Er zijn onderwerpen in de IT waarover men niet spreekt. Niet omdat ze taboe zijn — maar omdat ze ongemakkelijk zijn. Omdat ze een voorrecht raken dat voor vele directeurs heilig is: de aanname dat IT toch wel draait. Dat je niet hoeft te kijken zolang er niets brandt. Dat veiligheid, kwaliteit en netheid aardige ideeën zijn die zich terugverdienen, mocht dat al zo zijn, pas in een fiscaal kwartaal dat niet van hen is.
Deze tekst gaat over wat daarbij verloren gaat.
De twee zinnen
Twee zinnen heb ik in vijfentwintig jaar beroepsleven vaker gehoord dan me lief is. De eerste: «Veiligheid kost alleen geld, het draait toch ook zonder.» De tweede volgt meestal enkele zinnen later: «We hebben nog nooit een probleem gehad.»
Beide zinnen klinken pragmatisch. Dat zijn ze niet. Het zijn rationalisaties van een houding die in wezen zegt: ik wil niet kijken, en ik zoek een formulering die dat verantwoord laat klinken.
In de jaren nul was deze houding nalatig. Vandaag is het grove nalatigheid. Het verschil is niet retorisch — het is de kloof tussen een systeem dat bij tijd en wijle faalt en een systeem dat systematisch faalt zodra iemand het serieus onderzoekt.
IT-veiligheid: de gespaarde stuiver voor het geestesoog
Er is een attitude die ik nooit begrepen heb. Ze hoort bij een bepaald soort zogenaamd zakenman voor wie elke cent die niet onmiddellijk omzet oplevert een verloren cent is. Veiligheid verschijnt hun als kostenpost zonder tegenwaarde — een verzekering die nooit uitkeert, een brandblusser die nooit nodig is. Dus wordt er gekort. Jaar in jaar uit. Tot er op een dag iets brandt.
Toen, in de jaren nul, kon je het nalatig noemen. Dom zelfs. De wereld was overzichtelijker, het aanvalsoppervlak kleiner, de aanvallers zeldzamer. Wie niets deed had vaak geluk. Het geluk hield stand omdat nauwelijks iemand actief zocht.
Vandaag ligt dat anders. De dreiging heeft zich niet lineair ontwikkeld maar exponentieel. Wat vroeger een eenzame aanvaller met veel tijd was, is nu een geautomatiseerde scanner die ’s nachts tienduizenden netten doorzoekt. Wat een handgetypte exploit-chain was, is nu een door AI ondersteunde proof-of-concept die binnen uren na bekendmaking van een lek beschikbaar is. Wie in dit klimaat veiligheid kort, handelt niet langer nalatig. Grove nalatigheid is de term. Juridisch een ander woord. Moreel hetzelfde.
Het nieuwe bedreigingslandschap
Drie ontwikkelingen hebben de situatie in recente jaren scherper gemaakt.
Ten eerste: kunstmatige intelligentie ontdekt beveiligingsproblemen die eerder verborgen bleven. Wat een menselijke auditor in weken vond, vindt een door AI gesteunde scanner in uren. Dat geldt voor de verdedigers — en des te meer voor de aanvallers. Gaten die in de schemering rustten, worden nu fel belicht. Wie ze niet sluit, moet ervan uitgaan dat iemand anders ze opent.
Ten tweede: patchen wordt zwaarder. Afhankelijkheden grijpen dieper in elkaar, leveringsketens worden langer, de ene update trekt de volgende mee. Wie patcht moet testen. Wie niet patcht riskeert dat een gepubliceerd lek binnen dagen wordt misbruikt. Het venster sluit. Kortdurend reageren wordt de norm, niet de uitzondering.
Ten derde: exploits betekenen vandaag drama’s. Niet langer slechts een defecte server, maar gecompromitteerde klantdata, afgeperste ziekenhuizen, stilgelegde industriële installaties, onthulde mailboxen. De schade is niet langer abstract — meetbaar, juridisch tastbaar, reputatiebedreigend fataal.
Wie in deze situatie de gespaarde stuiver voor ogen houdt, heeft de rekenschap niet begrepen. De vraag is niet of veiligheid geld kost. De vraag is of de schade die zonder haar optreedt, dragelijk is. En het antwoord luidt, in de meeste gevallen: nee.
Software als erezaak
Het is echter niet alleen de veiligheid. Het is ook de bereidheid, software goed te bouwen.
«Goed» is een woord dat in deze tak inflatieair gebruikt wordt. Laat me het preciseren. Goed betekent: ze stort niet zomaar onverklaard in een exception ineen. Ze is ingesteld op speciale gevallen, niet alleen op het blije pad. Ze gedraagt zich gedefinieerd ook wanneer de invoer ongedefinieerd is. Ze produceert geen uitbuitbare gaten. Ze doet wat ze belooft — en blijft dat doen wanneer de omstandigheden niet ideaal zijn.
Daarbij betekent goed: onderhouden. Gedocumenteerd. Begrijpelijk. Wie haar later leest, begrijpt wat ze doet en waarom. Wie haar wijzigt, kan haar wijzigen zonder drie andere plekken stuk te maken.
Dat is niet vanzelfsprekend. Het is een keuze. Een keuze die elke dag opnieuw wordt gemaakt, in elke regel, in elke commit. En het is, dat zeg ik bewust, een kwestie van eer.
Een softwarebedrijf leiden en de vanzelfsprekende plichten negeren omdat de spaardruk constant is, negeert meer dan plichten. Het negeert het eigen eergevoel. Men excuseert het middelmatige met het economische. En op een gegeven moment is het middelmatige niet langer de uitzondering maar het programma.
Software maken is een erezaak. Als het bagger werkt, is het bagger. Als het gaaf is, is het gaaf. Dat is niet naïef. Het is het scherpste oordeel dat er bestaat, omdat het niet onderhandelbaar is.
Visies van vuilnishopen
Je kunt dat naïef noemen, dat met de eer. Ik wil echter uit eigen keuze het liefst samenwerken met mensen die een visie op een product dragen. Mensen die iets willen bouwen dat werkt. Dat houdt. Dat de gebruiker respecteert in plaats van hem uit te buiten.
Sommige mensen hebben echter visies van vuilnishopen. Ze poetsen ze op, etiquetteren ze kleurrijk, zetten ze prominent in de reclame, garneren ze met buzzwoorden die niemand begrijpt, en innen in waarheid gewoon geld. Bij voorkeur zonder een vinger uit te steken. Bij voorkeur zonder support, zonder onderhoud, zonder garantie. Bij voorkeur maandelijks, automatisch verlengd, niet opzegbaar.
Dat is een attitude die me vreemd is. Ik wil iets produceren. Was mijn dienstverlening, die ik nu ruim twintig jaar bied, bagger, dan zou ik onmiddellijk stoppen. Niet uit morele dwang — uit eergevoel. Wie slecht werk levert en het weet, liegt zichzelf voor. Wie slecht werk levert en het niet weet, zou het moeten weten.
Geld verdienen is volkomen legitiem. Wie presteert, mag vragen. Maar wat sommige bedrijven vandaag van je aftroggelen terwijl ze bagger leveren — dat is gewoon brutaal. Het is de bewering prestatie te leveren terwijl men slechts factureert. Het is aanspraak op honorarium zonder de plicht die het honorarium rechtvaardigt.
Een andere biografie
Hier wordt het persoonlijk, en deze keer mag dat.
De opleiding meegerekend was vorig jaar, 2025, mijn vijfentwintigjarig jubileum in het vak. Vijfentwintig jaar waarin ik niet alleen beroepsmatig met computers werkte, maar waarin mijn leven om hen draaide. Al sinds het midden van de jaren negentig.
Dat is een biografie die anders verloopt dan die van vele anderen. In hun vrije tijd nadert het aandeel beroepsthema’s asymptotisch de nul. Einde werkdag betekent einde werkdag. Soms zijn er scheldverhalen, verteld aan de toog, opgeborgen onder «Werk dat stoort». Dan is het gedaan.
Bij mij is dat anders. Sinds het midden van de jaren negentig draaide alles om de computer, en dat heeft zich continu versterkt. Op een niveau dat een gewone vrouw waarschijnlijk niet eindeloos zou dulden. Ik zeg dat zonder trots en zonder klacht. Het is een vaststelling. Wie dit ambacht serieus neemt, stopt niet wanneer het scherm donker wordt. Hij stopt nooit.
Dat is geen offer. Het is een voorkeur. Zo leven geeft een verhouding tot het vak die boven de dienstplicht uitgaat. Men bouwt niet alleen omdat betaald wordt. Men bouwt omdat het interesseert of het goed gebouwd is. Omdat men het merkt wanneer het niet goed gebouwd is. Omdat het middelmatige stoort, ook als het werkt.
Juist die voorkeur is de grondslag voor wat ik beroepsmatig bied. Niet vijfentwintig jaar ervaring op papier — vijfentwintig jaar houding.
Wat libcom.de betekent
libcom.de is geen bedrijf dat IT-veiligheid als product verkoopt. libcom.de is een mens die sinds een kwarteeuw IT zo exploiteert dat zij houdt. Veiligheid is geen add-on die je achteraf bijkoopt. Het is een eigenschap die ontstaat wanneer infrastructuur met verstand wordt gepland, consequent wordt onderhouden en eerlijk wordt bedreven.
Wie bij mij komt, krijgt geen patentoplossing. Hij krijgt een inventarisatie: wat draait, wat beschermt het, wat niet, waarheen moet het zich ontwikkelen? Dan krijgt hij een plan dat bij zijn realiteit past — zijn budget, zijn risicobereidheid, zijn verplichtingen. En hij krijgt iemand die niet stopt wanneer het project is afgenomen. Die aanblijft zolang nodig.
Dat is geen dienst die je op een prijspagina opsomt. Het is een houding. En ik geloof dat juist die houding ontbreekt in een markt waar veiligheid vaak als cost-center wordt beschouwd, software als snel vergankelijk goed en dienstverlening als rechtvaardiging van een abonnement.
Als u zich afvraagt of uw IT nog adequaat beschermd is, of uw software goed gebouwd is, of u iemand zoekt die het eerlijk meent: schrijf naar contact@libcom.de. Wij maken een eerlijke inventarisatie. Zonder verkoopdruk. Met de blik op wat duurzaam standhoudt.
Laten we ophouden bagger te zijn. Laten we samen werken aan iets dat houdt — en elkaar daarmee een dienst bewijzen.