Na het datalek bij Accenture: audit niet je IT-leverancier, audit zijn toegang

Vraag een ondernemer wat hij weet over de beveiliging van zijn IT-leverancier en je krijgt binnen een minuut een certificeringsnummer, een verwerkersovereenkomst en de geruststelling dat het geregeld is. Vraag daarna wie van diezelfde leverancier vandaag een beheeraccount heeft in zijn Microsoft-omgeving, welke sleutel van welke cloudomgeving op de laptop van welke ontwikkelaar staat, en wie dat voor het laatst heeft nagekeken. Dan wordt het stil.

Tussen die twee vragen zit het echte aanvalsoppervlak. Mijn stelling is dat je het verkeerde object beoordeelt. Een aanvaller gebruikt geen leverancier, hij gebruikt een account.

Wat er bij Accenture te koop stond, was toegang

Begin juli zette iemand onder de naam 888 op een hackersforum 35 GB aan interne data van Accenture te koop, met naar eigen zeggen broncode, RSA- en SSH-sleutels, Azure-tokens en configuratiebestanden. Accenture bevestigde de inbraak in twee zinnen: een geïsoleerd geval, de bron is verholpen, en er is geen impact op de activiteiten en dienstverlening van het bedrijf. Op de vraag of klantdata of klantomgevingen geraakt zijn, kwam geen antwoord.

Lees die verklaring nog eens precies. Hij gaat over de dienstverlening van Accenture. De spullen in die advertentie gaan daar niet over. Een Azure-token, een SSH-sleutel en een opslagsleutel zijn per definitie toegang tot een omgeving, en welke omgeving dat is, staat niet in zo'n verklaring. De enige partij die dat kan nakijken, is de partij die de omgeving bezit. Dat ben jij.

Dit is geen stuk over slordigheid bij Accenture. Een dienstverlener die bij duizenden organisaties binnen zit is een doelwit, en dat een doelwit een keer geraakt wordt hoort je aanname te zijn, niet je verrassing. Uit het jaarlijkse databreach-onderzoek van Verizon blijkt dat bij 48 procent van de inbraken inmiddels een derde partij betrokken is, 60 procent meer dan een jaar eerder. De weg naar jou loopt steeds vaker via iemand anders.

Je beoordeelt een organisatie, de aanvaller gebruikt een account

Een leveranciersaudit meet een organisatie: haar beleid, haar certificaat, haar antwoorden op een vragenlijst, één keer per jaar. Een inbraak gebruikt een account: één sleutel, één beheerlogin, één koppeling, op een dinsdagmiddag. Zolang je het ene meet terwijl het andere loopt, kan je oordeel over die leverancier volledig kloppen en tegelijk niets zeggen over jouw risico.

Dat verschil is niet theoretisch. Er zijn drie routes waarlangs de toegang van een leverancier zich tegen jou keert, en geen van drieën is zichtbaar in een certificaat.

• De leverancier wordt gehackt en jouw sleutels liggen in de buit. Dat is de Accenture-vorm: niet je klantenbestand ligt op straat, maar de middelen om ergens binnen te komen. Bij LastPass liep het via een vergeten inloggegeven uit 2022 bij dienstverlener Klue, dat al jaren geen enkel doel meer diende en dat niemand had ingetrokken.
• De mensen van je leverancier gebruiken hun eigen, geldige toegang. Bij Coinbase kochten criminelen supportmedewerkers van een uitbesteed klantcontactbedrijf om; de diefstal kwam pas aan het licht toen een medewerker werd betrapt terwijl ze haar eigen scherm fotografeerde, met bijna 70.000 gedupeerde klanten en een schadeschatting die opliep tot 400 miljoen dollar. Geen malware, geen lek. Een geldig account en een telefoon.
• Een aanvaller doet zich voor als je leverancier. Marks & Spencer bevestigde dat aanvallers binnenkwamen via een van zijn contractpartijen en zich als medewerker voordeden om een helpdesk wachtwoorden te laten prijsgeven; de retailer schatte de winstschade op maximaal 300 miljoen pond.

En er is een versterker: het beheerkanaal zelf. Toen een kritiek lek in beheersoftware SimpleHelp actief werd misbruikt, was de buit niet één klant maar alle klanten die via die ene gekaapte beheerserver werden bediend. Uitbesteed beheer is efficiënt om precies dezelfde reden waarom het een hefboom is voor een aanvaller: één verbinding, veel omgevingen.

Wie hierbij alleen aan partijen met IT in de naam denkt, mist bovendien de helft. Je accountant beheert dezelfde gevoelige gegevens als je hostingpartij en heeft in veel gevallen net zo goed een login in jouw administratie.

Toegang gaat niet vanzelf dood

Toegang ontstaat in vijf minuten en verdwijnt nooit uit zichzelf. Een ontwikkelaar heeft even een sleutel nodig om een koppeling te testen. Een beheerder krijgt tijdelijk een account op productie, want de release moet vanavond de deur uit. Allebei gebeuren ze tijdens een project, onder tijdsdruk, met een goede reden. Alleen staat het intrekken in niemands agenda, want intrekken heeft geen eigenaar en geen datum.

Je offboarding gaat over je eigen mensen. De ontwikkelaar van je leverancier die naar een andere klant rouleert, meldt zich niet bij jou af, en zijn account is morgen precies zo geldig als vandaag. Dat is geen randgeval: uit onderzoek van GitGuardian blijkt dat 64 procent van de inloggegevens die in 2022 geldig waren in januari 2026 nog steeds bruikbaar was, terwijl er in 2025 alleen al 28,65 miljoen nieuwe hardcoded secrets in publieke GitHub-commits belandden, 34 procent meer dan het jaar ervoor.

Vier jaar. Dat is geen aanvalstechniek, dat is een opruimprobleem.

En het is precies het soort probleem dat een jaarlijkse beoordeling niet vangt. Een vragenlijst meet wat een leverancier van plan is. Een toegangslijst meet wat er feitelijk openstaat. Bij een grote dienstverlener ben jij één regel in een toegangsmatrix met honderden klanten, terwijl zijn ontwikkelaars van project naar project schuiven. Ga er niet van uit dat zijn overzicht van jouw sleutels beter is dan het jouwe. Vaak is het jouw omgeving waar de bewijsstukken liggen.

Om eerlijk te zijn: je kunt Accenture niet auditen

De sterkste tegenwerping is er een waar ik het grotendeels mee eens ben. Een bedrijf met twaalf medewerkers heeft geen enkele hefboom bij een dienstverlener met honderdduizenden. Je krijgt zijn toegangslijst niet, je komt zijn logs niet in, en een verzoek om een audit levert je een beleefde verwijzing naar het certificaat op. Certificeringen en vragenlijsten bestaan juist omdat ze schalen: het is de enige manier om twintig leveranciers langs dezelfde meetlat te leggen zonder securityafdeling. Hoe een leverancier omgaat met een gemeld lek zegt op zijn beurt meer over zijn veiligheid dan welk keurmerk dan ook, en dat blijft een goede toets.

Alleen raakt die tegenwerping mijn punt niet, want ik vraag je niet om je leverancier te auditen. De lijst die ik bedoel is niet van hem. Hij is van jou.

Elke toegang waar dit stuk over gaat, is door jou verleend, in jouw systemen. Gastaccounts in je Microsoft- of Google-omgeving. Leden van je GitHub-organisatie. Gebruikers en sleutels in je cloud. VPN-accounts, actieve OAuth-koppelingen, de beheeragent op je machines, beheerlogins in je webshop en je boekhouding. Je kunt dat vandaag uitlezen zonder iemand om toestemming te vragen, en je kunt het intrekken zonder dat er iemand hoeft te tekenen. Dat is het zeldzame deel van leveranciersrisico waarvoor je geen onderhandelingspositie nodig hebt.

De wetgever beweegt dezelfde kant op. De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, en in de tien zorgplichtmaatregelen die het NCSC uitschrijft staat het veilig maken van de relaties met je rechtstreekse leveranciers als aparte eis, naast een maatregel over personeel, toegangsbeleid en assetbeheer. Geen keurmerk dat je koopt dus, maar een relatie en een toegangsbeleid die je onderhoudt. Het contractuele deel daarvan, de bepalingen die je leverancier verplichten je binnen een vaste termijn te waarschuwen bij een misbruikt lek, regel je op het moment dat je verlengt. Maar een clausule bindt gedrag dat je niet kunt zien. Een toegangslijst gaat over iets wat je wel kunt zien.

Die lijst is ook geen project. Het is een middag werk en vier kolommen: welke partij, welk account of welke sleutel, in welk systeem, en wie het wanneer heeft goedgekeurd. De waarde zit niet in het document. De waarde zit erin dat het intrekken vanaf dat moment een eigenaar heeft.

De enige vraag die je zelf kunt beantwoorden

De dag dat de mail komt dat je leverancier is gehackt, kun je aan zijn beveiliging niets meer veranderen. Dan loopt de klok van je eigen meldplicht bij de Autoriteit Persoonsgegevens al, en gaat zijn verklaring, net als die van Accenture, over zijn eigen dienstverlening.

De enige vraag die je op dat moment zelf kunt beantwoorden, is welke deuren in jouw systemen opengaan met een sleutel die zij hebben, en hoe snel je die dichtdoet. Vertrouwen is een prima basis voor een samenwerking. Als toegangsbeleid is het waardeloos.