​Joost Boele: “Het verschil tussen gelijk hebben en gelijk krijgen bepaalt het succes van security”

In een omgeving waar patiëntveiligheid, onderzoek en technologie samenkomen, is dat een dagelijkse uitdaging. Securitybeleid moet hier niet alleen kloppen op papier, maar ook functioneren in de praktijk. Wat organisaties van zijn aanpak kunnen leren, is dat cyberweerbaarheid niet wordt bepaald door beleid, maar door gedrag - door hoe mensen samenwerken, beslissen en verantwoordelijkheid nemen.

Security werkt alleen als de organisatie het wil laten werken

Toen Joost CISO was, stond hij midden in het spanningsveld tussen beleid en operatie. “Ik bestond bij de gratie van de goede wil van anderen om met mij zaken te willen doen,” zegt hij. “Je kan als CISO gelijk hebben, maar als niemand je advies uitvoert, schiet niemand er iets mee op.”

Daarom koos hij voor een benadering die hij gekscherend de Department of ja-mits noemt. “In plaats van zeggen wat niet mag, helpen we mensen te begrijpen wat er wél kan. Dan kom je verder.” Dat vraagt volgens hem niet alleen kennis van security, maar ook gevoel voor verhoudingen: weten wie je moet meenemen, hoe je vertrouwen opbouwt en wanneer je even moet meebewegen.

Het zijn precies die vaardigheden - diplomatie, timing, empathie - die vaak ontbreken in de manier waarop organisaties security organiseren. “Veel securityteams willen vooral overtuigen met technische argumenten. Maar dat werkt zelden. Je moet begrijpen wat anderen belangrijk vinden, en daar jouw boodschap op afstemmen.”

Van adviseur naar uitvoerder

In zijn huidige functie als Head of IT Operations kan Joost het verschil tussen gelijk hebben en gelijk krijgen direct in de praktijk brengen. “In mijn vorige rol adviseerde ik, nu kan ik ook uitvoeren. Dat maakt het makkelijker om beleid tastbaar te maken.”

Zijn team zorgt voor alles van werkplekbeheer tot cloudinfrastructuur en netwerkbeveiliging. En bij elke beslissing speelt veiligheid een rol. “Bij vrijwel elke vraag die we krijgen, komt dezelfde afweging terug: kan dit veilig, is het beheersbaar, en past het binnen de kaders die we hebben afgesproken?”

Wat helpt, is dat hij het securitydenken inmiddels verankerd ziet in de organisatie. “IT is van een ondersteunende nutsdienst stiekem tot core business van de zorg geworden,” zegt hij. “Je kan onderzoek en patiëntenzorg vandaag niet meer los zien van data en technologie. Dat maakt security automatisch een integraal onderdeel van de operatie.”

Maatwerk dat niet schaalt, maar wel werkt

De praktijk binnen het Antoni van Leeuwenhoek vraagt om maatwerk. Onderzoekers werken met unieke apparaten, data en software die soms nergens anders bestaan. “Het nare is dat het maatwerk betreft, dus het schaalt voor geen meter,” zegt Joost met een glimlach. “Maar het is nodig.”

Hij legt uit dat je niet elk risico met beleid kan afdekken. “Ga je tegen een wetenschapper zeggen dat zijn apparaat van 2,5 ton weg moet omdat het computertje ernaast verouderd is? Natuurlijk niet. Dan zoek je naar een creatieve, veilige oplossing.” Soms betekent dat het systeem afschermen binnen het netwerk, soms het ontwikkelen van een tijdelijke beveiligingslaag. “De kunst is om risico’s beheersbaar te maken zonder de voortgang van onderzoek te remmen.”

Het voorbeeld illustreert een breder punt: securityinnovatie gaat niet alleen over nieuwe technologie, maar over het vermogen om beleid aan te passen aan de realiteit.

De mens als sleutel tot volwassenheid

Volgens Joost groeit cyberweerbaarheid pas echt als organisaties aandacht hebben voor gedrag en cultuur. “Wat fijn dat je belt - dat hoor ik vaak,” zegt hij. “Die menselijke connectie krijg je doordat je laat zien dat je er bent om te helpen, niet om te hinderen.”

Hij ziet dat security vaak wordt ervaren als iets dat ‘van IT’ is, terwijl het in werkelijkheid iedereen raakt. “Als mensen weten dat je met hen meedenkt, komen ze vanzelf naar je toe. En dát is het moment waarop security volwassen wordt: als het gesprek vanzelf op gang komt.”

Die menselijke kant is volgens hem de echte innovatie in security. “De technologie ontwikkelt zich wel. De vraag is of organisaties erin slagen om gedrag, cultuur en samenwerking mee te laten groeien.”

Conclusie: cyberweerbaarheid begint bij overtuigingskracht

Joost Boele laat zien dat volwassen security niet ontstaat door regels, maar door relaties. Door te begrijpen hoe mensen werken en beslissen, kun je beleid laten landen in de praktijk. Zijn belangrijkste les: technische kennis is niet genoeg - overtuigingskracht maakt het verschil.

Of, zoals hij het zelf zegt: “Het verschil tussen gelijk hebben en gelijk krijgen bepaalt het succes van security.”

Benieuwd naar het volledige interview met Joost Boele? Luister hier aflevering 9 van de NLSecure[ID]-podcast.