Cybersecurity is voor Databeamer geen recent onderwerp. Vanaf de eerste dag is ons platform ontworpen voor het veilig uitwisselen van vertrouwelijke informatie. Daarom toetsen we onze processen en technologie continu aan de hoogste beveiligingsstandaarden.
Een logisch vervolg was de stap naar een onafhankelijke bevestiging daarvan. Daarom zijn we ruim een jaar geleden gestart met de voorbereidingen voor onze ISO 27001-certificering.
Momenteel bevinden we ons midden in het formele audit- en certificeringstraject. Iedereen die weleens zo'n traject heeft doorlopen, weet dat dit betekent dat je élk proces binnenstebuiten keert en alle risico's tegen het licht houdt
Hoewel we onze risicoprofielen continu up-to-date houden, dwingt een formele certificering je om extra diep in de nieuwste evoluties van dreigingen te duiken. Cybersecurityrisico's spelen immers op zeer veel vlakken en zijn constant in ontwikkeling. Een van de ontwikkelingen die ons opviel en waar we extra verdieping aan hebben gegeven, is de transformatie van ransomware. Een risico’s met veel impact op vertrouwelijke klantgegevens en de reputatie van de dienstverlener.
De ontwikkeling van ransomware
De eerste ransomware werd al in 1989 verspreid, toentertijd in de vorm van een Trojan-virus. Nog vele zouden volgen, met als doel de ontvangers geld af te troggelen in de vorm van losgeld. In de jaren tussen 2012 en 2019 was het primaire middel van cybercriminelen hierin het onbruikbaar maken van systemen, bestanden en applicaties door middel van encryptie (versleuteling). Omdat de criminelen destijds de data alleen versleutelden en nog niet stalen, was het hebben van een up-to-date, offline back-up het ultieme redmiddel. Je kon de besmette systemen simpelweg wissen, de back-up terugzetten en doorgaan zonder losgeld te betalen.
Maar die succesvolle verdediging dwong criminelen tot een tactische verschuiving. Sinds 2022 is de digitale misdaadwereld veel nauwer gaan samenwerken. Kennis is specialistisch verdeeld in een model dat Ransomware-as-a-Service wordt genoemd. Zo zijn er 'digitale inbrekers' (Initial Access Brokers) die inbreken op computernetwerken en die toegang direct doorverkoopen aan cyberbenden met gijzelsoftware.
Gegevens van onderzoeksbureau Mandiant (dochter van Google) lieten destijds in hun jaarlijkse M-Trends rapportage al zien hoe deze grote netwerken samenwerkten om cruciale systemen als ziekenhuizen en stroomvoorzieningen plat te leggen en de dagelijkse bedrijfsvoering te gijzelen.
Inmiddels is er nog een nieuwe verschuiving: die van Recovery Denial. De focus ligt hierbij op het voorkomen dat slachtoffers hun eigen systemen überhaupt kunnen herstellen. Aanvallers jagen in een vroeg stadium van de aanval agressief op back-upinfrastructuren en virtualisatielagen, puur om deze te vernietigen. Ook is de tijd waarin inbrekers de inloggegevens overdragen aan hun partners extreem gedaald: van uren naar gemiddeld slechts 22 seconden.
De grootste ransomware dreigingen van dit moment zijn die van data-exfiltratie (het stelen van data) en dubbele afpersing (double extortion). Criminelen gijzelen je systemen vaak niet eens meer. Ze kopiëren je meest gevoelige klantgegevens of intellectueel eigendom en dreigen dat op straat te gooien. Hierbij helpt een back-up niet meer.
De dreiging van reputatieschade en hoge AVG-boetes zijn vaak al genoeg om organisaties te laten betalen. Het risico is daarmee verder verschoven van de beschikbaarheid van systemen naar de vertrouwelijkheid van gegevens.
En in Nederland?
Ook in Nederland komt dit met regelmaat voor. Iedereen in de sector heeft afgelopen april bijvoorbeeld de Chipsoft-aanval meegekregen. Deze zorgsoftwareleverancier werd toen getroffen door een ransomware-aanval, waarbij externe diensten zoals Zorgplatform en patiëntenportalen uit voorzorg offline werden gehaald. Hierbij werden gegevens van circa 218.000 personen buitgemaakt, waaronder gevoelige en medische informatie. Hoewel de lokale patiëntendossiers in ziekenhuizen bleven werken, raakte de downtime de online communicatie en apps van talloze zorginstellingen en patiënten. Het gefaseerde herstel naar volledige uptime van de getroffen systemen duurde uiteindelijk ongeveer twee tot drie weken.
Cijfers uit het Jaarbeeld Ransomware 2025 van het NCSC laten zien dat de impact in Nederland groot is. In 2025 deden Nederlandse organisaties officieel aangifte van 65 ransomware-incidenten. Experts schatten echter dat het werkelijke aantal, met name in het mkb, tot wel drie keer hoger ligt. Deze aanvallen, afkomstig van 39 unieke ransomware-families, treffen vooral de ICT-sector (24%), de handel (20%) en de industrie (13%). Maar liefst 29% van de slachtoffers ging uiteindelijk over tot betaling.
Ons ISO-traject: van inzichten naar actie
Geen enkele organisatie is honder procent veilig. Wij niet, en onze klanten ook niet. Het gaat er niet om dat je onkwetsbaar bent, maar dat je de impact minimaliseert áls het een keer misgaat. Ons huidige ISO-certificeringstraject heeft geleid tot een nog scherpere focus op het minimaliseren van impact bij incidenten.
Organisatorisch passen we strikte zero-trust toe, waarbij we uitgaan van gecompromitteerde netwerken en endpoints continu verifiëren om zijwaartse bewegingen (lateral movement van aanvallers te voorkomen.
Daarnaast staat onze back-up in een aparte zone bij onze hostingprovider in Amsterdam en werken we aan automatische cross-regio replicatie naar Parijs, voor het geval de hele regio Amsterdam platgaat. Hierbij nemen we strategische keuzes mee zoals object locking (zodat ransomware oude data niet kan overschrijven of versleutelen), Point-in-Time Recovery (PITR, om terug te kunnen draaien naar een moment vóór de infectie) en het fysiek scheiden (air-gappen) van back-ups met totaal andere admin-gegevens.
Technisch hebben we met DataBeamer vanaf de basis gekozen voor een strikte zero-knowledge architectuur. Als data-exfiltratie het nieuwe verdienmodel is, moet je zorgen dat gestolen data volkomen waardeloos is. Dit betekent dat wij, maar dus ook een eventuele inbreker, nóóit bij de encryptiesleutels of de inhoud van de data kunnen. Zelfs als onze eigen infrastructuur gecompromitteerd raakt, blijft de data onleesbaar.
Daarnaast kijken we naar de lange termijn en de opkomst van kunstmatige intelligentie. Recente cijfers van Nordstellar en het SANS Institute tonen aan dat het aantal wereldwijde aanvallen in de eerste helft van dit jaar met 20% is gestegen, waarbij groepen als Qilin en The Gentlemen de statistieken opjagen. In krap tachtig procent van de gevallen wordt inmiddels AI ingezet om gerichter binnen te dringen.
Bovendien hanteren aanvallers steeds vaker de tactiek van 'Harvest Now, Decrypt Later': ze stelen vandaag versleutelde data om die over een paar jaar met de brute rekenkracht van kwantumcomputers alsnog te kraken. Om dat risico te mitigeren, hebben we DataBeamer uitgerust met Post-Quantum Cryptography (PQC) encryptie. Daarmee is de data niet alleen vandaag veilig, maar blijft deze dat ook over vijf of tien jaar.
En wat als je tóch slachtoffer wordt?
Het belangrijkste is natuurlijk om een aanval te voorkomen, maar een goede voorbereiding op het ergste scenario is minstens zo cruciaal. Omdat ransomware-incidenten vaak leiden tot het onmiddellijk uitvallen van je bedrijfsvoering, komt er direct extreme druk op een organisatie te staan om systemen snel te herstellen. Effectief reageren vereist dat iedereen binnen de organisatie vooraf exact weet wat zijn of haar rol, verantwoordelijkheid en bevoegdheid is. Richt je daarom op de aanbevelingen van bijvoorbeeld het recent verschenen NIST Ransomware-raamwerk om deze risico's vooraf te mitigeren.
Mocht het noodlot onverhoopt toeslaan, hanteer dan de volgende stappen:
- Isoleer direct je systemen: Koppel getroffen apparaten onmiddellijk los van het netwerk en internet om verdere verspreiding te voorkomen.
- Meld het datalek en doe aangifte: Meld een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens en doe altijd aangifte bij de politie. Zij kunnen een onderzoek starten en de criminele infrastructuur in kaart brengen.
- Controleer op decryptietools: Voordat je überhaupt aan betalen denkt, controleer het internationale platform No More Ransom (een gezamenlijk initiatief van onder andere de Nederlandse Politie en Europol). Zij helpen het type ransomware te detecteren en bieden gratis ontsleuteltools voor veelvoorkomende varianten.
- Herstel uit back-ups: De veiligste en meest betrouwbare manier om weer toegang te krijgen, is het terugzetten van schone, offline back-ups.
- Zorg voor effectieve noodscenario's, zeker bij cruciale systemen. Denk aan offline alternatieven en een helder rampenplan.
- Zorg voor transparante communicatie naar buiten toe. Maak vooraf heldere afspraken over communicatie richting getroffen klanten, medewerkers en de pers. Stem dit vooraf af met opdrachtgevers, leveranciers en andere stakeholders.
Wel of niet betalen?
Het officiële advies van zowel het NCSC als Europol is helder: betaal geen losgeld. Het biedt geen enkele garantie dat je je gegevens netjes terugkrijgt, het vergroot de kans dat je kort daarna door dezelfde club nóg eens wordt afgeperst (omdat je te boek staat als 'betaler'), en je financiert er direct toekomstige criminele activiteiten mee.
Tegelijkertijd moet men realistisch zijn. De praktijk leert dat de combinatie van data-exfiltratie en het ontbreken van goede herstelopties (mkb-)bedrijven soms zo hard met de rug tegen de muur zet, dat ze wel móéten betalen om een faillissement te voorkomen. Ransomwareverzekeringen kunnen hierbij een vangnet bieden voor de schade, maar de wrange realiteit is dat cybercriminelen dit vaak weten en hun losgeldeisen simpelweg verhogen zodra ze merken dat er een verzekeraar in het spel is.
Ons eigen certificeringstraject heeft ons nogmaals bevestigt dat cybersecurity geen statisch vinkje is dat je eenmalig zet. De wereld van de cybercriminaliteit verandert voortdurend. Daarom vinden we het belangrijk om steeds kritisch naar onszelf te blijven kijken. Niet voor het certificaat, maar voor onze opdrachtgevers en eindgebruikers.