Cybersecurity bij accountantskantoren en in de advocatuur verschilt van andere sectoren op één punt dat alles bepaalt. Bij een webshop raakt een datalek de klantgegevens. Hier raakt het de dienst zelf, want vertrouwelijkheid is waar de cliënt voor betaalt. Een overnamedossier, een fiscale constructie of een lopend geschil zijn precies het soort informatie waarmee iemand anders geld kan verdienen. Een kantoor dat dossiers laat uitlekken, verliest zijn bestaansreden. De gegevens zijn daarbij het kleinste verlies.
Dat besef zit er bij partners en bestuurders meestal wel in. Wat er zelden in zit, is het verband tussen die vertrouwelijkheid en de toegangsrechten die zij zelf over de jaren hebben verzameld. Cybersecurity bij accountantskantoren begint daarom bij een vraag die zelden wordt gesteld: wie kan eigenlijk bij welk dossier?
Aanvallers breken niet in, ze loggen in
Het NCSC opent zijn richtlijn over identiteits- en toegangsbeheer met de constatering dat aanvallers steeds vaker inloggen met legitieme inloggegevens. Gelekte of gecompromitteerde inloggegevens vormen volgens het NCSC een aantrekkelijk en relatief eenvoudig aanvalspad, en veel beveiligingsincidenten beginnen daar. Voor cybersecurity bij accountantskantoren is dat het scenario dat telt, omdat een kantoornetwerk zelden het echte doelwit is en het dossier wel.
Dat verandert de vraag die een kantoor moet stellen. De vraag is niet langer alleen hoe je mensen buiten houdt, want iemand die zich voordoet als een vennoot zit al binnen. De vraag wordt wat die persoon vervolgens kan bereiken, en dat is bij cybersecurity bij accountantskantoren doorgaans veel te veel.
Toegang die alleen maar groeit
Cybersecurity bij accountantskantoren stuit hier op een patroon dat het NCSC scherp benoemt: onvoldoende controle op gebruikersrechten leidt tot te ruime toegang, structurele privilege-accumulatie en onbeheerde accounts, wat direct misbruikkansen creëert.
Structurele privilege-accumulatie is een abstracte term voor iets heel herkenbaars. Loop de loopbaan van een willekeurige vennoot na en het wordt concreet, want bij cybersecurity bij accountantskantoren groeit toegang mee met een carrière.
| Moment | Wat erbij kwam | Wat eraf ging |
| Als starter | Dossiers van het eigen team | Niets |
| Bij promotie | Alle dossiers van de vakgroep | Niets |
| Bij een fusie | Het archief van het overgenomen kantoor | Niets |
| Als partner | Financiële systemen en HR | Niets |
| Bij een project | Tijdelijke toegang tot een klantomgeving | Niets |
| Vandaag | Toegang tot vrijwel alles | Nog steeds niets |
De rechterkolom is het probleem. Toegang wordt in deze sector zelden ingetrokken, omdat niemand het prettig vindt om een vennoot te vertellen dat hij iets kwijtraakt en omdat er meestal geen proces voor bestaat. Bij een vertrek of een overstap naar een ander kantoor wordt het account wel gesloten, terwijl de tussenliggende vijftien jaar aan opgebouwde rechten nooit tegen het licht zijn gehouden. Het gevolg is dat de mensen met de meeste toegang ook de mensen zijn die het vaakst gericht worden benaderd. Bij cybersecurity bij accountantskantoren valt het zwaarste risico dus samen met de hoogste functie.
Het NCSC adviseert periodieke herbeoordeling van rechten als vast onderdeel van het proces. Dat is een afspraak en geen technische maatregel, en juist daarom haalbaar voor een kantoor zonder eigen securityafdeling. Hoe misbruik van geldige accounts eruitziet werkten we uit bij identity-based aanvallen en je IAM-team. MITRE ATT&CK beschrijft de technieken die aanvallers daarbij gebruiken op basis van waargenomen aanvallen, wat helpt om te bepalen waar je op let.
De directie is de risicogroep
In de meeste organisaties zijn de medewerkers het grootste aanvalsoppervlak. Bij cybersecurity bij accountantskantoren en advocatenkantoren ligt dat anders, om drie redenen die samenkomen in dezelfde persoon.
De eerste is toegang, want een vennoot kan bij vrijwel alles. De tweede is tijdsdruk: die agenda is vol en beslissingen worden tussen twee besprekingen door genomen. De derde is statusgevoeligheid, want een verzoek van of aan iemand op dat niveau wordt zelden tegengesproken door een medewerker. Een secretaresse die vraagt of dat betaalverzoek klopt, gaat tegen de hiërarchie in, en dat is precies waar een aanvaller op rekent.
Die combinatie is precies wat fraude met betaalverzoeken aantrekkelijk maakt, zeker bij kantoren die transacties begeleiden en waar grote bedragen over derdengeldrekeningen lopen. IBM meldt in de Cost of a Data Breach Report 2026 een wereldwijd gemiddelde van 4,99 miljoen dollar per datalek, twaalf procent hoger dan het jaar ervoor, gedreven door kosten voor detectie, escalatie en omzetverlies. Dat laatste weegt in deze sector extra zwaar, omdat cliënten vertrekken. Hoe zulke berichten werken en hoe je ze herkent beschreven we bij business email compromise en detectie en bij phishing-detectie als teamdiscipline.
De praktische consequentie is ongemakkelijk: de groep die het lastigst vrij te maken is voor een sessie, is de groep die hem het hardst nodig heeft. Een training van twee uur voor twaalf mensen levert bij cybersecurity bij accountantskantoren meer op dan een campagne voor het hele kantoor.
Kleine IT-afdeling, grote verantwoordelijkheid
Een kantoor van tweehonderd mensen heeft vaak twee of drie IT-medewerkers, die ook de werkplekken beheren en de telefoons regelen. Securitywerk komt erbij zonder dat er tijd af gaat, en dat werkt niet. Cybersecurity bij accountantskantoren faalt vaker op capaciteit dan op kennis. Een deel van het beheer ligt vaak bij een externe partij, terwijl de verantwoordelijkheid voor de gegevens bij het kantoor blijft. Contractafspraken over toegang en logging zijn daarmee een securitytaak van het kantoor zelf.
Het NCSC adviseert om eerst je kroonjuwelen te bepalen: welke gegevens en systemen zijn het meest kritiek. Voor een kantoor is dat antwoord kort en helder, namelijk het dossiersysteem en de mailomgeving. Alles wat daarna komt is minder urgent dan die twee. Begin daar met de autorisatiematrix en accepteer dat de rest later volgt. Richt het toegangsbeheer daar eerst op in met een autorisatiematrix per applicatie, in plaats van overal tegelijk te beginnen. Dat maakt cybersecurity bij accountantskantoren behapbaar binnen een bestaande bezetting.
De principes die het NCSC daarbij noemt zijn least privilege en need-to-know: toegang beperken tot wat iemand voor zijn actuele werkzaamheden nodig heeft. In een kantoororganisatie betekent dat vooral dat afgeronde dossiers uit de dagelijkse toegang verdwijnen, en dat is technisch eenvoudiger dan het politiek is. Wie dat gesprek durft te voeren, heeft de grootste stap in cybersecurity bij accountantskantoren al gezet.
Wat dit vraagt aan vaardigheid
Cybersecurity bij accountantskantoren vraagt op twee niveaus iets anders. Voor de brede organisatie is de Cyber Awareness Training de basis, in acht of zestien uur en gericht op medewerkers zonder technische achtergrond. Secretariaat en financiële administratie verwerken de betaalverzoeken en zien de fraudepogingen als eerste, vaak dagen voordat iemand anders iets merkt.
Plan voor de directie en de vennoten een aparte sessie met eigen voorbeelden. Generieke awareness slaat bij deze groep zelden aan, een reëel scenario uit hun eigen dossierpraktijk wel. Gebruik een voorbeeld dat vorige maand echt is binnengekomen, ook als het toen goed afliep. Een herkenbaar bericht uit de eigen mailbox overtuigt sneller dan welk cijfer ook. Waarom de vorm daarbij zwaarder weegt dan de inhoud beschreven we bij awareness-training die niet werkt.
Voor de IT-kant loont het om één iemand op niveau te brengen die het toegangsbeheer beheert, de externe beheerder toetst en het aanspreekpunt wordt bij een incident. De opleiding Cyber Security Specialist brengt een technische medewerker in vijftien weken zover, met deeltijdvarianten voor kantoren die niemand volledig kunnen missen. De European Cybersecurity Skills Framework van ENISA helpt om vooraf te bepalen welk rolprofiel je eigenlijk zoekt. Welke medewerkers daarvoor geschikt zijn beschreven we bij IT-beheerders omscholen.
Beheer je meerdere vestigingen met eigen monitoring, dan ligt de opleiding SOC T1 + T2 Analyst in het verlengde. Voor de meeste kantoren is dat een stap te ver. Dan is de combinatie van awareness plus één opgeleide beheerder de verstandigste inzet, en daarmee is cybersecurity bij accountantskantoren voor een middelgroot kantoor goed te organiseren. Die afweging werkten we uit bij uitbesteden tegenover intern opbouwen.
Wat je deze maand kunt doen
Cybersecurity bij accountantskantoren begint met één lijst. Trek uit je dossiersysteem wie toegang heeft tot hoeveel dossiers, gesorteerd van hoog naar laag. Die lijst is doorgaans confronterend en het gesprek erover kost niets. Bespreek hem in het partneroverleg, want dat is de enige plek waar dit besluit kan vallen. Een IT-manager die dit alleen probeert door te voeren, verliest het gesprek binnen een week, omdat het over zeggenschap gaat en niet over techniek.
Spreek daarna één verificatieregel af voor wijzigingen in betaalgegevens: terugbellen op een nummer uit de eigen administratie, nooit op het nummer uit het bericht. Leg vast dat die regel voor iedereen geldt, ook wanneer het verzoek van een vennoot komt en ook wanneer het haast heeft. Zonder die laatste zin werkt de regel niet.
Plan tot slot de herbeoordeling van rechten als terugkerend agendapunt, bijvoorbeeld twee keer per jaar bij de dossierafsluiting. Koppel het aan een moment dat er toch al is, want een los proces zakt binnen een jaar weg. Cybersecurity bij accountantskantoren wordt zelden beter door een aankoop en vrijwel altijd door afspraken die iemand bijhoudt.
Op de pagina voor werkgevers staan de in-company mogelijkheden voor sessies op eigen locatie, het volledige opleidingsaanbod is per niveau geordend en de startmomenten staan op de agenda. Wil je bespreken hoe je dit voor jouw kantoor inricht, plan dan een kennismaking.
