Queen_fennec

Tot slot:

• mensen met wandelstokken vallen niet spontaan om zonder stok.
• mensen in een rolstoel zijn niet perse verlamt/kunnen geen tien meter lopen.
• vrijwel iedereen op een scootmobiel kan sowieso juist wél lopen. Een scootmobiel is niet geschikt voor mensen die rolstoelgebonden zijn om allerlei redenen.

Dat betekent niet dat we leugenaars of aandachttrekkers zijn. Er zijn een legio redenen waarom iemand een hulpmiddel kan hebben. Je bent er niemand mee tot last. En je gebruikt het zeker niet voor de lol.

Dat was hem! Dank! X/🧵

Als je dit allemaal hebt gelezen en geen mobiliteitsproblemen hebt: top. Ik hoop ook dat je het nooit nodig gaat hebben. Deel het draadje eens met mensen in je omgeving die misschien wel nog twijfelen.

En als je nou wil weten hoe je mensen met mobiliteitsproblemen kunt helpen, hier wat tips:

• bij liften, helemaal bij het OV, kijk achter je voordat je de deur dicht laat gaan of er iemand toevallig achter je aan komt die slecht ter been is. We zijn vaak wat trager en het helpt als iemand dan even de lift tegenhoud. Hoe vaak ik die deur niet NET voor neus dicht zie gaan...
• vraag ons gewoon mee met uitjes/wandelingen etc. Er is bijna altijd wel iets te verzinnen en we denken graag mee. Waar een wil is, is in mijn ervaring altijd een weg. Ik kan met alles meedoen. Beetje creatief denken!
• vraag niet "wat is er gebeurt?". Ik zelf vind het niet zo erg, maar ik ken genoeg mensen die dat een nogal persoonlijke vraag vinden.
• complimenten zijn tof! "Mooie wandelstok!" "Coole rolstoel!" 5/

1. Wie nu nog koud security professionals er van durft te beschuldigen "de taal van de bestuurder" niet te spreken, terwijl er een Cbw ligt waarin klaar staat dat bestuurders juist verantwoording moeten leren nemen rondom security, is naar de verkeerde aan het wijzen.

Wanneer gaan we bestuurders aanspreken op hun gebrek aan aandacht en basiskennis op securityvlak en stoppen de experts de schuld hiervan te geven?

1. Data opslag houden "binnen Europa" als oplossing voor soevereiniteit is... naïef en hilarisch.

Waarom? Dat heeft @bert_hubert@eupolicy.social uitstekend uitgelegd hier: https://berthub.eu/articles/posts/servers-in-de-eu-eigen-sleutels-helpt-het/

1. "Een AI agent kan binnen 1 minuut je hele bedrijfsdata weggeven." Dat kan alleen als je geen RBAC toepast. Weet je wie er trouwens ook in 1 minuut je hele bedrijfsdata kan weggeven? Elke random medewerker als je geen RBAC toepast.

Hoe zouden we dit kunnen oplossen? 🤔

Hmmm... I dunno... RBAC???

5/

Okay, ik ga toch wat van mijn mening geven.

Wat ik goed vind:

• aandacht voor geopolitieke risico's nadrukkelijk
• expliciet besproken dat ZBOs er ook onder vallen
• poging tot centrale regie via CIO/CISO Rijk

Wat ik denk dat beter zou kunnen:

• uitzonderingen zijn nu relatief makkelijk. Je hoeft het alleen min of meer te melden. Dat is als het ware de 'joker' waarmee je het volledige beleid eigenlijk kunt negeren. Het zou moeilijker moeten zijn om af te wijken. Bijvoorbeeld de toets voor emails in publieke cloud met accorderen door minister en stas digi zou voor alle afwijkingen moeten gelden (naar mijn mening). Of als dat te zwaar is, dan CISO Rijk bijvoorbeeld.
• er zijn sowieso teveel uitzonderingen naar mijn smaak. Binnen 4 jaar implementeren. Tenzij kosten, risico's etc etc. Ik snap het allemaal wel. Dit is een politiek gevoelig iets waar ministeries het moeilijk over eens raken. Maar toch.

Iemand moest hem maken.

Its only funny, because its true.

https://www.theexploit.co/articles/cybersecuritys-hottest-new-go-to-market-strategy-refusing-to-launch

Het is zondagavond. Ik heb rebel society ontdekt. En martini's.

👌

1. Er zijn geen "duizenden kwetsbaarheden" gevonden door Mythos. Vooralsnog kunnen we er ongeveer 112 bewijzen. Daar is namelijk een handige tracker voor gemaakt.

Kijk maar: https://github.com/patrickmgarrity/Anthropic-Credited-CVEs

Voor wie het in cijfers wil: https://www.linkedin.com/posts/patrickmgarrity_aisecurity-infosecurity-cybersecurity-activity-7473460797197664256-m-s_?utm_source=share&utm_medium=member_android&rcm=ACoAAAuRQPIBlxkqeaXmulrMbAE_1wXquWhsLBk

Op het platform waar we allemaal meningen over hebben, maar waar ik meer tekst kwijt kan en media kan taggen, heb ik meer invulling gegeven aan de term 'claudeviool' door een prachtig exemplaar hiervoor als voorbeeld aan te dragen.

https://www.linkedin.com/posts/fleur-van-leusden-356bb054_als-media-is-het-onmogelijk-om-op-alle-verschillende-activity-7464969944326197249-rNTe?utm_source=share&utm_medium=member_android&rcm=ACoAAAuRQPIBlxkqeaXmulrMbAE_1wXquWhsLBk

3/

☁️ 3.2 Exitplannen Je moet twee smaken exit-plan hebben.

1. Geplande exit: variant waarbij je op enig moment zelf besluit te vertrekken om whatever reden.
2. Plotselinge disruptieve onderbreking: scenario waarin de leverancier plotseling de stekker uit de dienstverlening trekt en je volledige toegang definitief kwijt bent.

☁️ 3.3 Melding en beoordeling Materieel cloudgebruik moet je vooraf melden bij CISO Rijk icm risicoafweging en exitplannen (maar die laatste mag je ook naleveren). Deze gaat dan kijken of alles conform beleid is en kan aanwijzingen geven (maar onduidelijk of die aanwijzingen bindend zijn of niet).

Lees de hele column nu:
https://www.securityinnovationstories.com/het-duivelse-dilemma-bij-ransomware-is-een-excuus-om-betalen-goed-te-praten/

/2

Nou, hebben we dat alvast gehad. Gaan we naar de highlights wat betreft inhoudelijk.

☁️ 3.1 Risicoafweging 🔎 Risico's moet je beoordelen op basis van BIV scores en Te Beschermen Belangen 🔎 Bij verwerking van persoonsgegevens moet een DPIA uitgevoerd worden (niet gespecificeerd welke aantallen/voorwaarden. Dus onduidelijk of het ook moet als je 1 persoonsgegeven gaat verwerken). Bij een verwerking in een "derdeland zonder adequaatheidsbesluit" moet een DTIA volgen. 🔎 De risicoafweging moet naast beveiliging, continuiteit en privacy expliciet meenemen:

• Geografische regio van de verwerking en opslag van gegevens
• Welke rol in beveiliging en continuiteit de leverancier heeft en hoe dit is geborgd.
• Hoe de controle en rapportage hierover geregeld is.
• Het risico op buitenlandse inmenging.
• De kans dat de leverancier misbruik maakt van een afhankelijkheidspositie.

1. De CSR "maakt" geen 690 miljoen "vrij". De CSR is een adviesorgaan aan de regering.

Interessant om voor de lulz eens te zien wat voor kleurrijk pluimage aan mensen daar trouwens een zetel in heeft. En ook de hoeveelheid mensen verbaasd mij persoonlijk nog altijd. Maar dat is even besides the point.

Punt is: de CSR heeft helemaal geen geld om "vrij te maken".

Pluimage CSR leden: https://www.cybersecurityraad.nl/over-de-csr/leden-csr

Preview! Aanstaande woensdag vanaf 7 uur is de aflevering van CISO praat te beluisteren met OG hacker/lockpicker Jos Weyers. Bekend van o.a. @angrynerdspodcast@mastodon.nl .

Over lockpicken de cyberz!

IT-ers hebben een vrij directe communicatiestijl. En dat is heel belangrijk. Maar soms minder handig.

Hoe wissel je die af en wanneer? Luister/kijk nu naar de nieuwste aflevering van CISO praat:
https://anchor.fm/s/e80c0bf0/podcast/play/119041499/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-3-25%2Ff90e2bf0-0974-6a51-132a-bcc05a59d7cd.mp3

Nieuwe column in de maak...

De aflevering met Jos, bekend van o.a. @angrynerdspodcast , is nu te luisteren.

https://anchor.fm/s/e80c0bf0/podcast/play/116192152/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-1-28%2F47851b7d-5d6d-2dcb-f7f9-3e20824b1e3f.mp3

Voor we beginnen:

• voor bestaand cloudgebruik geldt een overgangstermijn van 4 jaar om aan het herziene beleid te voldoen (maar mag langer indien lopende contracten of als het eerder voldoen "te hoge kosten of risico's" met zich zou meebrengen)

• Zelfstandig bestuursorganen (ZBO's), zoals de Kiesraad, moeten dit beleid volgen, maar Hoge Colleges van Staat niet.

• Zodra we een soevereine overheidscloud hebben gaat dit beleid op de schop.

• Afwijken van het beleid mag alleen in overleg met je kerndepartement en melding vooraf bij CIO Rijk en eventueel daarna nog CISO Rijk.

• "Materieel cloudgebruik" = cloudgebruik voor je primaire processen. Het overgrote deel van dit beleid geldt niet voor je bedrijfsvoering.

1/