Larry is nog steeds in het gebouw

Tijdens CyberForward 2026 in Hilversum opende staatssecretaris Willemijn Aerdts met een verhaal dat raak was: het verhaal van Leisure Suit Larry. Een spel, een floppydisk, een virus, en een heel continent aan organisaties dat geen idee had wat er op hun systemen draaide. Ze gebruikte dit om een punt te maken over waar we nu staan. Digitale veiligheid, zo betoogde ze, gaat over veel meer dan technologie. Het vraagt om samenwerking tussen disciplines en sectoren. Daar heeft ze gelijk in. Maar het verhaal van Larry verdient een nadere blik, want het is actueler dan het lijkt.

Werkte je eind jaren tachtig in de IT, dan herinner je je het spel waarschijnlijk nog. Zo niet, hier de korte versie: verpleegkundigen in een Nederlands ziekenhuis speelden een besmette kopie op het patiëntregistratiesysteem. Banken in Zwitserland, Duitsland en Engeland verloren grote hoeveelheden data. Het virus, bekend als Jerusalem of Friday the 13th, verspreidde zich stilletjes over elk executable bestand dat het aanraakte, en begon deze op elke vrijdag de dertiende te verwijderen.

Niemand in die organisaties was van plan om een beveiligingsincident te veroorzaken. Iemand voerde simpelweg iets uit dat niet had gemogen, op hardware die eigenlijk iets heel anders had moeten doen. De organisatie betaalde de prijs omdat ze geen zicht had op wat er werkelijk gebeurde binnen haar eigen systemen.

Dat was bijna 40 jaar geleden. De vraag die Aerdts impliciet opwierp tijdens CyberForward, en die het waard is om erover na te denken, is of we hier eigenlijk iets van hebben geleerd.

Larry is nooit veranderd. Alleen zijn outfit.

Het Jerusalem-virus verspreidde zich via floppydisks. Vandaag de dag is het mechanisme een browsertab. Volgens het Data Breach Investigations Report 2026 van Verizon steeg het aantal detecties van schaduw-AI in zakelijke omgevingen in één jaar tijd met een factor vier, en gebruikt 45% van de medewerkers inmiddels regelmatig AI-tools op bedrijfsapparatuur. Twee derde van de kantoorprofessionals geeft toe AI-tools op het werk te gebruiken, ook al denken ze dat dit tegen het bedrijfsbeleid ingaat. Ze doen dit niet om schade aan te richten. Ze doen het omdat het hun werk sneller en makkelijker maakt. Dezelfde reden waarom iemand in 1988 een gameschijfje in de kantoor-pc schoof.

De data die via die browsertabs naar buiten gaat, stelt niet niets voor. Volgens het Cost of a Data Breach Report 2025 van IBM kostten datalekken waarbij schaduw-AI een rol speelde organisaties gemiddeld 70.000 meer dan andere incidenten, en duurde het gemiddeld 247 dagen voordat ze werden ontdekt. Wanneer een medewerker een klantbestand, een financieel rapport of een conceptcontract in een ongecontroleerde AI-tool plakt, komt die data terecht in een verwerkingsketen waar de organisatie niets van weet.

Larry is nooit weggeweest. Hij heeft alleen zijn software geüpdatet.

Waarom is dit relevant voor besturen en managementteams?

Het zou makkelijk zijn om bovenstaande alinea te lezen en hem door te schuiven naar de IT-afdeling. Dat zou de verkeerde reactie zijn.

De reden dat organisaties in 1988 verrast werden door Larry, was niet dat hun IT-teams incompetent waren. Het kwam doordat niemand de structurele vraag had gesteld: wat draait er eigenlijk in dit gebouw? Die vraag was geen IT-vraag. Het was een organisatorische vraag. Het antwoord vereiste gezag, beleid en een cultuur waarin mensen zich vrij voelden om eerlijk te zijn over welke tools ze daadwerkelijk gebruikten.

Hetzelfde geldt nu. IT-teams kunnen niet beheersen wat ze niet zien, en ze zien niet wat medewerkers installeren, verbinden of waar ze data naartoe plakken via hun persoonlijke accounts en browsergebaseerde tools. Die kloof dicht je niet met nog een firewall. Die dicht je met leiderschap.

Ben je bestuurslid of manager en lees je dit, dan ben jij niet het slachtoffer in dit verhaal. Jij bent degene die het daadwerkelijk kan veranderen.

Wat Aerdts terecht zag: dit is een samenwerkingsvraagstuk

Het frame dat Aerdts tijdens CyberForward neerzette, ging niet over technologie. Het ging over hoe Nederland, zijn organisaties en zijn sectoren samenwerken om echte digitale weerbaarheid op te bouwen. Dat is het juiste uitgangspunt.

De organisaties die goed omgaan met de moderne versie van Larry, zijn niet per se de organisaties met de grootste securitybudgetten. Het zijn de organisaties waar het bestuur ongemakkelijke vragen stelt, waar medewerkers zonder angst zorgen kunnen uiten, en waar iemand de tijd heeft genomen om een beeld op te bouwen van wat er werkelijk draait binnen de digitale omgeving van de organisatie. Dat beeld is de voorwaarde voor al het andere. Je kunt niet prioriteren wat je niet ziet.

Samenwerking betekent hier iets heel concreets. Het betekent dat de CISO en de CFO hetzelfde gesprek voeren. Het betekent dat de IT-manager en de HR-directeur het eens worden over wat telt als een goedgekeurde tool. Het betekent dat de MSP of securitypartner voldoende zicht heeft op de omgeving om zijn werk goed te kunnen doen. Niets daarvan is puur een technisch probleem.

Hoe ziet ‘Larry zien’ er in 2026 eigenlijk uit?

De praktische vraag is niet of jouw organisatie ooit is gehackt. Het is of je dat zou weten als het gebeurde. En of je weet wat er op dit moment in jouw omgeving draait.

Dat betekent dat je een actuele asset-inventaris hebt: niet alleen servers en firewalls, maar ook endpoints, clouddiensten, SaaS-applicaties en de apparaten waarmee mensen verbinding maken. Het betekent dat je weet welke AI-tools jouw teams gebruiken, officieel en officieus. Het betekent dat je regelmatig scans uitvoert, zodat nieuwe kwetsbaarheden aan het licht komen voordat aanvallers ze vinden. En het betekent dat je die informatie zichtbaar maakt voor de mensen die beslissingen moeten nemen, niet alleen voor de mensen die haar hebben gegenereerd.

Een korte noot over positionering: Guardian360 bouwt Lighthouse, dat organisaties en hun partners helpt om precies dit te doen. Ik ben me ervan bewust dat dit mijn commerciële belang is, en ik zeg dat gewoon hardop. Het punt blijft echter staan: de organisaties die in 1988 verrast werden door Larry, misten geen extra sloten. Ze misten een raam.

De vraag om mee naar huis te nemen

Aerdts riep op tot samenwerking. Dat is het juiste woord. Maar samenwerking vraagt om een gedeeld beeld van de werkelijkheid, en voor de meeste mkb-organisaties ontbreekt dat beeld nog steeds. De dreiging is in 40 jaar niet veranderd. Iemand binnen de organisatie, die iets deed dat onschuldig leek, voerde iets uit dat niet had gemogen, op een machine die eigenlijk iets anders had moeten doen.

Hier is de vraag die het waard is om even bij stil te staan: wanneer heb je je teams voor het laatst gevraagd welke software en AI-tools ze daadwerkelijk gebruiken? Niet wat er op de goedgekeurde lijst staat. Wat er werkelijk draait.

Als je die vraag niet met vertrouwen kunt beantwoorden, zit Larry misschien al in het gebouw.