CorporatieGids Magazine

JUNI 2026 I 23 22 I CORPORATIEGIDS MAGAZINE Welke cyberdreigingen zien jullie op dit moment als het meest urgent voor de sector? Woningcorporaties zijn om meerdere redenen kwetsbaar voor cyberdreigingen. Ze beschikken over grote hoeveelheden gevoelige persoonsgegevens en financiële informatie, vergelijkbaar met de data waar banken mee werken. Daarnaast hebben corporaties een hoge cashflow, wat ze aantrekkelijk maakt voor aanvallers. Ook de sterke afhan- kelijkheid van leveranciers en externe systemen vergroot het aanvalsoppervlak. Daarbij komt dat corporaties werken met huurders die relatief vaak kwetsbaar zijn voor oplichting en misbruik, wat de impact van incidenten extra groot maakt. Hoe volwassen is de corporatiesector als het gaat om informatiebeveiliging en privacy? Corporaties zijn de afgelopen jaren steeds volwassener geworden. Veel corporaties hebben grote stappen gemaakt op het gebied van informatiebeveiliging. Er zijn weinig Jorrit van de Walle en Joyce de Jong (Audittrail): Aandachtsverlies bij cybersecurity is misschien wel het grootste risico Woningcorporaties hebben de afgelopen jaren duidelijk stappen gezet op het gebied van informatiebeveiliging en privacy. Toch betekent meer volwassenheid niet automatisch dat de risico’s kleiner worden. Integendeel: cyberdreigingen worden slimmer, de afhankelijkheid van leveranciers blijft groot en binnen organisaties dreigt het gevaar dat de aandacht verslapt. Volgens oprichter Jorrit van de Walle en directeur consultancy Joyce de Jong van Audittrail zit de grootste uitdaging daarom niet alleen in techniek of wetgeving, maar vooral in de vraag of informatiebeveiliging echt als integraal onderdeel van de bedrijfsvoering wordt gezien. CorporatieGids Magazine sprak daarover met hen. corporaties die nog weinig tot niets hebben geregeld. Bij bijna iedere corporatie is er wel een security- of privacy officer, al dan niet als rol of nevenfunctie. Dat is een goede stap. Ook op het vlak van privacy is er veel hogere bewustwording gekomen in de laatste jaren; medewerkers weten dat ze zorgvuldig met persoonsgegevens om moeten gaan. Waar veel organisaties nog wel moeite mee hebben, is de uitwisseling van gegevens met andere partijen. Er is soms meer mogelijk dan mensen denken, maar het vereist wel de juiste afspraken en toetsen vooraf. De grote blinde vlek is dat informatiebeveiliging soms nog als een apart proces wordt gezien, in plaats van een integraal deel van de bedrijfsvoering. Ook zien we tegelijkertijd een soort afvlakking. Na jaren van investeren en er hard aan werken in diverse projecten, zien we steeds vaker dat de organisatie en het management het ‘nu wel goed genoeg’ vinden. Dat brengt ook nieuwe risico’s met zich mee. De rol van de security officer binnen organisaties is de afgelopen jaren flink veranderd. Hoe kijken jullie naar die ontwikkeling? De rol van security officer is inderdaad veranderd en vooral uitgebreid. Van technische zaken regelen naar meer integraal en over de processen heen denken. Ook is informatie- beveiliging een boardroomagenda-onderwerp geworden. Dat zie je ook aan het aantal keren dat we een RvC bijpraten over deze onderwerpen. Wat we helaas ook zien, is dat in- formatiebeveiliging nog vaak wordt gezien als een IT- onderwerp en privacy als een juridisch ding. Terwijl ze juist integraal met elkaar verbonden zijn. Hoe ga je hier als kleinere corporatie mee om, als je wellicht niet de middelen hebt om fulltime iemand aan te stellen? Dat is het nadeel van zowel informatiebeveiliging als privacy; het zijn onderwerpen die zich niet laten comprimeren en die je ook niet aan leveranciers over kan laten. Een minimale vereiste is er ook niet meer, we kunnen niet een beperkt li- jstje geven met wat er geregeld moet worden. Het is nu zaak om álle bouwstenen op hun plaats te hebben en deze slim en tegen de juiste prijs te organiseren. Zo kunnen organisaties zaken even goed, maar goedkoper organiseren. Hoe ondersteunt Audittrail corporaties op dit gebied? Als security of privacy officer ben je binnen een organisatie vaak de enige in jouw rol. Omdat je de expert bent, heb je weinig directe collega's die op jouw niveau kunnen meedenken. Dat maakt het vak soms eenzaam; je moet vaak zelf het wiel uitvinden of hopen dat een zoekopdracht de juiste, betrouwbare context biedt. Vanuit Audittrail vullen we dat gat met PRISM. Via onze helpdesk ontvangen we veel complexe vragen, waarbij we merken dat professionals behoefte hebben aan zekerheid en bevestiging. En mocht er onverhoopt toch een datalek ontstaan, dan ondersteunen we direct: van de officiële melding tot het informeren van huurders en stakeholders. Zo ben je weliswaar de enige expert binnen je organisatie, maar heb je via ons toch die extra collega. Daarnaast bevat PRISM praktische tools, zoals een DPIA-module en diverse self-assessments, waaronder de BIC 4.0 en ISO27001. Hiermee bieden we vooral tijdbesparing, zodat jij je kunt focussen op je belangrijkste kerntaken. Hoe zorg je ervoor dat informatiebeveiliging en privacy niet alleen een technisch of juridisch vraagstuk blijven, maar echt landen in de cultuur van een corporatie? Het antwoord is heel simpel en tegelijk heel moeilijk: blijven communiceren. Blijven uitdragen. De aanhouder wint, in dit geval. Aan het aantal hacks en datalekken dat in de media komen, kan het in ieder geval niet meer liggen. Maak daar – op de verschillende niveaus – ook dankbaar gebruik van. Als je vooruitkijkt: welke ontwikkelingen zullen de komende jaren het grootste stempel drukken op informatie- beveiliging en privacy binnen de corporatiesector? Dat zijn naar onze mening twee zaken. Ten eerste zullen hackers steeds meer gebruikmaken van AI. Dat maakt de aanvallen makkelijker en de verdediging moeilijker. We zien dat het gebruik van gestolen informatie in combinatie met AI zeer geloofwaardige aanvallen oplevert. Ook het gebruik van deepfakes wordt eenvoudiger met AI. De tweede zaak is de afvlakking van de aandacht: de organisatie vindt zich volwassen genoeg en er zijn weer andere onderwerpen die de aandacht opeisen. Logischerwijs zal dan de volwassenheid weer dalen. Tot er wat gebeurt. En dat wil je niet. Foto's: Rhalda Jansen