Insider threat detectie mislukt in Nederland zelden op techniek en bijna altijd op organisatie. Het securityteam ziet dat een account om half twee ’s nachts vierhonderd bestanden downloadt, maar weet niet dat die medewerker vorige week te horen kreeg dat zijn contract niet verlengd wordt. HR weet dat wel en heeft geen idee dat het relevant is. Het Data Breach Investigations Report 2026 van Verizon laat zien dat interne actoren bij een aanzienlijk deel van de datalekken betrokken zijn, met uitschieters in sectoren als de publieke sector waar dat aandeel richting 44 procent gaat. Het merendeel daarvan is geen sabotage maar een fout of een verkeerde inschatting.
Het onderscheid dat elk programma moet maken
Insider threat detectie begint bij het onderscheid tussen drie soorten insiders, die elk om een ander antwoord vragen. De onbedoelde insider maakt een fout: verstuurt een bestand naar het verkeerde adres, zet klantgegevens in een AI-tool, laat een laptop in de trein liggen. De nalatige insider omzeilt bewust regels omdat ze het werk vertragen, zonder kwade bedoelingen. De kwaadwillende insider handelt met opzet, meestal uit financieel motief of wrok.
Die verhouding is scheef, en dat bepaalt waar insider threat detectie zijn aandacht hoort te leggen. Verreweg de meeste incidenten komen uit de eerste twee categorieën, terwijl vrijwel alle aandacht en tooling naar de derde gaat. Een programma voor insider threat detectie dat begint bij de aanname van kwade opzet, richt zich dus op de kleinste groep en beschadigt onderweg het vertrouwen dat je nodig hebt om de andere twee categorieën aan te pakken.
Het praktische gevolg: de grootste winst zit in betere processen en duidelijker afspraken, niet in monitoringsoftware. Dat is dezelfde afweging die we beschreven in ons artikel over information security structureel verbeteren, waar training structureel meer oplevert dan een extra product.
Wat de Nederlandse wet je verplicht voordat je begint
Hier gaan veel organisaties bij insider threat detectie de fout in. Insider threat detectie raakt direct aan personeelsvolgsystemen, en die zijn in Nederland stevig gereguleerd. De Autoriteit Persoonsgegevens legt in haar handreiking voor ondernemingsraden uit dat de werkgever instemming van de OR nodig heeft voor elke regeling gericht op waarneming van of controle op aanwezigheid, gedrag of prestaties van medewerkers. Een systeem dat daar geschikt voor is telt al mee, ook als je het er in de praktijk nog niet voor gebruikt.
Dat criterium is breder dan de meeste teams die aan insider threat detectie werken vermoeden. Logging van wie welk gevoelig dossier inziet valt eronder. Software die e-mailverkeer of internetgebruik registreert valt eronder. Een systeem dat toegang met een badge vastlegt valt eronder. Wie een detectieprogramma opzet zonder de OR te betrekken, bouwt een juridisch probleem in het fundament.
Daar komt de DPIA-plicht bij. De AP stelt dat het grootschalig of systematisch verwerken van persoonsgegevens om activiteiten van medewerkers te monitoren op de lijst staat van verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling verplicht is. Ook heimelijke controle kent harde grenzen: structurele heimelijke observatie is niet toegestaan, en incidentele heimelijke controle mag alleen bij een redelijke verdenking, nadat andere middelen zijn uitgeput en er een zwaarwegend belang van de onderneming speelt.
Nog een bepaling die zelden wordt meegenomen: een personeelsbeoordeling mag niet uitsluitend gebaseerd zijn op gegevens uit een volgsysteem, en medewerkers moeten kort na de observatie kunnen reageren op de resultaten, waarbij hun visie bij die resultaten wordt gevoegd. Voor insider threat detectie betekent dit dat een signaal nooit rechtstreeks een personeelsdossier in mag rollen zonder wederhoor.
Het protocol: wat HR meldt aan security, en wat niet
De oplossing binnen insider threat detectie is geen gedeelde toegang tot elkaars systemen. HR moet geen SIEM-dashboard krijgen en security moet geen inzage krijgen in functioneringsdossiers. Wat wel werkt is een smalle, vooraf vastgelegde set gebeurtenissen waarbij HR een signaal doorgeeft, zonder inhoudelijke onderbouwing.
Vier meldmomenten zijn voor werkbare insider threat detectie voldoende. Een vertrek is aangezegd of een opzegging is ingediend. Een medewerker is betrokken bij een formeel escalatietraject. Een functiewijziging brengt een verandering in toegangsrechten met zich mee. En een externe of tijdelijke kracht nadert het einde van de opdracht. In alle vier de gevallen geeft HR alleen door dat de situatie speelt en per wanneer, niet waarom.
Dat laatste is het scharnierpunt. Security hoeft niet te weten dat iemand een conflict heeft met zijn leidinggevende; security hoeft alleen te weten dat verhoogde aandacht voor dit account gedurende een afgebakende periode gerechtvaardigd is. Zo blijft de verwerking proportioneel, wat de AP expliciet eist, en houd je insider threat detectie uitvoerbaar zonder een surveillancecultuur op te tuigen. Leg dit vast in een protocol dat je met de OR afstemt, zoals we ook adviseren voor bruikbare securityprocessen in het algemeen.
Off-boarding is het gat waar het meestal misgaat
Vraag een willekeurige IT-manager hoe lang het duurt voordat alle toegang van een vertrokken medewerker is ingetrokken, en je test meteen de volwassenheid van de insider threat detectie, en het antwoord is zelden een getal. Het is meestal een verhaal over de hoofdsystemen die dezelfde dag dicht gaan en een lange staart aan SaaS-applicaties, gedeelde accounts, API-sleutels en VPN-profielen waar niemand het overzicht van heeft.
Die staart is het grootste concrete risico binnen insider threat detectie, en tegelijk het makkelijkst op te lossen. Een off-boardingchecklist die vertrekt vanuit een actueel overzicht van alle systemen waar iemand toegang toe had, sluit het gat binnen een dag. Dit is dezelfde discipline als bij een gestructureerd onboardingplan, alleen dan in omgekeerde richting, en het is opvallend hoeveel organisaties het eerste wel hebben en het tweede niet.
Let bij insider threat detectie op de periode tussen aanzegging en laatste werkdag. Dat is het venster waarin een vertrekkende medewerker legitiem toegang houdt tot alles, terwijl de binding met de organisatie al is doorgesneden. Data die dan meegaat, gaat zelden mee met kwade opzet: het is het klantoverzicht dat iemand handig vindt voor de nieuwe baan. Dat is een gesprek dat HR moet voeren bij de aanzegging, niet een detectievraagstuk.
De vaardigheden die het securityteam hiervoor nodig heeft
Insider threat detectie stelt andere eisen aan analisten dan externe dreigingen. Er is geen malware, geen verdachte verbinding met een onbekend land, geen exploitpoging in het log. Er is een geautoriseerde gebruiker die geautoriseerde handelingen verricht, alleen in een patroon dat afwijkt. Dat vraagt om analisten die weten hoe normaal gebruik eruitziet in hun eigen omgeving, en die het verschil kunnen inschatten tussen een medewerker die een deadline haalt en een medewerker die een archief leegtrekt.
Die beoordeling is aan te leren. De opleiding SOC T1 + T2 Analyst bouwt de basis voor gestructureerde triage van dat soort signalen, terwijl de opleiding SOC T3 Analyst zich richt op het onderzoek dat volgt wanneer een patroon zich over weken uitstrekt. Loopt een zaak richting arbeidsrechtelijke of strafrechtelijke gevolgen, dan is bewijsvoering ineens bepalend; de opleiding Cyber Forensics Expert leert teams sporen zo veilig te stellen dat ze later standhouden.
Onderschat ook de niet-technische kant niet. De onbedoelde insider is het best te bereiken met gerichte training over wat wel en niet mag met bedrijfsdata, iets waar een Cyber Awareness Training zich op richt. En houd rekening met de belasting van je team: een groep die al kampt met alertmoeheid beoordeelt subtiele gedragssignalen slechter dan een uitgerust team, hoe goed het protocol ook is.
Retentie is het goedkoopste preventiemiddel
De ongemakkelijke waarheid over insider threat detectie is dat het symptoombestrijding is. Kwaadwillende insiders ontstaan bijna altijd uit een langere aanloop van onvrede: gepasseerd worden, geen perspectief zien, zich niet gehoord voelen. Elk van die factoren is met HR-beleid te beïnvloeden en met detectie niet. Organisaties die serieus werk maken van carrierepaden als retentie-instrument verkleinen de instroom in die categorie meer dan welk detectieplatform ook.
Datzelfde geldt voor opleiding als arbeidsvoorwaarde. Een medewerker die merkt dat de organisatie in hem investeert, ontwikkelt een andere houding tegenover diezelfde organisatie dan iemand die al twee jaar op hetzelfde punt staat. Wij werkten die logica uit in ons artikel over opleiding als arbeidsvoorwaarde. Dat is geen zachte redenering; het is de goedkoopste vorm van risicoreductie die HR in handen heeft.
Zo begin je zonder een surveillanceapparaat te bouwen
Een werkbaar startpunt voor insider threat detectie bestaat uit vier stappen die je binnen een kwartaal kunt zetten. Breng in kaart welke data werkelijk schade zou aanrichten bij uitstroom, want dat is doorgaans een beperkte set en niet alles. Leg met HR de vier meldmomenten vast en stem het protocol af met de OR. Maak de off-boardingketen sluitend en test hem op een recent vertrek. En train het securityteam op het beoordelen van afwijkend gebruikersgedrag in de eigen omgeving.
Meten hoort bij insider threat detectie, maar meet de juiste dingen: tijd tot volledige intrekking van toegang, aantal accounts zonder eigenaar, doorlooptijd van een HR-signaal naar een securityactie. Hoe je zulke metrics opzet zonder in ijdele cijfers te vervallen, staat in ons artikel over zinvolle cybersecurity KPI’s. Tooling kan dit ondersteunen, maar zonder mensen die de uitkomst duiden gebeurt hier hetzelfde als bij SIEM-investeringen zonder getrainde analisten: het dashboard staat aan en er kijkt niemand.
Voor het gesprek met de directie helpt het om insider risico te presenteren als continuïteitsvraagstuk in plaats van als wantrouwen richting personeel, een benadering die we uitwerkten in je MT meekrijgen op security. Oefen het scenario ook een keer met beide disciplines aan tafel; ons draaiboek voor oefeningen is daarvoor bruikbaar, met een insider-casus in plaats van een externe aanval.
Hoe je die analistencapaciteit opbouwt vanuit je huidige bezetting, staat op de pagina voor werkgevers, van open klas tot in-company traject. Het volledige niveauoverzicht vind je bij alle opleidingen, waaronder de brede opleiding Cyber Security Specialist voor medewerkers die vanuit IT-beheer doorgroeien naar een securityrol. Wil je toetsen hoe snel jouw organisatie een HR-signaal omzet in actie? Bekijk de eerstvolgende startdata of plan een kennismaking om te bespreken wat past bij jouw team.
