can read every mailbox, open every file and change every setting. That is their job. The question is who watches them. If one administrator can export the customer database, create a spare account and clear the log without a second person ever seeing it, we are relying entirely on that person's character. Usually that works. The one time it does not, there is no evidence left.

Business impact: unlimited exposure concentrated in a few people, and no way to prove afterwards what happened or that it did not. Auditors and regulators ask this question first. Privileged actions that require a second pair of eyes, and logs an administrator cannot erase, cost little and change the answer from “we trust them” to “we would know”.

Elke organisatie heeft een handvol mensen die elke mailbox kunnen lezen, elk bestand kunnen openen en elke instelling kunnen wijzigen. Dat is hun werk. De vraag is wie hén controleert. Als één beheerder de klantendatabase kan exporteren, een extra account kan aanmaken en het log kan wissen zonder dat een tweede persoon het ooit ziet, leunen we volledig op het karakter van die persoon. Meestal gaat dat goed. De ene keer dat het misgaat, is er geen bewijs meer.

Bedrijfsimpact: onbeperkte blootstelling geconcentreerd bij een paar mensen, en geen manier om achteraf te bewijzen wat er gebeurd is — of dat er níets gebeurd is. Accountants en toezichthouders stellen deze vraag als eerste. Bevoorrechte handelingen die een tweede paar ogen vereisen, en logs die een beheerder niet kan wissen, kosten weinig en veranderen het antwoord van “we vertrouwen ze” in “we zouden het weten”.

Criminal groups no longer need to break in when they can buy a way in. Employees at banks, telecoms, logistics firms and service desks are approached on social media with an offer: a few thousand for a login, a SIM swap, a customer record. Others are pressured with debt, a grudge or a threat to family abroad. The person who says yes is rarely a hardened criminal. They are someone in a bad month with more access than their job needs.

Business impact: a trusted account doing untrusted things, which is the hardest attack to detect and the most embarrassing to explain. The control is not surveillance of everyone. It is fewer people with sensitive access, a culture where “I was approached” can be reported without fear, and HR and security talking to each other before someone reaches breaking point.

Criminele groepen hoeven niet meer in te breken als ze een ingang kunnen kopen. Medewerkers bij banken, telecombedrijven, logistieke bedrijven en servicedesks worden via sociale media benaderd met een aanbod: een paar duizend euro voor een inlog, een simkaartwissel, één klantdossier. Anderen worden onder druk gezet met schulden, een wrok of een bedreiging van familie in het buitenland. Wie ja zegt is zelden een doorgewinterde crimineel. Het is iemand met een slechte maand en meer toegang dan het werk vereist.

Bedrijfsimpact: een vertrouwd account dat onbetrouwbare dingen doet — de moeilijkst te detecteren aanval en de pijnlijkste om uit te leggen. De maatregel is geen toezicht op iedereen. Het is minder mensen met gevoelige toegang, een cultuur waarin “ik ben benaderd” zonder angst gemeld kan worden, en HR en security die met elkaar praten vóórdat iemand het breekpunt bereikt.