We voerden een onderzoek uit bij meer dan 400 IT-experten en 2000 personeelsleden in de VS, het VK en Europa om inzichten, opinies en voorspellingen te verzamelen over de huidige staat van e-mailbeveiliging.
E-mail is en blijft een essentieel onderdeel van professionele communicatie. We zien echter een grote kloof tussen de vele, snel ontwikkelende compliance-vereisten rond e-mail enerzijds en de trage ontwikkeling en implementatie van robuuste veiligheidsmaatregelen anderzijds.
De inzichten in dit rapport benadrukken het belang van een realistisch perspectief. Medewerkers periodiek opleiden en verwachten dat ze steeds de juiste acties zullen ondernemen, verschuift alle verantwoordelijkheid naar het individu. In plaats daarvan kunnen organisaties tools en processen implementeren die van nature het veiligheidsbesef verbeteren en zo de compliance met steeds evoluerende regels als NIS2, DORA, de AVG en HIPAA vereenvoudigen.
Dit rapport nodigt bedrijven uit om met een frisse blik te kijken naar hun e-mailbeveiliging. Organisaties kunnen hun e-mailbeleid wel degelijk aanpassen aan de vereisten van ons steeds veranderende digitale landschap: met een cultuur van verantwoordelijkheid, waarbij gebruikers ondersteund worden om de juiste keuzes te maken, gecombineerd met investeringen in slimme, geïntegreerde technologieën die voor robuuste beveiliging zorgen. We hopen dat de inzichten in dit rapport jou inspireren om een veiligere én efficiëntere werkomgeving te creëren voor jouw teams, in 2025 en tot ver in de toekomst.
E-mail is een onmisbare tool voor moderne bedrijven, maar het bevindt zich ook op de vuurlinie tussen evoluerende cyberdreigingen en steeds strengere regelgeving. E-mail werd in de jaren 70 ontwikkeld, zelfs nog voor het Internet, als een eenvoudige tool voor het uitwisselen van berichten – niet als platform voor beveiligde communicatie. Door de jaren heen werden protocollen als DKIM (DomainKeys Identified Mail) en SPF (Sender Policy Framework) retroactief geïmplementeerd om de beveiliging te verbeteren, maar deze ongecoördineerde aanpak heeft geleid tot een wildgroei aan tijdelijke oplossingen die e-mail juist kwetsbaar maakt. Die inherente kwetsbaarheid wordt nog versterkt door steeds gerichtere kwaadaardige aanvallen, een gebrekkige adoptie van beveiligingsstandaarden, ontoereikende authenticatieprotocollen en datalekken door menselijke fouten.
Kwaadaardige aanvallen van buitenaf, ook wel ‘inkomende dreigingen of inbound threats’ genoemd, worden door IT-leiders als het belangrijkste risico rond e-mail beschouwd: 47% bevestigt dat inkomende dreigingen hen meer zorgen baren dan uitgaande mail. Het is niet onlogisch dat deze kwaadaardige aanvallen de conversatie rond beveiliging overheersen. Advanced Threat Protection (ATP) en detectie van malware (50%), training voor en bewustzijn bij medewerkers (48%) en preventie van phishing (43%) zijn de drie grootste prioriteiten voor investeringen in e-mailbeveiliging volgens IT-leiders – belangrijker dan encryptie en het vermijden van menselijke fouten.
Hoewel de focus op kwaadaardige aanvallen heeft geleid tot nieuwe ontwikkelingen in detectie en preventie, beschouwen IT-leiders de bestaande preventiemaatregelen nog steeds als ontoereikend: 67% van de IT-leiders geeft aan dat providers van beveiligingsoplossingen niet snel genoeg innoveren om adequaat om te gaan met nieuwe AI-dreigingen. Bovendien maakt 59% van de medewerkers zich zorgen dat AI het moeilijker zal maken om te weten of inkomende mails en links al dan niet legitiem zijn.
De conclusie is duidelijk: voor IT-leiders ligt de focus momenteel op het neutraliseren van dreigingen, maar de huidige beveiligingstools schieten daarbij tekort. Bovenop de uitdagingen rond inkomende mail, toont ons onderzoek aan dat er nog een tweede aspect is bij e-mailbeveiliging dat vaak over het hoofd wordt gezien, maar net zo belangrijk is.
Regelgevende organisaties op het vlak van gegevensbescherming, zoals de Autoriteit Persoonsgegevens in Nederland en de ICO in het Verenigd Koninkrijk, zien al jarenlang consequent dat menselijke fouten bij het verzenden van e-mails de hoofdoorzaak zijn van datalekken. Toch krijgen inkomende dreigingen steevast de meeste aandacht. Deze grote leemte tussen waar de aandacht naartoe gaat en wat echt belangrijk is, wordt pas recent echt duidelijk, nu bedrijven steeds meer gevoelige gegevens verwerken en de compliance-regels strikter worden.
Ons onderzoek wijst uit dat fouten in uitgaande e-mail alarmerend vaak gebeuren. Medewerkers versturen de verkeerde bijlage (33%), sturen mails naar de verkeerde ontvanger (32%) of gebruiken de Cc- en Bcc-velden verkeerd (20%). Deze fouten komen het vaakst voor wanneer medewerkers gehaast (54%) of gestrest zijn (40%), of wanneer ze zich overweldigd voelen door een overvloed aan e-mails (40%).
Ongeveer de helft (47%) van de IT-leiders ziet phishing en malware als de belangrijkste dreiging. Slechts 20% maakt een prioriteit van de risico’s rond uitgaande e-mail en maar 39% ziet preventie van datalekken en menselijke fouten als een onderwerp met investeringsprioriteit. Ondanks deze lage inschatting geeft twee derde (66%) toe dat fouten die medewerkers maken in uitgaande e-mail leiden tot meer gegevensverlies dan inkomende kwaadaardige aanvallen.
Natuurlijk is beveiliging tegen inkomende dreigingen belangrijk, maar niet ten koste van uitgaande beveiliging. Dit gebrek aan aandachtsverdeling gaat verder dan alleen perceptie: slechts 25% van de IT-leiders vindt dat hun uitgaven op het vlak van beveiliging ‘zeer goed afgestemd’ zijn op de eigenlijke risico’s. Om de zaak nog ingewikkelder te maken, zegt 38% dat ‘medewerkers die het beveiligingsbeleid verkeerd begrijpen’ een van de grootste risico’s voor het bedrijf zijn, terwijl 60% van de medewerkers aangeeft dat ze actief manieren zoeken om het beleid te omzeilen. Dat wijst op een verschil tussen de inschattingen van leidinggevenden en de realiteit op de werkvloer.
Het samenvallen van verschillende uitdagingen – ouderwetse protocollen, menselijke fouten en de aanhoudende dreiging van phishing – betekent dat e-mailbeveiliging op een holistische manier aangepakt moet worden. E-mailbeveiliging mag echter geen last worden voor medewerkers, want dat is onwerkbaar. In plaats daarvan kunnen organisaties beter tools en processen implementeren die medewerkers ertoe aanzetten om betere keuzes te maken. Drie belangrijke onderdelen daarbij:
Investeren in geavanceerde e-mailbeveiliging:
Implementeren van robuuste protocollen voor encryptie en authenticatie:
Uitgebreide strategieën voor de preventie van datalekken opstellen:
Compliance is misschien wel de meest dringende uitdaging voor IT-leiders in 2025. In Europa treden belangrijke wetten in werking, zoals DORA (Digital Operational Resilience Act) voor financiële instellingen en NIS2 (Network and Information Systems Directive) voor essentiële sectoren. Tegelijk introduceert het VK de Cyber Security and Resilience Bill. In de VS ondergaan bestaande federale wetten als HIPAA (Health Insurance Portability and Accountability Act) en GLBA (Gramm-Leach-Bliley Act) continu revisies en hebben verschillende staten daarnaast elk hun eigen wetten rond gegevensbescherming.
Deze wetten bevatten allemaal vereisten rond risicobeheer, informatieclassificatie, veilige gegevensoverdracht, bewustzijnstraining en het voorkomen van datalekken, waardoor e-mail onder nauw toezicht komt te staan.
Veel van de nieuwe wetten bevatten vergelijkbare clausules die een directe impact hebben op e-mail. Het is voor organisaties die goede naleving willen realiseren van groot belang om deze punten aan te pakken:
IT-leiders schatten dat slechts 34% van de incidenten in uitgaande e-mail formeel gerapporteerd wordt. Daarnaast blijkt dat medewerkers vaak informeel omgaan met fouten: 50% zegt dat ze rechtstreeks contact zouden zoeken met de (onbedoelde) ontvanger wanneer ze een fout maken met e-mail, maar slechts 9% zou het incident melden bij de afdeling IT. Daardoor blijven IT-teams in het ongewisse over de werkelijke omvang van incidenten op het vlak van e-mailbeveiliging, wat het moeilijker maakt om systemische problemen proactief aan te pakken.
Volgens IT-leiders zijn de drie belangrijkste kwetsbaarheden op het vlak van beveiliging respectievelijk medewerkers die niet-geautoriseerde platformen gebruiken, een gebrek aan bewustzijn rond veiligheid en de wildgroei aan verschillende communicatietools.
Medewerkers zijn de rode draad die door de meest gekozen antwoorden loopt, maar daarmee zien we eerder symptomen van het probleem dan de oorzaak ervan. Medewerkers zijn afhankelijk van de omgeving waarin ze werken. Zolang de tools, training en processen in de organisatie er niet in slagen om veiligheidsbewustzijn te laten doordringen in de cultuur, zullen deze kwetsbaarheden niet opgelost worden.
Als antwoord op de vraag waar hun focus op het vlak van beveiliging zal liggen de komende twee tot drie jaar, zegt bijna een derde van de IT-leiders (31%) dat compliance met regels rond gegevensbescherming de prioriteit wordt. 28% zegt dat ze op zoek gaan naar een ‘allesomvattende’ oplossing die zowel inkomende als uitgaande mail beveiligt. 45% van de respondenten gaf aan dat deze verschuiving in de prioriteiten gemotiveerd was door de groeiende dreiging van AI, waarmee phishing-aanvallen steeds accurater worden. Tegelijk gaf 38% aan dat de druk van nieuwe regelgevingen en zorgen om de compliance de drijvende factor waren.
Gezien de snelheid waarmee dreigingen evolueren en de invoering van strengere regels, kunnen bedrijven niet blijven werken met oude systemen en vertrouwen op marginale verbeteringen en tijdelijke oplossingen. Organisaties moeten investeren in geavanceerde tools die gemaakt zijn om medewerkers te ondersteunen en fouten proactief te vermijden.
Stem je beveiliging af op de wetgeving:
Deze proactieve ingrepen zorgen er niet alleen voor dat de compliance met regels als DORA en NIS2 alvast in orde is; ze verlagen ook de behoefte aan handmatige ingrepen en zorgen ervoor dat medewerkers vol vertrouwen kunnen bijdragen aan veilige communicatie.
Medewerkers hebben behoefte aan meer ondersteuning om hen te helpen met het behalen van de compliance-doelen van hun organisaties. Beveiligingsbeleid moet helder en gebruiksvriendelijk zijn, anders is het onvermijdelijk dat medewerkers manieren zullen zoeken om eromheen te komen.
Zo’n 60% van de medewerkers zegt dat ze geregeld manieren zoeken om het IT-beleid te omzeilen, zodat ze gewoon hun werk kunnen doen en tijd of moeite besparen.
Veel medewerkers hebben een gebrekkig begrip van het beveiligingsbeleid van hun organisatie: 38% zegt dat ze de regels rond e-mailgebruik niet helemaal begrijpen. Bij medewerkers die toegeven dat ze vaak fouten maken, stijgt dat percentage naar 52%, wat een duidelijke link aantoont tussen begrip van het beleid en de kans op fouten.
Hoewel vrijwel alle organisaties wel een vorm van training aanbieden, blijft de effectiviteit bijzonder beperkt. Organisaties geloven wel dat training belangrijk is: 95% van de IT-leiders bevestigt dat hun bedrijf training aanbiedt. Toch gelooft maar 26% dat deze training een significante impact heeft op hoe medewerkers omgaan met gevoelige gegevens, en bijna de helft (46%) geeft toe dat er zeker ruimte is voor verbetering. De aanzienlijke kloof tussen hoeveel training wordt aangeboden en hoe weinig vertrouwen er is in de effectiviteit ervan, toont aan dat zowel de inhoud van de training als de manier waarop die wordt aangeboden fundamenteel ontoereikend is.
Een van de problemen met trainingen is dat deze niet gemaakt zijn in aansluiting op de behoeften van de medewerkers, maar vooral in aansluiting op de behoeften van organisaties. Meer dan een derde (36%) van de medewerkers in grote bedrijven geeft aan dat training over e-mailbeveiliging weinig effectief of zelfs tijdverlies is – en dat percentage stijgt naar 54% onder medewerkers die geregeld fouten maken met e-mail. Net deze groep, die veel baat zou hebben bij effectieve training, vindt vaak dat training te algemeen is en geen rekening houdt met de specifieke uitdagingen waarmee ze in hun baan te maken krijgen.
Uit onze research blijkt dat medewerkers een sterke voorkeur hebben voor interactieve training gebaseerd op levensechte scenario’s die ze ook in hun dagelijks werk tegenkomen. Directe uitleg en contextuele feedback die geïntegreerd wordt in hun dagelijkse workflow zijn twee bijzonder effectieve manieren om veilig gedrag te promoten.
Voor veilige manieren van werken die de compliance verzekeren is training nodig. Om echte verandering te bewerkstelligen, moeten deze praktijken passen in een bredere culturele verschuiving naar openheid en verantwoordelijkheid. Daar zijn enkele zaken voor nodig:
Investeren in geavanceerde e-mailbeveiliging:
Zet in op training en ontwikkeling van veiligheidsbewustzijn
Culturele verschuivingen in combinatie met betere trainingsmethoden resulteren in personeel dat meer veiligheidsbewustzijn heeft en gemotiveerd is om veilig te communiceren, zodat je organisatie minder risico loopt op datalekken via e-mail.
De e-mailbeveiliging verbeteren is een dringende prioriteit voor bedrijven. De risico’s verbonden aan behoud van de status quo zijn duidelijk en kostbaar: meer datalekken, erosie van klantvertrouwen, boetes voor organisaties en zelfs een risico op persoonlijke aansprakelijkheid van bestuurders onder de nieuwe regelgeving.
Bedrijven moeten ervoor zorgen dat hun investeringen in beveiliging strategisch afgestemd zijn op de belangrijkste dreigingen voor hun organisatie. Het feit dat momenteel slechts 24% van de IT-leiders er vertrouwen in heeft dat hun huidige systeem voldoende bescherming biedt, toont aan dat veel bedrijven bijzonder kwetsbaar zijn. Bovendien worden de risico’s van uitgaande e-mail vaak naar de achtergrond verschoven en wordt vooral ingezet op het tegenhouden van inkomende dreigingen, terwijl beiden in realiteit evenveel aandacht vereisen om menselijke fouten en datalekken effectief te voorkomen. Om een robuust, effectief beveiligingsbeleid uit te bouwen, is het essentieel dat de investeringen gaan naar allesomvattende oplossingen die ook bescherming bieden tegen risico’s die vaak over het hoofd worden gezien. Deze oplossingen ondersteunen niet alleen de compliance, maar bieden ook een tastbare meerwaarde voor het bedrijf, wat helpt om in de toekomst goedkeuring voor investeringen van het bestuur te krijgen. Vergeet niet: slechts een op de vier IT-leiders gelooft momenteel dat de investeringen in beveiliging goed afgestemd zijn op de werkelijke risico’s.
Bedrijfsleiders moeten hun e-mailcommunicatie beveiligen met een gestructureerde, proactieve aanpak die focust op vijf essentiële elementen:
Met deze stappen kunnen organisaties hun e-mailbeveiliging transformeren van een zwakte in een krachtig strategisch hulpmiddel. Zo wordt niet alleen de compliance gegarandeerd, maar versterken organisaties ook hun concurrentiepositie en bouwen organisaties aan het vertrouwen bij hun stakeholders, zoals het algemeen publiek, klanten, investeerders en toezichthouders.
In 2025 is de e-mailbeveiliging verbeteren niet alleen strategisch intelligent, het is ook essentieel voor de compliance. Onder nieuwe wetgeving kunnen bestuursleden persoonlijk aansprakelijk gesteld worden voor tekortkomingen in de beveiliging, wat betekenisvolle actie nog essentiëler maakt.
De foutmarge wordt vandaag steeds kleiner en de gevolgen van aanmodderen worden alleen maar groter. Het is nu tijd om in te grijpen. Door te investeren in robuuste beveiliging, door medewerkers beter op te leiden en door jouw bedrijfsvoering af te stemmen op internationale standaarden, kan je als organisatie de belangrijkste risico’s opvangen, jouw kritieke communicatiekanalen beschermen en ervoor zorgen dat e-mail ook in 2025 een vertrouwde steunpilaar blijft voor zakelijk succes.
2 minuten lezen
Zivver lanceert Email Threat Protection, in samenwerking met Sublime Security, om de toenemende dreigingen zoals phishing en malware proactief aan te pakken.
30 minuten lezen
We voerden een onderzoek uit bij meer dan 400 IT-experten en 2000 personeelsleden in de VS, het VK en Europa om inzichten, opinies en voorspellingen te verzamelen over de huidige staat van e-mailbeveiliging.
.png)
minuten lezen
Learn how to prove the ROI of your solutions. Industry experts Simon Newman, Co-Founder of Cyber London, and Frank Horenburg, Head of IT at Zivver, share insights and expertise on identifying and sharing the value of security.
