In de geschiedenis wordt verteld dat archeologen die het graf van Toetanchamon openden werden getroffen door wat later bekend werd als de “Vloek van de Farao”. Het openen van een eeuwenoude graftombe bracht onverwachte gevaren met zich mee. Niet omdat de schatten zichtbaar waren, maar omdat de verborgen risico’s onzichtbaar bleven totdat het te laat was.

In de digitale wereld bestaat een gelijkaardige verleiding. Open standaarden worden terecht beschouwd als een fundament voor interoperabiliteit, transparantie, digitale autonomie en samenwerking tussen organisaties. Ze maken het mogelijk dat systemen van gemeenten, leveranciers, cloudplatformen, Vlaamse en federale overheden, burgers en partners met elkaar communiceren via gemeenschappelijke protocollen en gegevensmodellen.

Maar iedere koppeling, iedere API, iedere identiteitsfederatie en iedere gegevensuitwisseling opent tegelijk een nieuwe digitale deur. Achter die deur bevinden zich niet alleen kansen, maar ook risico’s. Wanneer organisaties blind vertrouwen op de term “open standaard” zonder de volledige context te onderzoeken, bestaat het gevaar dat men ongemerkt een digitale sarcofaag opent waarvan de inhoud onvoldoende gekend is.

Een open standaard is immers niet automatisch een veilige standaard. De werkelijke risico’s bevinden zich vaak in de implementatie, configuratie, afhankelijkheden, leveranciersketens, toegangsrechten, gegevensstromen en onderliggende infrastructuur. Wat op architectuurtekeningen een eenvoudige koppeling lijkt, kan in werkelijkheid toegang verschaffen tot gevoelige persoonsgegevens, kritieke bedrijfsprocessen of zelfs de volledige digitale omgeving van een organisatie.

Om die reden vereist het HarmonyQ Governance & Assurance Model een volledige 360° beoordeling van iedere nieuwe integratie, open standaard, gegevensuitwisseling of externe koppeling voordat deze wordt goedgekeurd door het management.

HarmonyQ vertrekt vanuit het principe dat vertrouwen niet ontstaat door aannames maar door aantoonbare controle.

Voor iedere nieuwe standaard, interface, API, cloudverbinding, authenticatievoorziening of gegevensuitwisseling wordt daarom een multidimensionale analyse uitgevoerd waarbij minstens volgende elementen worden beoordeeld:

• Strategische waarde;
• Juridische en regelgevende impact;
• Privacy- en gegevensbescherming;
• Cybersecurity-risico’s;
• Leveranciersafhankelijkheden;
• Operationele continuïteit;
• Financiële impact;
• Architecturale afhankelijkheden;
• Reputatie- en vertrouwensimpact.

Daarnaast wordt voor iedere gegevensstroom een afzonderlijke SWOT-analyse uitgevoerd.

Strengths (Sterktes)

Welke voordelen creëert de standaard voor de organisatie?

• Verbeterde dienstverlening;
• Hogere interoperabiliteit;
• Lagere leveranciersafhankelijkheid;
• Verhoogde efficiëntie;
• Betere gegevenskwaliteit.

Weaknesses (Zwaktes)

Welke inherente beperkingen of kwetsbaarheden bestaan er?

• Complexiteit;
• Configuratierisico’s;
• Afhankelijkheid van derden;
• Onvoldoende beveiligingsfunctionaliteiten;
• Gebrek aan monitoring.

Opportunities (Kansen)

Welke toekomstige voordelen kunnen ontstaan?

• Innovatie;
• Samenwerking;
• Automatisering;
• Datagedreven besluitvorming;
• Digitale transformatie.

Threats (Bedreigingen)

Welke risico’s kunnen zich manifesteren?

• Cyberaanvallen;
• Supply-chain aanvallen;
• Datadiefstal;
• Misbruik van API’s;
• Authenticatiefouten;
• Beschikbaarheidsproblemen;
• Leveranciersfalen.

Pas wanneer deze analyse volledig is uitgevoerd ontstaat een integraal beeld van het risico- en opportuniteitsprofiel van de betrokken gegevensuitwisseling.

Een risicobeoordeling voor het gebruik van open standaarden is een analyse waarbij wordt nagegaan welke risico’s ontstaan wanneer een organisatie open standaarden implementeert of juist niet implementeert voor gegevensuitwisseling, interoperabiliteit, authenticatie, encryptie of communicatie.

Voor organisaties binnen NIS2, CyFun Essential en ISO 27001 is dit meestal onderdeel van:

• Technologische risicobeoordeling
• Leveranciersrisicobeoordeling
• Architectuurreview
• Change Management
• Security by Design

Waarom een risicobeoordeling?

Open standaarden (zoals TLS, SAML, OAuth2, OpenID Connect, DNSSEC, DKIM, SPF, DMARC, ODF, REST API’s, XML, JSON, eDelivery, PEPPOL, enz.) bieden voordelen maar brengen ook risico’s mee.

Het bestuur moet aantonen dat:

• de gekozen standaard geschikt is;
• de standaard voldoende beveiligd is;
• de standaard wordt ondersteund;
• interoperabiliteitsproblemen zijn beoordeeld;
• afhankelijkheden bekend zijn;
• risico’s beheerst worden.

---

Voorbeeld Risicobeoordeling Open Standaarden

Object van beoordeling

Implementatie van OpenID Connect (OIDC) voor authenticatie van burgers en medewerkers.

Risicoanalyse

Risico	Kans	Impact	Risicoscore
Verkeerde configuratie van OIDC	Middel	Hoog	Hoog
Onvoldoende bescherming tokens	Middel	Hoog	Hoog
Afhankelijkheid van externe Identity Provider	Hoog	Middel	Hoog
Incompatibiliteit met oudere systemen	Middel	Middel	Middel
Kwetsbaarheid in gebruikte softwarecomponent	Middel	Hoog	Hoog
Onvoldoende logging en monitoring	Middel	Hoog	Hoog

---

Beveiligingsmaatregelen

Governance

• Architectuurreview uitvoeren
• Goedkeuring door CISO
• Documentatie onderhouden

Technisch

• TLS 1.3 verplicht
• MFA verplicht
• Token encryptie
• Token expiry configureren
• Logging activeren

Operationeel

• Jaarlijkse review
• Vulnerability scanning
• Penetratietesten

---

Resterend risico (HarmonyQ residual risk)

Na implementatie van maatregelen wordt het risico als “aanvaardbaar” beoordeeld door het management.

---

Open standaarden die vaak een formele beoordeling vereisen

Identiteit

• SAML 2.0
• OAuth2
• OpenID Connect
• SCIM

Netwerk en communicatie

• TLS
• DNSSEC
• SMTP STARTTLS
• IPsec

Gegevensuitwisseling

• REST
• JSON
• XML
• PEPPOL
• eDelivery

E-mailbeveiliging

• SPF
• DKIM
• DMARC

Cryptografie

• AES
• RSA
• ECC
• X.509

Relatie met CyFun Essential

Binnen CyFun Essential 2025 sluit een beoordeling van open standaarden vooral aan bij:

• GV.OC-04.2 – beveiligingsvereisten voor kritieke activiteiten documenteren en valideren
• ID.RA-05 – risico’s identificeren en prioriteren
• PR.AA-03.5 – beveiliging van externe verbindingen
• ID.IM-03.9 – technische validatie, testen en gespecialiseerde beoordelingen
• GV.SC-01.1 – leveranciers- en ketenrisico’s beoordelen

Voor een organisatie zou ik adviseren om een “Risicobeoordeling Open Standaarden en Interoperabiliteit” als vast sjabloon op te nemen binnen het architectuur- en changeproces, zodat iedere nieuwe standaard (bijvoorbeeld eBox, Mijn Burgerprofiel, CSAM, OIDC, PEPPOL of Vlaamse API’s) vooraf wordt beoordeeld op cyberrisico, beschikbaarheid, interoperabiliteit en compliance.

Het management neemt vervolgens een expliciete beslissing omtrent de risicoacceptatie. Die beslissing wordt niet gebaseerd op vertrouwen, intuïtie of commerciële beloften, maar op aantoonbare feiten, risicoanalyses, technische validatie en governance-informatie.

De geschiedenis van cybersecurity bevat meerdere voorbeelden waarbij een ogenschijnlijk onschuldige digitale deur leidde tot een grootschalige crisis.

Het Trojaanse Paard van Target (2013)

Target, één van de grootste retailbedrijven van de Verenigde Staten, investeerde miljoenen in beveiliging. Toch slaagden aanvallers erin toegang te krijgen tot de interne systemen via een externe HVAC-leverancier die instond voor klimaatregeling.

De leverancier beschikte over legitieme toegangsrechten voor onderhoudsdoeleinden. Wat begon als een eenvoudige leveranciersverbinding groeide uit tot één van de grootste datalekken uit de geschiedenis. Meer dan 40 miljoen betaalkaartgegevens werden buitgemaakt.

De les van de digitale farao:

Niet de voordeur werd geopend, maar een vergeten zijdeur waarvan niemand dacht dat ze naar de schatkamer leidde.

Een HarmonyQ 360°-analyse zou hierbij onder meer hebben onderzocht:

• leveranciersrisico;
• netwerksegmentatie;
• toegangsrechten;
• afhankelijkheden;
• monitoring van externe verbindingen.

---

SolarWinds en de Besmette Sarcofaag (2020)

SolarWinds leverde software voor netwerkbeheer aan duizenden organisaties wereldwijd, waaronder overheden, ministeries en Fortune 500-bedrijven.

Hackers infiltreerden niet rechtstreeks bij de slachtoffers, maar besmetten een software-update van SolarWinds zelf. Organisaties installeerden de update in volle vertrouwen omdat zij afkomstig was van een gekende leverancier. Toen de update werd geopend, kwam als het ware de digitale vloek vrij.

Meer dan 18.000 organisaties installeerden de geïnfecteerde software. De les van de digitale farao:

De sarcofaag zag er authentiek uit. Niemand onderzocht de inhoud.

Een HarmonyQ-benadering zou hebben gevraagd:

• Welke softwarecomponenten worden geïnstalleerd?
• Hoe wordt software-integriteit gecontroleerd?
• Wat zijn de gevolgen van een gecompromitteerde leverancier?
• Welke detectiemechanismen bestaan voor afwijkend gedrag?

---

Log4Shell: De Vloek in de Bibliotheek (2021)

Miljoenen organisaties gebruikten de open source Log4j-bibliotheek voor loggingfunctionaliteit. Voor ontwikkelaars was het slechts een klein softwareonderdeel. Voor aanvallers bleek het een universele toegangspoort tot duizenden systemen. Het probleem zat niet in de zichtbare applicatie maar in een verborgen afhankelijkheid die jarenlang onopgemerkt bleef. Plots ontdekten organisaties dat zij een kwetsbare component gebruikten zonder te weten waar die zich bevond.

De les van de digitale farao:

De vloek zat niet in de schatkamer, maar in een vergeten gang die niemand ooit had geïnspecteerd.

Een HarmonyQ-analyse zou expliciet kijken naar:

• software bill of materials (SBOM);
• afhankelijkheden;
• open source risico’s;
• patchbeheer;
• kwetsbaarheidsmonitoring.

---

Equifax: De Ongelezen Waarschuwing (2017)

Equifax beheerde persoonsgegevens van honderden miljoenen burgers. Een kritieke kwetsbaarheid was reeds publiek bekend en er bestond een beveiligingsupdate. Toch werd de update niet tijdig geïnstalleerd. Het resultaat was een datalek dat meer dan 147 miljoen personen trof.

De les van de digitale farao:

De waarschuwing stond op de graftombe geschreven, maar niemand las de hiërogliefen.

Een HarmonyQ-risicobeoordeling zou vragen:

• Welke kwetsbaarheden zijn aanwezig?
• Wie is verantwoordelijk voor patching?
• Hoe wordt naleving gecontroleerd?
• Wat is de impact van niet-remediatie?

---

Colonial Pipeline: De Vergeten Sleutel (2021)

Een enkele gecompromitteerde gebruikersaccount zonder multi-factor authenticatie leidde tot een ransomware-aanval die een groot deel van de brandstofvoorziening aan de Amerikaanse oostkust verstoorde. De infrastructuur was niet doorbroken via geavanceerde hackingtechnieken. Men gebruikte eenvoudigweg een vergeten toegangssleutel.

De les van de digitale farao:

Soms ligt de vloek niet in de tombe zelf maar in de sleutel die men vergeten is terug te nemen.

---

De HarmonyQ-filosofie

Al deze incidenten hebben één gemeenschappelijk kenmerk:

Niemand had de intentie om onveilig te werken. Iedere organisatie dacht dat zij een gecontroleerde beslissing nam. De fout zat niet in de technologie zelf, maar in het gebrek aan volledig inzicht in de samenhang van risico’s. Daarom vertrekt HarmonyQ vanuit een eenvoudig principe:

“Iedere nieuwe digitale deur kan toegang geven tot een onbekende kamer.”

Voordat een nieuwe standaard, API, cloudverbinding, leverancier, softwarecomponent of gegevensuitwisseling wordt geaccepteerd, moet eerst een volledige 360°-beoordeling plaatsvinden. Voor iedere integratie wordt een SWOT-analyse uitgevoerd.

Voor iedere gegevensstroom worden de risico’s in kaart gebracht.

Voor iedere afhankelijkheid wordt de impact beoordeeld.

Pas wanneer het management over voldoende informatie beschikt om een geïnformeerde risicoacceptatie uit te voeren, mag de digitale graftombe worden geopend.

Want cyberweerbaarheid ontstaat niet door toeval. Cyberweerbaarheid ontstaat doordat men eerst onderzoekt wat zich achter de deur bevindt voordat men deze opent. Dat is het verschil tussen een organisatie die de vloek van de digitale farao ondergaat en een organisatie die de schatkamer veilig weet te betreden.

HarmonyQ beschouwt dit als een fundamenteel principe van digitale weerbaarheid:

“Open standaarden mogen nooit leiden tot open risico’s.”

Iedere nieuwe digitale verbinding wordt behandeld alsof men een eeuwenoude graftombe betreedt. Niet uit angst, maar uit professioneel risicobesef. Eerst wordt onderzocht wat zich achter de deur bevindt, welke afhankelijkheden bestaan, welke gegevens worden uitgewisseld en welke beveiligingsmaatregelen noodzakelijk zijn.

Pas daarna mag de deur worden geopend.

Zo voorkomt de organisatie dat zij onbewust een digitale mummiekist opent waaruit kwetsbaarheden, ongecontroleerde afhankelijkheden of cyberdreigingen ontsnappen. Door middel van een volledige 360° HarmonyQ-beoordeling, ondersteund door SWOT-analyses, governancecontroles en managementgoedkeuring, behoudt de organisatie de controle over haar digitale omgeving en wordt de vloek van de digitale farao vervangen door aantoonbare cyberweerbaarheid.