Follow the Data: waar data stroomt, schuilt het risico

In 2025 is data overal: in e-mails, Teams-chats, SaaS-applicaties en AI-modellen. De centrale vraag voor organisaties is dan ook urgenter dan ooit: waar stroomt onze data naartoe? 

Data is geen stilstaand bezit meer. Het beweegt. En juist die beweging maakt het kwetsbaar. Wie de datastroom niet volgt, mist het moment waarop het misgaat. "Follow the Data" is dan ook geen technische term, maar een strategische manier van denken. Door inzicht te krijgen in waar data zich bevindt, wie erbij kan en hoe het verandert, vergroot je grip op risico’s en compliance. 

Data als rivier: voedend maar gevaarlijk 

Data voedt je processen, ondersteunt besluitvorming en stimuleert innovatie. Maar zoals een rivier zonder dammen en sluizen dorpen kan overspoelen, kan ongecontroleerde data een organisatie ontwrichten. 

Denk aan een ziekenhuis waar het elektronisch patiëntendossier (EPD) niet beschikbaar is door een cyberaanval: diagnoses stokken, operaties worden uitgesteld. Of een supermarkt met lege schappen door foutieve voorraaddata. Data is de organisatie. Zonder inzicht in locatie, toegang en wijzigingen is elke vorm van beveiliging een illusie. 

Zonder regels is het chaos, óók in de datastroom 

Een stad zonder verkeersregels is een recept voor ongelukken. Zo werkt het ook met data. Zonder heldere afspraken over toegang, verwerking en bescherming ontstaat er chaos, onbewuste fouten en een verhoogd risico op datalekken. Daarom is een structureel, geoperationaliseerd data security beleid onmisbaar. Niet als formaliteit, maar als digitaal verkeersplan. Net als bij mobiliteit vraagt dit beleid om actief beheer en naleving. 

Beschikbaarheid is niet hetzelfde als vrijheid 

Data moet beschikbaar zijn om goed te kunnen werken, maar dat betekent niet dat iedereen ermee mag doen wat hij wil. Vergelijk het met de Nachtwacht in het Rijksmuseum: je mag dit schitterende werk van Rembrandt zien, maar niet aanraken of mee naar huis nemen. Toegang tot informatie betekent niet automatisch recht op bewerking, download of delen. Hier komen begrippen als RBAC (Role-Based Access Control), data labeling en encryptie in beeld.  

Fouten zijn menselijk, zoals een HR-medewerker die per ongeluk salarissheets mailt naar de verkeerde groep, of een ex-werknemer die klantlijsten naar zijn privé-e-mail stuurt om ze te gebruiken bij een nieuwe werkgever. 

Van poortwacht naar luchthavenmanager 

Digitale weerbaarheid betekent niet alleen indringers buitenhouden, maar ook begrijpen wat er binnen de organisatie gebeurt. Denk aan een luchthaven: aan de poort staan douaniers en scanners, maar ook medewerkers zoals schoonmakers, bagageverwerkers of piloten kunnen per ongeluk iets verkeerd doen (zoals het per ongeluk openen van een onbeveiligd bestand of gevoelige info delen via een verkeerd e-mailadres), terwijl anderen opzettelijk misbruik maken van hun toegang, bijvoorbeeld gevoelige informatie door te spelen naar kwaadwillende.   

Data security richt zich op bescherming van gegevens, tegen diefstal, lekken of misbruik, ongeacht de bron. Veel organisaties hebben hier nog blinde vlekken. 

Het dark web: de onderwereld van je data 

Inloggegevens, persoonsgegevens, klantdata. Dit zijn waardevolle doelwitten voor cybercriminelen. Wat vandaag lekt, kan morgen verkocht worden. Recent mocht ik meewerken aan een webinar over Darkweb Nightmares. Tijdens dit webinar zijn wij ingegaan op wat het dark web nu eigenlijk is, op de meest voorkomende bedreigingen, en hoe je jouw organisatie kunt beschermen tegen deze gevaren.  Dit webinar is nog terug te kijken.  Wie vandaag geen zicht heeft op datastromen, kan morgen niet reageren als die data ergens anders opduikt. 

Technologie is er. Nu het beleid nog 

Gelukkig bestaat de technologie al om data te volgen en beschermen. Denk aan: 

• Microsoft Purview – biedt inzicht in dataopslag, gebruik en deling. 

• Data loss prevention (DLP) – voorkomt dat gevoelige data de organisatie verlaat. 

• Dark web monitoring – signaleert of jouw data daar al circuleert. 

• Zero trust-modellen – “vertrouw nooit, verifieer altijd.” 

• AI-gedragssignalering – detecteert afwijkend datagedrag in realtime. 

Maar technologie zonder beleid is gereedschap dat in de la blijft liggen. De kracht zit in de combinatie van mens, proces en dus de technologie. 

Een manier van werken, geen project 

Het belangrijkste inzicht? Follow the Data is geen project. Geen platform. Geen eenmalige workshop. Het is een manier van organiseren, van besturen en van verantwoorden. 

In een AI-gedreven wereld draait het niet alleen om waar data is, maar ook om wat die data aanstuurt: beslissingen, modellen, innovaties. Je kunt alleen beschermen wat je begrijpt. En je kunt alleen begrijpen wat je kunt volgen. 

Volg je data. Voor het te laat is.