Fraude wordt slimmer, persoonlijker en digitaler. Gemeenten zitten er middenin: als mogelijke prooi én als partij die inwoners en ondernemers weerbaar kan maken. Frank van Summeren van RONT Management Consultants traint al jaren overheden in de aanpak van cybercrime en fraude. Zijn kernpunt: stop met alles tegelijk willen doen. Richt je op wat écht werkt en op wie het meeste risico loopt.
Van offline naar online, en het wordt geraffineerder
Frank ziet al jaren hoe criminaliteit verschuift. “Criminaliteit is meeverhuisd: van straat naar scherm. Die online component zit er inmiddels bijna altijd in.” Tegelijkertijd worden fraudeurs professioneler. Waar fraude vroeger soms nog doorzichtig was, is het nu steeds vaker maatwerk. “Het is allang niet meer die slordige phishingmail. Ze doen onderzoek, kennen hun doelwit en maken het verhaal kloppend.”
Het digitale component is niet meer weg te denken, zegt Frank. Maar dat betekent niet dat je alleen maar high-tech oplossingen nodig hebt om je te beschermen. Een groot deel van de schade kun je voorkomen met voor de hand liggende organisatie-inrichting. Een voorbeeld: het vier-ogenprincipe. “Met een paar extra ogen vang je verrassend veel af. Zeker bij betalingen: dan zie je sneller dat er iets niet klopt. En minstens zo belangrijk: denk na over wat je online prijsgeeft. Alles wat jij deelt, kan voor een ander een puzzelstukje zijn. Voor jou onschuldig, voor een tegenpartij goud waard. Niet alleen contactgegevens, maar óók procesinformatie: wie doet wat, hoe loopt een aanvraag, waar zitten de knoppen.”
De vergeten risicofactor: processen en insider threat
Fraude komt niet alleen van buiten de organisatie. Frank benoemt ook het risico van misbruik via de binnenkant, ‘insider threat’. Denk aan waardevolle producten of diensten waar criminelen op azen, zoals documenten en legitimatiebewijzen via gemeenten. “Met hulp van binnenuit kun je iets maken dat ‘echt’ lijkt, omdat het ook echt uit het systeem komt.” Hoe kun je dat het beste tegengaan? Frank legt uit:
“Fraude tegengaan? Knip processen op, bouw checks in. Ja, dat kost efficiëntie. Maar het levert controle op. En controle is weerbaarheid.”
De grootste misvatting bij gemeenten: de rol is breder dan ‘alleen je eigen ICT’
- Voorkomen dat je als gemeente zelf gedupeerde wordt.
- Aandacht voor vitale/essentiële partijen in je omgeving (ketenafhankelijkheid).
- Weerbaarheid van inwoners en MKB-ondernemers.
- Omgaan met online aangejaagde ordeverstoringen.
“Iedereen doet aan preventie en juist daardoor verlies je focus. De vraag is: wie doet wat, en voor wie?”
Daarom pleit hij voor gerichter werken: ga je alle burgers en alle ondernemers proberen te bereiken, of richt je je bewust op groepen waarvan je weet dat ze vaker de dupe zijn?
Wat gemeenten écht wakker schudt
Frank noemt twee typen incidenten die bestuurders direct in beweging krijgen, namelijk: “Datalekken en ransomware. Dit zijn allebei wakker-schudders, omdat ze direct raken aan vertrouwen én dienstverlening. Datalekken zijn meer dan reputatieschade: gemeenten hebben veel gevoelige informatie. Die data gaat over echte mensen. Als dat in verkeerde handen valt kan het direct misbruikt worden, juist tegen kwetsbare inwoners.”
Ransomware of andere verstoringen raken juist de dienstverlening. “Op het moment dat je processen stilvallen, merken inwoners het meteen. Dan wordt digitale veiligheid ineens heel tastbaar.” Zijn punt is niet alleen ‘voorkomen’, maar ook: wat als het toch gebeurt? “Je kunt nooit alles uitsluiten. De vraag is: hoe blijf je operationeel op je meest essentiële processen?”
De sleutel is volgens hem de informatiepositie: weten waar risico’s zitten, waar mensen en organisaties vaker gedupeerd raken en welke aanpak het meeste oplevert. “Als je gericht wilt investeren, moet je weten waar het misgaat en bij wie. Zonder informatiepositie blijft het gokken.” En daar ziet hij kansen om informatie te benutten die er al is, zoals meldingen en inzichten uit de praktijk.
“De Fraudehelpdesk ziet terugkerende patronen in meldingen. Als je die inzichten slim benut, kun je beleid en preventie gerichter inzetten.”
Routekaart: 3 stappen die gemeenten nú kunnen zetten
Als Frank gemeenten één routekaart mag meegeven om fraude én digitale weerbaarheid te versterken, dan begint het niet met hulpmiddelen, maar met fundament en routine:
- Breng je informatiepositie op orde: “Weet waar je kwetsbaar bent: in doelgroepen, processen én dreigingen. Dáár begint het.”
- Kies maatregelen op basis van kennis en bewezen aanpakken: “Gebruik best practices en lessons learned. Je hoeft het wiel niet in je eentje uit te vinden.”
- Blijf continu verbeteren: “Dit stopt niet. Tegenstanders ontwikkelen door, dus jij moet dat ook.”
Frank van Summeren is partner bij RONT Management Consultants en helpt veiligheidsprofessionals werkzaam bij de (semi) overheid en het bedrijfsleven bij vraagstukken rond risicomanagement en cyberweerbaarheid.