“Hoe veilig zijn we vandaag?” vraagt het bestuur. De laatste pentest en de rapportage van de beheerpartij geven waardevolle informatie. Sindsdien kan een nieuwe koppeling de toegang tot gegevens hebben veranderd. Hoe weet je wat dat betekent voor de veiligheid van je corporatie? Daarvoor wil je kunnen volgen wat er speelt en begrijpen wat aandacht vraagt.
Joost Grunwald, Chief Technology Officer bij CSS, herkent die behoefte:
“Een pentest is een foto. De dag erna verandert er alweer iets. Veel corporaties hebben geen eigen securityspecialist, en dat hoeft ook niet. Maar je wilt wel kunnen beoordelen hoe je ervoor staat, in taal die je begrijpt. En je wilt weten wat je moet doen als er iets wordt gevonden.”
Bij WMIP en CSS vinden we dat technisch inzicht corporaties moet helpen om zelf keuzes te maken. Welke risico’s raken de dienstverlening aan huurders en wat bespreek je met je beheerpartij? Vanuit die gedachte ontwikkelen we Wocoguard: een platform dat technische risico’s doorlopend in beeld brengt en bevindingen vertaalt naar acties met uitleg en context.
Het verhaal achter een gelekt wachtwoord
Neem een medewerker van klantcontact die thuis op een privélaptop werkt. Die laptop raakt besmet met malware die opgeslagen wachtwoorden steelt. Een paar weken later duikt het wachtwoord van zijn werkaccount op in een gelekte dataset die online wordt verhandeld. Zelf weet hij van niets.
Voor de opvolging maakt het uit welke rechten het account heeft en of multifactorauthenticatie (MFA) is ingesteld. Toegang tot huurdersgegevens of een systeem dat belangrijk is voor de dienstverlening bepaalt mede de urgentie. Vervolgens moet iemand het account beveiligen en nagaan of het al is misbruikt, bijvoorbeeld door het wachtwoord opnieuw in te stellen, actieve sessies te beëindigen en inlogactiviteiten te controleren.
Kijken naar wat er werkelijk staat
Wocoguard is ontwikkeld door ethische hackers en kijkt naar de omgeving zoals een aanvaller dat zou doen. Het platform volgt doorlopend de inrichting van Microsoft 365 en onderzoekt websites, domeinen en andere onderdelen die vanaf internet bereikbaar zijn. Daarnaast monitort het dark web en gelekte datasets op accounts van de corporatie, zodat gelekte inloggegevens kunnen worden gesignaleerd en opgevolgd.
Digitale valstrikken in Microsoft 365 helpen om te ontdekken of er al iemand binnen is. Deze lokmiddelen hebben bij normaal gebruik geen functie en slaan alarm wanneer iemand ermee in aanraking komt.
De context van de corporatie bepaalt welke bevindingen voorrang krijgen. Bij een gelekt account telt bijvoorbeeld mee welke gegevens bereikbaar zijn en welke bescherming al aanwezig is.
“Een kwetsbaarheid op zich zegt weinig,” zegt Joost. “Pas als je weet welk proces erachter zit en wie erover gaat, kun je kiezen wat eerst moet.”
Van bevinding naar gerichte actie
Wocoguard geeft bij bevindingen een stapsgewijze uitleg van de oplossing, met aandacht voor de gevolgen voor de organisatie en gebruikers. Een ICT-coördinator of informatiemanager kan daarmee bepalen wat nodig is en de uitvoering afstemmen met collega’s of de beheerpartij.
Daarbij biedt Wocoguard een onafhankelijke blik: los van de partij die de omgeving heeft ingericht. Dat aanvullende perspectief helpt om samen prioriteiten te bepalen. De corporatie kent haar dienstverlening en de gevolgen die een maatregel kan hebben; de beheerpartij brengt de expertise in om die technisch uit te voeren. Zo houdt de corporatie regie op de keuzes en kan iedere partij gericht bijdragen.
Techniek, afspraken en dagelijks werk verbinden
Een technische bevinding kan aanleiding geven om breder naar de werkwijze te kijken. Keren meldingen over gelekte accounts terug, dan kunnen bijvoorbeeld afspraken over privéapparaten of een wachtwoordbeheerder aandacht vragen.
Daarom verbinden we Wocoguard met Wocofort en Wocosense. Een bevinding uit Wocoguard komt in Wocofort terecht als actie met een eigenaar, gekoppeld aan de juiste norm. Daar blijft de opvolging zichtbaar. Wocosense helpt medewerkers bij risicomomenten in hun dagelijkse werk. De inzichten daaruit kunnen aanleiding geven om werkafspraken of maatregelen aan te passen.
Zo kun je bepalen of een afzonderlijke actie voldoende is of dat een bredere verbetering nodig is.
Vertrouwen als uitgangspunt
Wie meekijkt in de omgeving van een corporatie, moet zorgvuldig omgaan met die toegang. Wocoguard werkt met zo min mogelijk rechten en de afspraken liggen vast in een verwerkersovereenkomst. De oplossingen Wocofort, Wocoguard en Wocosense vallen onder de ISO 27001-certificering.
Bij gelekte accounts draait de opvolging om herstel en bescherming. De medewerker in het voorbeeld heeft niets fout gedaan; zijn laptop is besmet geraakt. Door hem te helpen zijn account te beveiligen, maak je veilig werken ook een gezamenlijke verantwoordelijkheid.
Wanneer het bestuur opnieuw vraagt hoe veilig de corporatie is, ligt er een actueel, onafhankelijk beeld van wat is gevonden, wat is opgelost en wat nog aandacht vraagt. Daarmee kan het bestuur gericht keuzes maken om de dienstverlening beschikbaar te houden en de gegevens van huurders te beschermen.
Joost vat het samen:
“Je hoeft geen securityspecialist te zijn om goede keuzes te maken. Je moet wel weten wat er speelt.”
Ervaar Wocoguard zes maanden gratis
Wil je ervaren hoe Wocoguard technische risico’s binnen jouw corporatie zichtbaar maakt en helpt om gericht actie te ondernemen? Tijdens de Cyber Security Awareness-maand bieden we zes maanden gratis toegang tot Wocoguard, zonder implementatiekosten.
Deze aanbieding geldt de hele maand oktober. Vraag haar aan tot en met 31 oktober 2026.
Vraag hier zes maanden gratis Wocoguard aan
Bron: Wieck Molendijk informatiebeveiliging & privacy, Foto: Wieck Molendijk informatiebeveiliging & privacy
