E-mail is nog altijd het meest gebruikte communicatiemiddel in zorg, overheid en bedrijfsleven. Maar het is óók de grootste bron van datalekken. Elk jaar worden de risico’s duidelijker en zichtbaarder (toename datalekken, phishing en cybercrime, etc.).
De markt bewoog echter in de tegengestelde richting en koos massaal voor gemak en kostenbesparing – en daarmee voor minder veiligheid. De zogenaamde race to the bottom werd ingezet. Zelfs grote overheidsorganisaties, waarvoor optimale veiligheid cruciaal is, vroegen om oplossingen die vooral goedkoop en eenvoudig te beheren waren. Oplossingen waarbij de gebruiker omwille van gebruiksvriendelijkheid weinig merkt en weinig handelingen hoeft te verrichten – maar die ook weinig bescherming bieden.
Wij bij Zivver zagen deze ontwikkeling met lede ogen aan.
Voorbeelden genoeg. Leveranciers die onderstaande bad practices hanteren zijn jammer genoeg niet langer meer de uitzondering, maar de regel.
Is dat een serieuze basis voor het versturen van medische dossiers, juridische stukken of vertrouwelijke communicatie binnen de overheid? Natuurlijk niet. En toch gebeurt het al jarenlang zonder dat iemand écht heeft ingegrepen.
Veel van jullie hebben het artikel op Follow the Money gelezen, waarin Zivver centraal stond. Het positieve effect: bestuurders, CISO’s, FG’s, CIO’s, security-architecten en auditors kijken weer scherper naar e-mailveiligheid – zowel bij organisaties die Zivver gebruiken als bij die met andere oplossingen. Niet meer vanuit de vraag: “heb ik een vinkje Veilig Mailen?”, maar vanuit de kernvraag: “begrijp ik de risico’s écht, en pakt de oplossing die ik gebruik die risico’s ook daadwerkelijk aan?”
De afgelopen weken is Zivver intensief doorgelicht door klanten, auditors, toezichthouders en security-experts. Geen oppervlakkige check, maar meer dan honderd diepgaande vragen over onder meer encryptie, key-management, juridische waarborgen, Cloud Act/FISA, incidentafhandeling, metadata, post-quantum en audits.
De conclusie van toonaangevende partijen als Z-CERT (zorg), de Informatiebeveiligingsdienst van de vereniging van Gemeenten (IBD) en ministeries en toezichthouders die wij spraken is tot nu toe eensgezind: er zijn geen verhoogde risico’s gevonden. De architectuur is veilig en passend bij een cloudoplossing voor Veilig Mailen waarbij het voorkomen van datalekken centraal staat, de encryptie sluit toegang door buitenlandse overheden en hackers tot opgeslagen berichten en bestanden uit en Zivver levert wat is afgesproken.
Dat is waardevol; niet omdat het Zivver betreft, maar omdat het bewijst dat aannames doen zonder dialoog gevaarlijk en het tegenovergestelde effect kan hebben, dat een kritisch controleren werkt, van toegevoegde waarde is; cruciaal zelfs. Dankzij de gesprekken met experts, klanten en stakeholders staan de relevante vragen die iedere klant aan zijn leverancier dient te stellen, scherper dan ooit op ons netvlies.
Zoveel experts, zoveel meningen. Maar over deze negen essentiële eisen was men opvallend eensgezind. Ze volgen rechtstreeks uit ISO 27001, NEN 7510 (zorg) en de BIO (overheid). Waar relevant staan de bijbehorende paragrafen erbij (de nummering is in alle normen gelijk):
Bij deze vragen geldt: neem geen genoegen met mooie woorden. Vraag door: Hoe werkt dit precies? Hoe effectief is het? Hoe kan de leverancier dat aantonen? Denk aan automatische classificatie: hoe wordt die écht gedaan? Of versleuteling: welke waarborgen zijn er? En als een mail veilig wordt verstuurd — via welke server loopt dat dan?
De praktijk wijst uit dat het verschil tussen marketing en werkelijkheid vaak schokkend groot is. Organisaties die kozen voor ‘makkelijk veilig mailen’ komen zelden verder dan drie of vier van de negen eisen. En dát is precies het probleem.
Er is één ding dat organisaties zich moeten realiseren: de tijd dat e-mailbeveiliging een bijzaak was, is voorbij. In een tijd van, terechte, verhoogde aandacht van de politiek, media, toezichthouders en de maatschappij, is e-mailbeveiliging een dossier waarop bestuurders en eindverantwoordelijken publiekelijk afgerekend kunnen worden. E-mailveiligheid is geen speeltje meer – het is een hygiënefactor, een basisvoorwaarde.
Wie nu niet de juiste keuzes maakt, neemt niet alleen een risico voor de eigen organisatie, maar ook voor de samenleving. Want elke keer dat gevoelige informatie onbeschermd wordt verstuurd, wordt het vertrouwen in digitale communicatie verder uitgehold.
Hoewel er veel aan te merken was op het artikel van Follow the Money (zie daarvoor de FAQ op onze website), is media-aandacht voor dit onderwerp goed. Meer is nodig, dan kan de race to the bottom worden doorbroken. Dan gaat het gesprek niet meer over “vinkjes” en “zo goedkoop mogelijk”, maar over de kernvraag: “hoe zorgen we dat de risico's in e-mail, ons meest gebruikte communicatiekanaal, zo effectief mogelijk wegnemen en we daarmee kunnen zeggen dat we veilig mailen?”
Denk goed na over bovenstaande eisen en stel jezelf de juiste vragen. In ieders belang. Heb je vragen of twijfels — over je huidige oplossing, over de eisen, of juist over óns? Neem gerust contact met ons op. We gaan het gesprek graag aan, helpen je de juiste vragen te stellen en ondersteunen bij het gesprek met je leverancier of auditor.
Dit is hét moment om e-mailbeveiliging structureel naar een volwassen niveau te tillen — niet straks, maar nu.