“Het is een dagelijks kat-en-muisspel”

Eli Backs:

Als teamleider van het Security Operations Center (SOC) waakt Eli Backs met zijn mensen dag en nacht over de digitale omgeving van DPG Media. “We zien onszelf een beetje zoals een politiedienst”, zegt Backs. “We onderzoeken, beschermen en adviseren. Ons doel is simpel: problemen voorkomen voordat iemand er last van heeft.”

Het SOC verwerkt elke dag enorme hoe­veelheden gegevens. “Eigenlijk doen we wat een alarmsysteem thuis ook doet: we kijken voortdurend of iemand probeert binnen te komen waar dat niet mag. Denk aan phishingmails of pogingen om systemen te misleiden.”

Het is daarbij belangrijk te begrijpen welke soort aanvallers actief zijn. “Soms zijn het cybercriminelen die snel geld willen verdienen. Soms activisten die willen protesteren. En steeds vaker zijn het zeer professionele groepen, soms zelfs gesteund door landen. Dat maakt het speelveld complexer.”

“De meeste aanvalspogingen zien collega’s nooit, en dat is precies de bedoeling. Cyberaanvallen zijn veel professioneler dan vroeger. Je hoeft zelfs geen technisch expert meer te zijn om een aanval te kunnen kopen op het dark web. Daardoor blijft het aantal bedreigingen groeien.”

“Hackers zijn opportunisten. Ze kiezen voor het gemakkelijkste doelwit. Daarom zorgen wij ervoor dat DPG Media zo onaantrekkelijk mogelijk wordt voor hen. We onderzoeken elk signaal, hoe klein ook. Het is vooral een kat-en-muisspel. Aanvallers passen zich voortdurend aan, en wij ook. Ons werk is nooit af.”

Gert Leenders:

DPG Media sloot enkele jaren geleden zijn eigen datacenters en verplaatste de IT-infrastructuur grotendeels naar de cloud. Dat was goed voor de innovatie: de cloud maakt het makkelijker om snel nieuwe ideeën te ontwikkelen en uit te rollen. Deze grote verandering zorgde er wel voor dat de rol van security veranderde.

“Beveiliging is niet langer alleen een taak van één centrale afdeling, maar van alle IT-teams”, zegt Gert Leenders. “We kijken nu direct bij de start van elk project naar de veiligheid. Zo kunnen we kwetsbare plekken vroeger detecteren, werken we proactiever en het scheelt ook in de kosten.”

Die verscherpte aandacht voor security is geen overbodige luxe. “Een mediabedrijf als DPG Media is voor kwaadwillenden bijzonder interessant. We hebben een groot bereik en zijn zeer zichtbaar. In dit tijdperk van desinformatie en onzicht­bare propaganda zijn we daarmee een aantrekkelijk doelwit. Bovendien evolueert technologie razendsnel. De opkomst van AI vergroot de mogelijkheden voor cyberaanvallen, terwijl onze infrastructuur complexer wordt door de groei van ons bedrijf.”

“Om deze uitdagingen het hoofd te bieden, hebben we de SecDevOps-community opgericht. Daarin werken bouwers (Development), beheerders (Operations) en beveiligers (Security) nauw samen. Het doel: beveiliging direct inbouwen in plaats van achteraf toevoegen. Teams die hun zaken goed op orde hebben, krijgen hiervoor erkenning. Zo houden we onze systemen modern én veilig.”

​​​​​​​Sofie Delaruelle:

Sofie Delaruelle is IT Risk Controller. Samen met het team voert ze uitgebreide checks uit. “Voor elke app of tool die we bouwen of beheren, beantwoorden de beheerders 350 vragen”, zegt Delaruelle. “Zo weten we zeker dat alles aan onze strenge veiligheidseisen voldoet en waar we eventueel nog zaken moeten verbeteren.”

Deze checks duren vaak meerdere dagen en helpen niet alleen risico’s op te sporen, maar vergroten ook het bewustzijn rond cybersecurity. “Zo’n lijst van 350 vragen zet mensen aan het denken. Soms ontdekken ze dingen waar ze nog niet eerder bij hebben stilgestaan. Kwetsbaarheden worden toegewezen aan een verantwoordelijke binnen de organisatie, zodat er actie ondernomen wordt. Ook ons werk is dus proactief: voordat er iets zou kunnen gebeuren, nemen we al maatregelen.”

“Wij houden ook toezicht op de veiligheid van externe partijen. DPG Media werkt met veel softwareleveranciers. Voordat we een samenwerking starten, onderzoeken we of een leverancier voldoet aan onze beveiligingseisen. Zijn er grote problemen die niet opgelost kunnen worden, dan adviseren wij om niet samen te werken. Op die manier beschermen we de organisatie tegen bedreigingen via externe partijen.”

Daarmee draagt het team ook bij aan een cultuur waarin iedereen binnen DPG Media bewuster omgaat met IT-beveiliging. “Het is een verantwoordelijkheid die we samen dragen.”