Wat datalekken ons leren over ketenfalen, schaalverschillen en bestuurlijke aannames.
Door: Patrick Jordens
Voor: directie, bestuur, toezicht, risk en compliance
Wie documentaires kijkt over vliegtuigongelukken, herkent een terugkerend patroon. Het is vrijwel nooit één fatale fout. Het gaat om een keten van kleine beslissingen, gemiste signalen en aannames die op zichzelf logisch leken. Een procedure die een keer niet strikt werd gevolgd. Een waarschuwing die werd genegeerd omdat die al vaker loos alarm bleek. Een afwijking die normaal werd, totdat alles samenkwam. Pas achteraf is het beeld helder en lijkt het onbegrijpelijk dat niemand eerder ingreep. Datalekken ontstaan op precies dezelfde manier.
Ook daar is zelden sprake van één moment waarop het misgaat. Het datalek dat het nieuws haalt, is meestal het eindpunt van een langere reeks keuzes die nooit in samenhang zijn beoordeeld. Kleine uitzonderingen, praktische oplossingen en impliciete aannames stapelen zich op tot een systeem dat kwetsbaar wordt, zonder dat iemand dat expliciet zo heeft bedoeld.
Van zorginstelling tot miljoenenplatform
De afgelopen maanden lieten dat opnieuw zien. In een verzorgingshuis in Tilburg lagen persoonsgegevens van bewoners op straat. Geen geavanceerde cyberaanval, geen geraffineerde hack, maar een pijnlijk concreet lek met directe gevolgen voor een kwetsbare groep mensen. Aan de andere kant van het spectrum ging het bij internationale platforms en consumentenbedrijven om tientallen miljoenen gebruikers, met datasets die e-mailadressen, accountgegevens en soms zelfs identificatiedocumenten bevatten.
De schaal verschilt, de impact verschilt, maar het onderliggende mechanisme is opvallend vergelijkbaar. In beide gevallen gaat het niet om één uitzonderlijke fout, maar om systemen die in de loop van de tijd zijn gegroeid, aangepast en uitgebreid, zonder dat het geheel opnieuw kritisch is bekeken. Wat ooit logisch was, bleef bestaan. Wat tijdelijk bedoeld was, werd structureel. En wat “wel zou meevallen”, werd nooit meer expliciet gewogen.
Het onderscheid tussen kleine en grote datalekken is daardoor minder relevant dan vaak wordt gedacht. De omvang van het lek zegt weinig over de volwassenheid van de organisatie. Het zegt vooral iets over de schaal waarop dezelfde patronen zich hebben kunnen ontwikkelen.
Ketenfalen, geen individueel falen
Net als bij vliegtuigongelukken ligt de verleiding op de loer om te focussen op de laatste handeling. De medewerker die een bestand deelde. De leverancier die toegang had. De instelling die iets verkeerd had opgeslagen. Die focus is begrijpelijk, maar ook misleidend. De laatste schakel krijgt de aandacht, terwijl de keten die daaraan voorafging buiten beeld blijft.
In vrijwel alle datalekken die wij analyseren, zien we dat niemand bewust roekeloos heeft gehandeld. Integendeel. De beslissingen die zijn genomen, waren op dat moment verdedigbaar. Ze sloten aan bij werkdruk, bij operationele realiteit, bij de behoefte om het werk gedaan te krijgen. Precies dát maakt het probleem zo hardnekkig.
Het risico zit niet in kwade wil of onkunde, maar in normaliteit. In het ontbreken van momenten waarop iemand expliciet het geheel overziet en zich afvraagt of al die logische keuzes samen nog steeds verantwoord zijn.
Een datalek ontleed als een vliegtuigongeluk
Het datalek bij het verzorgingshuis in Tilburg is illustratief, juist omdat het zo weinig uitzonderlijk is. Het zichtbare incident is helder: persoonsgegevens van bewoners kwamen buiten de beveiligde omgeving terecht. Dat is het moment waarop het lek zichtbaar wordt, vergelijkbaar met het moment waarop een vliegtuig crasht. Indrukwekkend, schokkend, maar het einde van de keten, niet het begin.
Wie één stap terugkijkt, ziet de directe oorzaak. Gegevens waren opgeslagen of afgevoerd op een manier die onvoldoende beschermd was. Dat is de handeling waar de aandacht vaak blijft hangen. Hier wordt gesproken over fouten, nalatigheid of onzorgvuldigheid. Maar in een serieuze incidentanalyse is dit slechts de laatste schakel.
De relevante vraag is waarom deze situatie überhaupt kon ontstaan. Het antwoord is zelden spectaculair. Omdat het praktisch was. Omdat het zo was ingericht. Omdat het altijd zo ging. Afwijkingen van procedures worden niet genegeerd uit onverschilligheid, maar omdat ze in de praktijk werkbaar zijn en zelden direct problemen veroorzaken. In de luchtvaart heet dit de normalisatie van afwijking. In organisaties gebeurt precies hetzelfde.
Daarmee komt onvermijdelijk de vraag naar eigenaarschap in beeld. Wie voelde zich verantwoordelijk voor deze gegevens, niet op papier, maar in de dagelijkse praktijk? Was dat expliciet belegd, of impliciet aangenomen? In veel zorgorganisaties zijn verantwoordelijkheden verdeeld over zorginhoud, IT, privacy en facilitaire processen. Iedereen heeft een deel, niemand overziet het geheel. Niet uit onwil, maar omdat de inrichting zo is gegroeid.
Achteraf blijkt dan vaak dat signalen al langer aanwezig waren. Medewerkers die zagen dat iets eigenlijk niet klopte. Situaties die wrongen met beleid, maar nooit formeel werden teruggekoppeld. Niet omdat ze onbelangrijk waren, maar omdat er geen duidelijke structuur was om zulke signalen te wegen en te escaleren.
Net als bij luchtvaartonderzoeken gaat het hier niet om schuld, maar om systeemfalen. Het incident was niet onvermijdelijk, maar wel voorspelbaar binnen deze inrichting. En precies dát is de bestuurlijke les.
Waarom organisaties zichzelf blijven verrassen
Een opvallend kenmerk van datalekken is de oprechte verbazing achteraf. Hoe heeft dit kunnen gebeuren. Waarom heeft niemand dit zien aankomen. Die verbazing zegt minder over het incident en meer over hoe organisaties omgaan met digitale risico’s.
Cyberrisico’s worden vaak verdeeld over disciplines. IT beheert systemen. Privacy bewaakt regels. Compliance kijkt naar normen. Leveranciers voeren uit binnen hun contractuele scope. Het bestuur ontvangt (in het meest gunstige geval) rapportages, maar ziet zelden het volledige plaatje. Iedereen heeft een rol, maar niemand is eigenaar van het geheel.
Daardoor verdwijnen structurele risico’s uit het zicht. Afwijkingen worden niet meer als afwijking herkend. Uitzonderingen worden de norm. Signalen worden pas serieus genomen als ze niet meer te negeren zijn. Net als in de luchtvaart lijkt het achteraf onbegrijpelijk, terwijl het vooraf stap voor stap is ontstaan.
Het incident is zelden het echte probleem
Wanneer een datalek zich voordoet, ligt de nadruk vaak op herstel. Het lek wordt gedicht, processen worden aangescherpt, soms volgt extra training of een technische maatregel. Dat is noodzakelijk, maar onvoldoende. Wie zich beperkt tot het incident, leert niets van het systeem.
De kernvraag is niet wat er technisch is misgegaan, maar waarom het zo kon gebeuren. Wat zegt dit over eigenaarschap. Over besluitvorming. Over de manier waarop risico’s worden afgewogen tegen gemak en snelheid. En over wie binnen de organisatie daadwerkelijk de regie voert.
Zolang die vragen niet expliciet worden gesteld, blijft het risico bestaan dat het volgende lek al in de maak is, terwijl iedereen denkt dat het probleem is opgelost.
Wat datalekken werkelijk blootleggen
Een datalek legt zelden alleen data bloot. Het legt bloot hoe een organisatie is ingericht. Hoe zij omgaat met complexiteit, met werkdruk en met verantwoordelijkheid. Het laat zien of governance een levend proces is, of een verzameling aannames die nooit meer zijn getoetst.
Organisaties die een datalek zien als een incident dat hen is overkomen, blijven verrast worden. Organisaties die het zien als een symptoom van ketenfalen, gebruiken het als spiegel. Niet om schuldigen aan te wijzen, maar om patronen te doorbreken voordat ze opnieuw samenkomen.
De vergelijking met vliegtuigongelukken is daarom geen dramatische beeldspraak, maar een nuchtere les. Veiligheid ontstaat niet door één maatregel, maar door voortdurende aandacht voor het systeem als geheel.
De vraag is dus niet of uw organisatie ooit te maken krijgt met een datalek (al dan niet als gevolg van een hack). Die kans is reëel, ongeacht sector of omvang. De vraag is fundamenteler. Ziet u de keten al, of pas op het moment dat zij breekt?
Over TT3P
The Trusted Third Party biedt praktisch advies voor cybersecurity en flexibele inzet van cybersecurityspecialisten. We helpen organisaties van elk type om het risico op gijzeling van bedrijfssystemen, datadiefstal en onbevoegde toegang te verkleinen en hun digitale weerbaarheid te vergroten. Neem contact op via info@tt3p.nl of 088 38 38 38 3.
Op de hoogte blijven van alle updates rondom cybersecurity? Volg dan onze LinkedIn-pagina
