Cybersecurity voor vzw's: ledenlijsten, vrijwilligers en een klein budget

'Wij zijn maar een vzw, wie heeft er nu interesse in ons?' We horen het bij bijna elke vereniging waar we langsgaan: de sportclub, de jeugdbeweging, het buurtcomité, de socioculturele organisatie met drie halftijdse krachten en veertig vrijwilligers. Het klinkt logisch, maar het klopt niet. Een vzw heeft precies wat aanvallers zoeken, en meestal minder bescherming dan een bedrijf van dezelfde grootte. Het goede nieuws: de basis kost weinig geld en past in een paar bestuursvergaderingen.

Waarom een vzw wel degelijk een doelwit is

Aanvallers kiezen zelden een specifiek doelwit. Ze sturen massaal phishingmails, proberen gelekte wachtwoorden overal uit en kijken wie er hapt. Een vzw is voor hen een deur als een andere. Alleen staat die deur vaker open. En wat er achter die deur ligt, is niet niks.

• Ledenlijsten met namen, adressen, geboortedata, soms rijksregisternummers en medische informatie. Denk aan een sportclub of een jeugdbeweging die kampen organiseert.
• Subsidiegeld en lidgeld op de rekening. Een valse factuur of een 'gewijzigd rekeningnummer' van een leverancier werkt bij een vzw net zo goed als bij een bedrijf.
• Bestuursleden die alles vanuit hun privémail doen, op een pc die ook door de kinderen gebruikt wordt.
• Het vertrouwen van je leden, dat je met één datalek kwijt bent.

Wat we typisch aantreffen

Geen enkele vzw is hierop gebouwd. Verenigingen groeien organisch, met mensen die hun vrije tijd geven. Dat verklaart de situaties die we bijna overal zien.

• Eén gedeelde Gmail- of Outlook-mailbox van de vereniging, met een wachtwoord dat al jaren hetzelfde is en bij tien mensen bekend, van wie er drie niet meer in het bestuur zitten.
• Bestuurswissels zonder dat iemand toegangen intrekt. De vorige penningmeester kan nog altijd aan de bankrekening, de website en de ledenlijst.
• De ledenadministratie in een Excel-bestand op de privé-pc van de secretaris, zonder back-up. Crasht die laptop of wordt hij gestolen, dan is de vereniging haar ledenbestand kwijt.
• Een Word-document met de naam 'wachtwoorden' in de gedeelde map.

Herken je er een paar? Dan ben je in goed gezelschap. Het punt is niet dat iemand fout zit, wel dat het snel beter kan.

GDPR geldt ook voor vzw's

Een korte kanttekening, geen juridisch advies. De privacywetgeving (GDPR of AVG) maakt geen onderscheid tussen bedrijven en verenigingen. Wie persoonsgegevens van leden bijhoudt, moet ze correct beveiligen, mag ze niet langer bewaren dan nodig en moet weten wie er toegang toe heeft. Een ledenlijst die als bijlage rondgaat naar het voltallige bestuur, is daar moeilijk mee te rijmen. Je hoeft geen jurist te worden. De vijf stappen hieronder brengen je meteen een heel stuk verder.

Vijf betaalbare stappen

1. Aparte accounts met MFA voor elk bestuurslid. Geen gedeelde mailbox met één wachtwoord meer, maar per persoon een eigen login met tweestapsverificatie via een app op de telefoon. Kost: enkele uren instellen, daarna niets meer. Hoe je dat aanpakt, lees je in ons stappenplan om MFA in te voeren.
2. Een wachtwoordmanager met een gedeelde kluis. De logins van de website, de ledensoftware en de sociale media zitten in één kluis waar alleen de juiste mensen bij kunnen. Meer daarover in wachtwoordmanager voor je team.
3. De ledenlijst op één beveiligde plek. Kies één locatie (een gedeelde map in Microsoft 365 of Google Workspace, of gespecialiseerde ledensoftware), beperk de toegang tot wie ze nodig heeft, en stop met bijlagen mailen.
4. Toegangen herzien bij elke bestuurswissel. Maak van 'rechten intrekken' een vast agendapunt na elke algemene vergadering. Onze offboarding-checklist is geschreven voor bedrijven, maar werkt net zo goed voor een bestuur.
5. Een back-up van de ledenadministratie. Automatisch, op een tweede plek, en één keer per jaar testen of je ze kunt terugzetten.

Gratis of goedkope middelen

Budget is bij een vzw altijd een argument, en terecht. Weet dat zowel Microsoft als Google een non-profitprogramma hebben waarmee erkende verenigingen hun zakelijke tools gratis of aan een verlaagd tarief kunnen gebruiken. De voorwaarden verschillen en veranderen al eens, dus kijk het na op hun eigen pagina's of vraag het aan je IT-partner. Ook wachtwoordmanagers hebben vaak een kleine teamformule die voor een bestuur van vijf tot tien mensen goed betaalbaar is. De meeste van de vijf stappen hierboven kosten vooral tijd, geen geld.

En NIS2?

Misschien hoor je er iets over: de Europese NIS2-richtlijn die organisaties verplicht tot cybersecuritymaatregelen. De meeste vzw's vallen daar niet onder. Uitzonderingen zijn er in sectoren zoals zorg, en als je leverancier bent van een organisatie die er wel onder valt, kun je vragen krijgen. Twijfel je, lees dan onze uitleg over NIS2 en CyFun voor KMO's en vzw's. Maar los van de wet: de basishygiëne hierboven is wat elke vereniging nodig heeft, verplicht of niet.