De illusie van bezuinigen op security

Organisaties staan onder druk om kosten te besparen. De neiging is groot om dan te snijden in zaken die op korte termijn niet zichtbaar zijn. Security is vaak een van de eerste posten die ter discussie komt. Maar wie denkt te kunnen bezuinigen op informatiebeveiliging, leeft in een illusie.

Dat zegt Brenno de Winter: boekschrijver en visionair op het gebied van informatiebeveiliging en privacywetgeving, én al veertig jaar actief in het vak als hacker en security-expert. Zijn boodschap is duidelijk: wie denkt op security te kunnen besparen, zet de organisatie juist extra op het spel.

“Snijden in veiligheid? Onmogelijk”, zegt Brenno de Winter
Brenno valt direct met de deur in huis: “Je kunt niet zeggen: we doen de komende twee jaar geen motoronderhoud meer. In de luchtvaart is dat ondenkbaar. Waarom zouden we dat met IT wel accepteren?” Veiligheid met data is geen afzonderlijk domein, maar verweven met alle onderdelen van de IT. Minder investeren betekent dus niet ‘een beetje minderen’, maar keuzes maken: welke systemen beschermen we nog en welke laten we los? Dat is geen financieel vraagstuk, maar een existentiële beslissing.

Minder systemen = minder risico én minder kosten
“Veel organisaties weten niet eens precies wat ze hebben. Risico's die je niet in kaart hebt gebracht, kun je niet beveiligen. Een wirwar van applicaties en datasystemen leidt niet alleen tot inefficiëntie, maar ook tot onnodige risico’s. Elk nieuw systeem betekent weer integratie, een beheerlaag en extra kwetsbaarheden. Door te standaardiseren, bijvoorbeeld één organisatiebreed BI-platform, bespaar je direct op licenties, beheer en koppelingen. Bovendien verklein je de kans dat er systemen ‘buiten beeld’ blijven die niemand beveiligt.”
Het begint bij overzicht: inventariseer wat er is, bepaal welke applicaties echt nodig zijn, en schakel de rest uit. Minder IT betekent minder attack surface, minder kosten en betere beveiliging. Kortom: minder kans op aanvallen.

Awareness is vaak het eerste slachtoffer
“Het eerste wat sneuvelt bij bezuinigingen is awareness. Dat zie je het minst, en dus lijkt het makkelijk te schrappen. Maar het is misschien wel de domste besparing.”
Generieke campagnes voelen vaak als verplicht nummertje, maar leveren nauwelijks gedragsverandering op. Toch is investeren in de menselijke kant essentieel: de meeste incidenten ontstaan door menselijk handelen. De kunst is om gerichte keuzes maken:
● Train medewerkers in functies met hoog risico, niet iedereen tegelijk.
● Gebruik korte, herhaalde interventies in plaats van lange modules.
● Meet gedrag: zijn mensen daadwerkelijk anders gaan werken?

Op die manier wordt awareness geen kostenpost, maar een investering met meetbaar rendement.

Waarom bestuurders zelf aansprakelijk zijn voor security
“De bezuiniging op security is een zelfgekozen bezuiniging. In andere sectoren zou dat nooit worden geaccepteerd.” Nieuwe wetgeving zoals de BIO, NIS2 en DORA maakt security tot een harde randvoorwaarde. Organisaties moeten structureel 15–20% van hun ICT-budget reserveren. Bovendien kan het bestuur persoonlijk aansprakelijk worden gesteld bij incidenten.

Dat vraagt om een cultuurverandering: security is geen technisch probleem dat bij de CISO hoort, maar een strategisch thema waar de directie zelf keuzes in moet maken.
Geen budget? Dan moet je systemen uitzetten
“De enige echte optie als je niet kunt investeren, is IT uitzetten die je niet meer wilt beveiligen. Alles door laten modderen zonder beveiliging is geen keuze.”
Toch zijn er wel degelijk manieren om slimmer om te gaan met beperkte middelen:
• Stop initiatieven zonder effect → campagnes of tools die niet bijdragen aan gedrag of veiligheid.
• Standaardiseer en consolideer → minder systemen betekent lagere kosten en meer grip.
• Leg governance vast → voorkom dat niemand weet wie waarvoor verantwoordelijk is.
• Investeer gericht in mensen → train de groepen die het meeste risico vormen.

Waarom veel CISO’s wakker liggen van bezuinigingen
“Als je als CISO’s wakker ligt van bezuinigingen dan gaat er iets niet goed. Het eigenlijk is en mag niet hun probleem zijn. Security is een verantwoordelijkheid van het bestuur.” De praktijk is dat veel CISO’s zich gevangen voelen tussen beperkte budgetten en steeds zwaardere verantwoordelijkheden. Brenno: “Het gesprek moet breder gevoerd worden. Alleen wanneer bestuurders hun rol pakken, kan security structureel op orde komen.”
Het doorbreken van deze angstcultuur begint met transparantie en het delen van verantwoordelijkheden. Pas dán kan de rol van de CISO weer gaan draaien om strategie, in plaats van brandjes blussen.

Op woensdag 24 september om 10.00 uur geven Brenno en Heleen samen een webinar over hoe je met creatieve oplossingen ook bij beperkte middelen een weerbare digitale gemeente bouwt.