De drie pijlers van een goede cybersecurity strategie

Stel: een zorginstelling in Utrecht krijgt op maandagochtend een melding dat patiëntendossiers niet meer te openen zijn. Een aanvaller heeft de bestanden versleuteld en vraagt losgeld. Dat scenario raakt precies de kern van wat een goede cybersecurity strategie moet beschermen — en het laat meteen zien waarom één losse maatregel nooit genoeg is.

Veel mensen denken bij cybersecurity aan een firewall of een virusscanner en gaan er daarna vanuit dat het geregeld is. In de praktijk rust een werkbare strategie op drie pijlers die samen bepalen of je organisatie een aanval overleeft. In dit artikel loop ik ze langs met een concreet voorbeeld, en ik leg uit hoe de Nederlandse invulling van NIS2 hierop aansluit.

Wat betekenen de drie pijlers eigenlijk?

De drie pijlers staan bekend als de CIA-triade: vertrouwelijkheid (confidentiality), integriteit (integrity) en beschikbaarheid (availability). Het is geen academisch model dat in een la verdwijnt — security-teams bij Nederlandse banken, ziekenhuizen en gemeenten gebruiken het dagelijks om risico's te wegen.

Vertrouwelijkheid: alleen de juiste mensen erbij

Vertrouwelijkheid betekent dat gegevens alleen toegankelijk zijn voor wie ze mag zien. Denk aan een salarisadministratie: de HR-medewerker mag erbij, de stagiair op de marketingafdeling niet. Technieken die hierbij horen zijn versleuteling, sterke authenticatie en toegangsrechten die netjes per rol zijn ingesteld.

Terug naar die zorginstelling. Als de patiëntendossiers waren versleuteld opgeslagen én de toegang per functie was ingeregeld, had een aanvaller met gestolen inloggegevens veel minder kunnen bereiken.

Integriteit: gegevens die je kunt vertrouwen

Integriteit gaat over de juistheid en betrouwbaarheid van data. Een bankoverschrijving van 50 euro mag onderweg geen 5.000 euro worden. Een medisch dossier mag niet stiekem aangepast zijn. Hashing, digitale handtekeningen en versiebeheer helpen om wijzigingen zichtbaar en controleerbaar te maken.

Het verraderlijke aan aanvallen op integriteit is dat ze lang onopgemerkt blijven. Data die er normaal uitziet maar subtiel is veranderd, richt vaak meer schade aan dan een systeem dat gewoon plat ligt.

Beschikbaarheid: het systeem doet het als je het nodig hebt

Beschikbaarheid betekent dat systemen en gegevens bruikbaar zijn op het moment dat het ertoe doet. Een webshop die tijdens de drukte uitvalt, verliest omzet. Een ziekenhuis dat niet bij dossiers kan, loopt een patiëntveiligheidsrisico. Back-ups, redundantie en een getest herstelplan vallen onder deze pijler.

De ransomware-aanval uit het voorbeeld raakt vooral beschikbaarheid: de data is er nog, maar niemand kan erbij. Een organisatie met offline back-ups die regelmatig getest zijn, herstelt in uren in plaats van weken — en hoeft geen losgeld te overwegen.

De drie pijlers naast elkaar

Pijler	Wat het beschermt	Voorbeeld van een maatregel	Wat er misgaat zonder
Vertrouwelijkheid	Wie toegang heeft tot data	Versleuteling, tweefactorauthenticatie	Datalek, gestolen klantgegevens
Integriteit	Juistheid van data	Digitale handtekeningen, logging	Gemanipuleerde bedragen of dossiers
Beschikbaarheid	Toegang op het juiste moment	Geteste back-ups, redundantie	Uitval, ransomware, omzetverlies

Wat deze tabel duidelijk maakt: de pijlers werken op elkaar in. Je kunt data perfect versleutelen (vertrouwelijkheid) en toch de boot missen omdat je geen back-up hebt (beschikbaarheid). Een goede strategie weegt alle drie tegen de risico's van jouw organisatie.

Hoe NIS2 deze aanpak verplicht maakt

De NIS2-richtlijn is Europese wetgeving die de digitale weerbaarheid van bedrijven en instellingen moet verhogen. In Nederland wordt die vertaald naar de Cyberbeveiligingswet. De richtlijn verplicht organisaties in sectoren als energie, transport, zorg, drinkwater en digitale infrastructuur om hun risico's structureel te beheersen.

NIS2 vraagt onder meer om risicomanagement, incidentmeldingen binnen korte termijnen en aantoonbare maatregelen. Als je dat vertaalt naar de praktijk, kom je precies bij die drie pijlers uit: bescherm wie bij data kan, bewaak de juistheid ervan en zorg dat je snel herstelt na een incident. De wet geeft geen kant-en-klaar lijstje, maar legt de verantwoordelijkheid bij het bestuur om de risico's serieus te nemen.

Voor Nederlandse bedrijven betekent dit dat cybersecurity geen IT-feestje meer is in een hoekje van de organisatie. Het staat op de agenda van de directie, met persoonlijke verantwoordelijkheid voor bestuurders die hun zaken niet op orde hebben.

Wat dit betekent voor jouw carrière

Door NIS2 en de groei van digitale dreigingen is de vraag naar mensen die deze pijlers kunnen inrichten groot. Security-functies in Nederland lopen uiteen van security analist tot SOC-medewerker en security engineer. De salarissen variëren sterk met ervaring: een junior begint doorgaans rond de 2.800 à 3.500 euro per maand, terwijl ervaren specialisten in regio's als Amsterdam en de Randstad flink hoger kunnen uitkomen. Wil je een realistisch beeld per rol, dan is onze overzicht van cybersecurity-opleidingen en carrièrepaden een goed startpunt.

Je hoeft gechoeg geen universitaire achtergrond te hebben om in te stappen. Wat werkgevers zoeken, zijn mensen die de denkwijze achter de drie pijlers begrijpen en concreet kunnen toepassen. In een intensief cybersecurity-traject leer je dat soort vaardigheden projectmatig, en als je liever in je eigen tempo werkt kun je kiezen voor een zelfstudievariant van de cybersecurity-opleiding.

Ik merk zelf dat beginners vaak schrikken van de hoeveelheid tools en termen. Maar als je de drie pijlers eenmaal snapt, valt de rest op zijn plek: elke tool, elke maatregel en elke regel uit NIS2 hoort bij vertrouwelijkheid, integriteit of beschikbaarheid. Dat raamwerk maakt het hele vakgebied behapbaar.

Van model naar dagelijkse praktijk

Een strategie is pas iets waard als je hem test. Dat betekent: oefen een herstel van je back-up, controleer wie welke rechten heeft en kijk of je logs daadwerkelijk iets vastleggen. Veel incidenten gaan niet mis door gebrek aan techniek, maar doordat niemand ooit heeft gecontroleerd of de maatregelen werken zoals bedoeld.

De belangrijkste les: bouw je cybersecurity op vertrouwelijkheid, integriteit en beschikbaarheid, en toets ze regelmatig tegen je echte risico's. Wil je deze pijlers leren toepassen in een praktijkgericht programma? Bekijk dan het cybersecurity-programma van Code Labs Academy en zet je eerste stap richting een rol in dit vak.