Insiderdreigingen detecteren bij kleine bedrijven

Wat telt als insiderdreiging

Een insiderdreiging is het risico dat iemand met legitieme toegang die toegang — al dan niet opzettelijk — gebruikt om de organisatie te schaden. Het Amerikaanse Cybersecurity and Infrastructure Security Agency omschrijft een insider als iedere persoon die geautoriseerde toegang heeft of heeft gehad tot, of kennis heeft of heeft gehad van, de middelen van een organisatie, waaronder personeel, faciliteiten, informatie, apparatuur, netwerken en systemen. Het woord dat daar het werk doet, is geautoriseerde. Niemand hoeft in te breken.

CISA's centrale onderscheid is dat tussen onbedoelde en opzettelijke schade, en de organisatie benoemt daarnaast apart twee situaties die dwars door beide heen lopen. Dat levert vier labels op die u in de praktijk tegenkomt — goed om te weten, want de uitdrukking „de drie soorten insiderdreigingen” duikt overal op en komt niet overeen met de bron:

Dan nu het deel dat de meeste artikelen over dit onderwerp overslaan. Insiderincidenten zijn niet de meest voorkomende manier waarop een klein bedrijf met een datalek te maken krijgt, en u moet wantrouwend zijn tegenover iedereen die u het tegendeel vertelt. Verizon's 2026 Data Breach Investigations Report — gebaseerd op meer dan 31,000 werkelijke incidenten — trof interne actoren aan bij 12% van de datalekken, een daling ten opzichte van de 18% van vorig jaar. Het kleinbedrijf-panel van het rapport, dat organisaties met minder dan 1,000 medewerkers omvat, schrijft vrijwel alle datalekken toe aan externe actoren met een financieel motief.

Waarom hier dan toch een middag aan besteden? Omdat het kostenprofiel omgekeerd is. De 2026 Ponemon Institute and DTEX-studie Cost of Insider Risks ontdekte dat insiderincidenten gemiddeld 67 dagen nodig hebben om ze in te dammen, tegen ruwweg $747,000 per nalatig incident, $742,000 per kwaadwillend incident, en $842,000 waar een buitenstaander gestolen inloggegevens gebruikte. Insiderincidenten komen minder vaak voor dan phishing, maar ze lopen langer door voordat iemand het merkt, en wat naar buiten gaat, is meestal precies het materiaal waarop het bedrijf werkelijk is gebouwd.

Waarom vertrek het drukpunt is

Omdat het risico zich concentreert in een smal, voorspelbaar tijdvenster. Carnegie Mellon's Software Engineering Institute — de CERT-divisie die al twee decennia insiderzaken bestudeert — stelde het onomwonden in zijn analyse van zaken rond diefstal van intellectueel eigendom: de meeste insiders stelen intellectueel eigendom binnen 30 dagen na het verlaten van een organisatie. Die bevinding dateert uit 2011, en het is de moeite waard om die leeftijd te benoemen; toch heeft ze sindsdien standgehouden als het organiserende principe van insider-risicopraktijk, en elk telemetrierapport van leveranciers dat sindsdien is gepubliceerd, laat activiteit clusteren rond datzelfde vertrekvenster.

Die ene zin is operationeel bruikbaarder dan welke threat-intelligence-feed een klein bedrijf ook zou kunnen kopen. Het betekent dat u geen continue surveillance van iedereen nodig hebt. U moet weten wanneer iemand vertrekt, en kijken naar de juiste handvol signalen in de weken rond die datum.

Controleer de statistieken voordat u er beleid op baseert

Drie cijfers domineren elk artikel over datadiefstal door medewerkers, en elk ervan wordt aangehaald in een vorm die het overdrijft. Dit heeft praktische gevolgen: als u gelooft dat de helft van uw personeel gegevens steelt, koopt u het verkeerde en behandelt u mensen daarbij slecht.

• „45% van de medewerkers neemt gegevens mee bij vertrek.” Klopt, maar dit is de Amerikaanse deelgroep van een Tessian-enquête uit mei 2020. Het totaalcijfer in dezelfde studie was 34%, en het Britse cijfer was 23%. Die nuancering sneuvelt bijna elke keer dat het cijfer wordt aangehaald.
• „72% van de medewerkers neemt bedrijfsgegevens mee.” Dit berust op een verkeerde lezing. De 72% in het 2019-rapport van Code42 is het aandeel informatiebeveiligingsleiders dat het eens was met de houdingsuitspraak het is niet alleen bedrijfsdata, het is mijn werk — en mijn ideeën. Het is een bevinding over hoe mensen aankijken tegen eigenaarschap, niet over hoeveel van hen daadwerkelijk bestanden kopiëren.
• „63% bracht gegevens mee van een vorige werkgever.” Dit cijfer heeft een echte, vindbare bron — Code42's Global Data Exposure Report uit 2019, gepubliceerd in oktober 2019. Maar let op de populatie, wat dezelfde denkfout is waarop ook de 72% steunt: de respondenten waren 1,028 beveiligingsleiders en 615 zakelijke besluitvormers, geen dwarsdoorsnede van het personeel. En het beschrijft mensen die arriveren met gegevens, wat een ander risico is dan het risico dat u probeert te detecteren bij vertrek.

Het meest verdedigbare cijfer komt van Cyberhaven Labs uit 2022, en het is verdedigbaar juist omdat het waargenomen telemetrie is in plaats van zelfrapportage: bij ruwweg 1.4 miljoen medewerkers die gevoelige gegevens verwerkten, exfiltreerde 9.4% gegevens over een venster van zes maanden. De blogpost met dat cijfer is inmiddels offline gehaald — het onderliggende rapport bestaat nog als download achter een formulier — dus het is tegenwoordig het makkelijkst te verifiëren via destijds verschenen persberichtgeving. Behandel het hoe dan ook als gedateerd. Het onderzoeksrapport van DTEX uit 2023 stelt het aandeel vertrekkende medewerkers dat gevoelig intellectueel eigendom meeneemt op 12%.

Ook de richtlijn van CISA is het hier waard om te internaliseren: dreigingsbeoordeling moet gebaseerd zijn op gedrag, niet op profielen, en deze daden zijn zelden spontaan — ze volgen op een weloverwogen beslissing. Er is geen demografisch patroon om op te letten, en ernaar zoeken maakt u zowel fout als oneerlijk.

Hoe gegevens het bedrijf daadwerkelijk verlaten

Gegevens verlaten een klein Windows-netwerk via een korte, saaie lijst kanalen. Operationeel gaat het niet om het kanaal zelf, maar om de vraag of het een spoor achterlaat dat u achteraf kunt terugvinden — en voor verschillende ervan is het eerlijke antwoord dat dit niet zo is.

In MITRE ATT&CK-termen komen deze overeen met T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — MITRE's eigen beschrijving noemt Dropbox en Google Docs) en T1114.003 (Email Forwarding Rule). MITRE's detectieanalytiek voor het USB-geval is het aansluiten van een USB-apparaat, gevolgd door toegang tot en het verzamelen van grote hoeveelheden of gevoelige bestanden — precies Event 6416 gecorreleerd met 4663, en precies wat de volgende paragrafen opzetten.

Voordat u iets monitort

Voordat u ook maar één auditinstelling inschakelt, stelt u de kennisgeving op. Dit is geen compliance-voetnoot om later nog even af te handelen — in drie Amerikaanse staten is het een wettelijke verplichting die al geldt voordat de monitoring begint, en geen van die wetten kent een vrijstelling voor kleine werkgevers. Een bedrijf van tien mensen in New York valt er precies zo onder als een bedrijf van tienduizend.

De federale ondergrens, en de valkuil

De Electronic Communications Privacy Act vormt de federale ondergrens. Twee uitzonderingen doen het meeste werk voor werkgevers. De provider-uitzondering bij 18 U.S.C. § 2511(2)(a)(i) dekt onderschepping op uw eigen faciliteiten wanneer dit een noodzakelijk onderdeel is van de dienst of van de bescherming van de rechten of eigendommen van de aanbieder van die dienst. Afzonderlijk maakt § 2511(2)(d) van de federale wet een toestemming-van-één-partij-regeling: rechtmatig wanneer een van de partijen bij de communicatie voorafgaande toestemming heeft gegeven.

Het praktische voordeel — en dat is reëel, ook al is het niet het nette verhaal van één enkel document dat u soms hoort — is dat een ondertekende monitoringbevestiging dubbel dienstdoet. Federale wetgeving vereist geen toestemming wanneer de provider-uitzondering al van toepassing is, maar toestemming is de tweede, onafhankelijke route onder § 2511(2)(d), en beide hebben is een steviger positie dan op één van beide alleen te vertrouwen. Diezelfde handtekening voldoet tegelijkertijd aan de bevestiging die New York en Delaware vragen.

Het dekt echter niet alles, en drie hiaten zijn het benoemen waard. Een handtekening alleen voldoet niet aan de ophangplicht — New York vereist zowel de kennisgeving aan de muur als de bevestiging, en in Connecticut is de opgehangen kennisgeving de vereiste kennisgeving. De reikwijdte van de provider-uitzondering is door de rechtspraak ontwikkeld en geen scherpe grens, dus „wij zijn eigenaar van de laptop” is een sterk uitgangspunt, geen sluitend verweer. En als u gesprekken opneemt, controleer dan afzonderlijk de telefoontapwetgeving van uw staat: verschillende staten vereisen toestemming van alle partijen, wat strenger is dan de federale ondergrens.

Als u personeel in de EU hebt, keert het antwoord om

Onder de GDPR is de werkbare rechtsgrond voor monitoring op de werkvloer gerechtvaardigde belangen onder Article 6(1)(f) — niet toestemming. De Article 29 Working Party oordeelde in Opinion 2/2017 dat medewerkers vrijwel nooit in staat zijn om vrijelijk toestemming te geven, te weigeren of in te trekken, en dat toestemming hoogst onwaarschijnlijk een rechtsgrond is voor gegevensverwerking op het werk. Dit is precies het tegenovergestelde van de Amerikaanse positie, waar een handtekening uw sterkste verdediging is.

Gerechtvaardigde belangen vereisen een gedocumenteerde toets in drie delen — een specifiek doel, echte noodzaak zonder minder ingrijpend alternatief, en een belangenafweging tegen de rechten van medewerkers — en Article 21 geeft elke medewerker het recht van bezwaar. Een DPIA (gegevensbeschermingseffectbeoordeling) is verplicht wanneer monitoring systematisch is en waarschijnlijk een hoog risico met zich meebrengt, en nationale toezichthouders beschouwen continue monitoring van medewerkers daar consequent als zodanig. Article 88 staat lidstaten bovendien toe strengere nationale regels op te leggen, waardoor met name Duitsland, Frankrijk en Nederland verder gaan dan de GDPR-basis.

De kosteloze detectieopzet

Om de meest voorkomende exfiltratiekanalen te detecteren, kunt u beginnen met Group Policy-instellingen die standaard met Windows meekomen en niets kosten. Hier is de volgorde die de meeste dekking oplevert voor het minste werk.

1. Audit Removable Storage — de instelling met verreweg de hoogste waarde

Dit is degene die u als eerste inschakelt, en de reden is een detail dat Microsoft in zijn eigen documentatie vermeldt en dat bijna niemand herhaalt: er wordt een beveiligingsauditgebeurtenis gegenereerd voor alle objecten en alle typen gevraagde toegang, zonder afhankelijkheid van de SACL van het object.

Lees dat nog eens als u ooit hebt geprobeerd bestandsauditing op te zetten. Gewone bestandssysteemauditing doet niets totdat u system access control lists configureert op elke map die u belangrijk vindt — Microsoft is expliciet dat er geen auditgebeurtenissen worden gegenereerd voor de standaard bestandssysteem-SACL's. Audit Removable Storage slaat dat allemaal over. Schakel het in, en u krijgt een Event 4663 voor elk bestand dat van of naar een USB-apparaat wordt gelezen of geschreven, op elke machine, zonder configuratiewerk per map. Microsoft's richtlijn waardeert het als Success and Failure op zowel werkstations, memberservers als domeincontrollers, terwijl Audit File System slechts wordt gewaardeerd als „if needed”.

2. Audit PNP Activity — weet wanneer een apparaat verscheen

Deze bevindt zich onder Detailed Tracking, niet onder Object Access — een klein detail dat mensen tien minuten kost aan zoeken door de beleidsboom. Het produceert Event ID 6416, „A new external device was recognized by the System”, op Windows 10 en Server 2016 of later. De payload bevat het apparaatinstantiepad, leveranciers-ID's en een ClassName — filter op DiskDrive om opslag te scheiden van toetsenborden en muizen. Microsoft waardeert het volume als doorgaans laag en voegt een nuttige afstemtip toe: rapporteer wanneer het Subject Security ID niet SYSTEM is. Let op de beperking — 6416 registreert het aansluiten en inschakelen, niet het verwijderen, dus het vertelt u niet hoe lang een stick was aangesloten.

3. Audit Logon — vang het patroon van toegang buiten werktijd

Event ID 4624 registreert geslaagde aanmeldingen met een Logon Type: 2 voor interactief aan het toetsenbord, 3 voor netwerk, 10 voor RDP, 7 voor ontgrendelen. Microsoft onderschrijft deze toepassing expliciet: het kan nodig zijn om te monitoren op gebruik van een account buiten werktijd. Een type-10-aanmelding op zaterdagavond vanaf een account dat nog nooit in een weekend heeft gewerkt, is de goedkoopste alert met hoge signaalwaarde die u ooit zult bouwen.

4. SACL's, maar alleen waar ze het waard zijn

Voeg voor de twee of drie shares die werkelijk de kroonjuwelen bevatten een SACL toe en schakel Audit File System in. Eén kanttekening die het weten waard is: Microsoft's aanbevolen lijst van te monitoren toegangstypen dekt schrijven, verwijderen en rechtenwijzigingen — maar niet ReadData. Lezen is waar diefstal eruitziet, dus voeg het bewust toe. Microsoft waarschuwt ook tegen het overal inschakelen ervan, en terecht: SACL een hele bestandsserver en u verdrinkt, waarna u stopt met kijken — en dat is erger dan helemaal niet loggen.

5. Vergroot het log, en boek dan daadwerkelijk de controle in

Het standaard Security-log raakt snel vol zodra Event 4663-gebeurtenissen beginnen te stromen, en een log dat het bewijs al heeft overschreven, is geen beheersmaatregel. Vergroot eerst de omvang. Zet vervolgens een terugkerende maandelijkse afspraak in de agenda — USB-gebeurtenissen, aanmeldingen buiten werktijd, eventuele nieuwe doorstuurregels voor mailboxen. Detectie is een gewoonte, geen vinkje; logging die niemand leest, heeft nog nooit iemand betrapt.

Eén gratis toevoeging die de installatie waard is: Sysmon, uit Microsoft's Sysinternals-suite, vult verschillende van de hierboven genoemde gaten. Event 3 logt netwerkverbindingen die aan een proces zijn gekoppeld — het staat uit tenzij u het configureert — en Event 22 logt DNS-query's, waardoor een opzoeking naar een consumenten-bestandsdelingsdomein zichtbaar wordt. Event 9 vangt ruwe schijfleesbewerkingen op, waarvan Microsoft opmerkt dat ze worden gebruikt om tools voor bestandstoegangsauditing te omzeilen. Die drie zijn het waard om routinematig te draaien.

Sysmon kan ook klembordwijzigingen loggen (Event 24), en u doet er goed aan hier grondig over na te denken voordat u dit inschakelt. Klemborden bevatten wachtwoorden, persoonlijke berichten en gegevens van andere mensen, en het vastleggen ervan is een categorisch ingrijpender handeling dan loggen dat een bestand is verplaatst. Als u het wel inschakelt, vermeld dit dan expliciet in de monitoringkennisgeving in plaats van het onder een algemene omschrijving te laten vallen — de kennisgeving moet overeenkomen met wat u daadwerkelijk verzamelt, anders doet de kennisgeving zijn werk niet.

Wat Windows niet kan zien

Windows kan niet in versleuteld verkeer kijken, en die ene beperking bepaalt de grens van de gratis opzet. Hier eerlijk over zijn is belangrijker dan nog een lijst met functies, want een beheersmaatregel waarvan u ten onrechte denkt dat u die hebt, is erger dan een maatregel waarvan u weet dat die ontbreekt.

• HTTPS-payloads. Elke webmailupload, consumenten-cloudsync en berichtenapp is ondoorzichtig. U ziet misschien dat er een verbinding tot stand kwam; u ziet niet wat erdoorheen ging.
• Netwerkuitgaand verkeer met toeschrijving. Windows Firewall-logging staat standaard uit, en zelfs ingeschakeld registreert het verbindingstupels — niet welk proces of welke gebruiker.
• Welk bestand waarheen ging. Windows logt bestandsleesbewerkingen en netwerkverzendingen onafhankelijk van elkaar en correleert ze nooit. Het samenbrengen van die twee helften is precies waar data loss prevention-producten voor dienen.
• Een telefooncamera gericht op het scherm. Geen spoor, geen beheersmaatregel, geen product. Het is het oudste exfiltratiekanaal en nog altijd onopgelost.

Twee dingen die het internet verkeerd heeft

Ten eerste, sessieduur. Veel richtlijnen stellen voor om aanmeldgebeurtenis 4624 te koppelen aan afmeldgebeurtenis 4634 om te meten hoe lang iemand aan het werk was. Microsoft documenteert die toepassing, maar voegt een waarschuwing toe die de meeste artikelen weglaten: afmeldgebeurtenissen zijn niet voor 100 procent betrouwbaar. De computer kan bijvoorbeeld worden uitgeschakeld zonder correcte afmelding en afsluiting; in dat geval wordt er geen afmeldgebeurtenis gegenereerd. Sessieduur is een redelijke trend om naar te kijken; bouw er een harde alert op en die zal afgaan bij mensen die gewoon hun laptop hebben dichtgeklapt.

Ten tweede, afdruklogging. Het inschakelen van het operationele PrintService-log wordt vaak voorgesteld als een manier om vast te leggen wat er is afgedrukt. Het levert Event 307 op met de afdruktaak — maar de documentnaam wordt versluierd tot de letterlijke tekst „Print Document”, totdat u een aparte instelling wijzigt. Schakel het log in, druk een testpagina af, en controleer de naam voordat u erop vertrouwt.

Er circuleren ook twee veelgenoemde beweringen over USB-forensisch onderzoek — een reeks DriverFrameworks-event-ID's voor het aansluiten en loskoppelen, en een Partition-diagnosegebeurtenis die apparaatserienummers bevat — die in tientallen blogposts opduiken maar door Microsoft nergens worden gedocumenteerd, en het betreffende log staat standaard uitgeschakeld. Ze werken mogelijk best goed. Bouw er geen beheersmaatregel op zonder dit eerst op uw eigen hardware te testen.

Wanneer tooling zichzelf terugverdient

Tooling verdient zichzelf terug op het punt waarop de gratis opzet niet langer antwoord geeft op de vragen die u werkelijk stelt — meestal wanneer u zicht nodig hebt op versleutelde uploads, of wanneer het handmatig doorlopen van ruwe event-logs niet langer realistisch is. Hier is een eerlijke vergelijking op de schaal van 10 tot 50 pc's.

Het gat dat de meeste kleine bedrijven van de gratis laag afduwt, is niet detectievermogen maar leesbaarheid. Windows registreert moeiteloos duizenden Event 4663-gebeurtenissen; ze omzetten in „dit is wat deze persoon de afgelopen twee weken heeft gedaan” is handwerk dat niemand volhoudt. Dat is de taak die bekendgemaakte activiteitenmonitoring op bedrijfsmachines vervult — en dat werkt alleen, juridisch en cultureel, op de basis van bekendmaking die eerder is beschreven.

Waarvoor u ook kiest, pas het toe op iedereen op hetzelfde niveau in plaats van de persoon die u verdenkt eruit te lichten. Gerichte, geheime monitoring van één medewerker is waar het juridische risico zit, en het is ook de manier waarop u het vertrouwen kapotmaakt van de negen collega's die er later achter komen.

De vertrekchecklist en het eerste uur

Aangezien de meeste diefstal van intellectueel eigendom plaatsvindt binnen 30 dagen na vertrek, is de onderstaande checklist meer waard dan welke tool dan ook uit de vorige lijst. Iedereen zegt „trek de toegang onmiddellijk in”; bijna niemand schrijft op wat dat in de praktijk betekent.

• Schakel het account uit, verwijder het niet. Verwijderen vernietigt het auditspoor en elke mailbox die u later mogelijk nodig hebt.
• Trek actieve sessies en tokens in, niet alleen het wachtwoord. Een ingelogde sessie op een persoonlijke telefoon overleeft een wachtwoordwijziging.
• Controleer doorstuurregels voor de mailbox — zowel doorsturen op mailboxniveau als inboxregels. Regels kunnen zo worden aangemaakt dat ze niet zichtbaar zijn in Outlook, dus controleer serverzijdig.
• Haal het auditlog nu op, niet later. Microsoft 365 Audit (Standard) bewaart gegevens standaard 180 dagen — maar de verouderde admin-auditzoekfunctie reikt slechts 90 dagen terug, en de bewaartermijn verschilt per licentie. Exporteer wat u nodig hebt in plaats van erop te vertrouwen dat het er volgend kwartaal nog is.
• Koppel persoonlijke cloudsyncclients los van de machine en controleer welke mappen werden gesynchroniseerd.
• Ververs gedeelde inloggegevens — de wifisleutel, het gedeelde beheerdersaccount, de accounts waarvoor nog niemand de tijd heeft genomen om individuele logins in te stellen. In een klein bedrijf is dit meestal het langste onderdeel van de lijst.
• Haal de hardware terug, inclusief eventuele persoonlijk beheerde schijven of dongles, en leg vast wat is teruggekomen.
• Laat het apparaat van de vertrekkende medewerker twee weken onaangeroerd voordat u het opnieuw inricht, als het vertrek enigszins moeizaam verliep.
• Voer het exitgesprek met de overeenkomst over intellectueel eigendom bij de hand. Carnegie Mellon's CERT-divisie beveelt al lang aan om het exitgesprek te gebruiken om de vertrekkende medewerker door de overeenkomst te leiden die hij of zij heeft ondertekend, en deze opnieuw te laten bevestigen. Het kost tien minuten en het is het enige punt op deze lijst dat intentie aanpakt in plaats van gelegenheid.

Als u denkt dat het nu op dit moment gebeurt

Eerst behouden, dan onderzoeken, dan pas handelen — in die volgorde, want het natuurlijke instinct keert alle drie om.

1. Zet de machine niet uit. Uitschakelen verliest alles wat in het geheugen staat en kan opruimacties bij het afsluiten activeren. Isoleer het apparaat in plaats daarvan van het netwerk en laat het aanstaan.
2. Blader er niet doorheen. Elke map die u opent, overschrijft toegangstijdstempels — dezelfde metadata waarop u later zou willen vertrouwen. Als de kwestie mogelijk aan iemand wordt voorgelegd, laat dan eerst een image maken.
3. Leg de logs vast voordat ze worden overschreven. Exporteer meteen het Security-log van het endpoint en de relevante Microsoft 365-auditzoekopdracht.
4. Open nooit hun persoonlijke accounts. Opgeslagen inloggegevens in een bedrijfsbrowser geven u geen bevoegdheid, en het gebruik ervan is precies waar de sterke positie van een werkgever instort.
5. Schakel juridisch advies in voordat u iemand confronteert. Een gesprek op basis van onvolledig bewijs waarschuwt precies de ene persoon die nog dingen kan verwijderen — en als u het mis hebt, hebt u een medewerker beschuldigd van een misdrijf.

Niets hiervan vereist een beveiligingsteam. Het vereist dat u, voordat er iets gebeurt, besluit om de saaie versie goed te doen: de kennisgeving ondertekend op dag één, drie auditinstellingen ingeschakeld, een checklist die wordt doorlopen telkens wanneer iemand vertrekt, en een uur per maand daadwerkelijk besteed aan kijken. Dat is hoe insiderdreigingen detecteren eruitziet op deze schaal, en het ligt volledig binnen handbereik.

Veelgestelde vragen