Hoe accountant Erwin Gritter de cliënt- en bedrijfsgegevens van ZMGroep beveiligt

‘De e-mails met Dropbox-documenten bleken niet van mijn cliënt afkomstig te zijn.’

In de praktijk is de accountant of belastingadviseur steeds vaker een vertrouwenspersoon dan alleen een financieel of fiscaal expert. Dit ervaart ook Erwin Gritter, al ruim 20 jaar zelfstandig belastingadviseur bij ZMGroep. Hij merkt dat de huidige digitale werkwijze leidt tot een groter risico op cybercriminaliteit. Wat hem betreft moeten juist accountants en belastingadviseurs duidelijk maken dat hun cliënt- en bedrijfsgegevens goed beveiligd zijn.

We vroegen hem hoe hij omgaat met vertrouwelijke gegevens, welke cyberrisico's hij ziet en hoe hij deze als belastingadviseur afdekt. Belastingadviseurs zijn geen IT-specialisten, maar hij legde uit dat het belangrijk is om ervoor te zorgen dat alles zo veilig mogelijk is.

Vertrouwelijke gegevens van cliënten

Gritter vertelt over zijn werk en de gegevens die daarbij komen kijken: “We geven fiscaal advies en helpen bedrijven de juiste financiële structuur op te zetten. Dat betekent dat we de financiële handel en wandel van ondernemers kennen, zowel privé als zakelijk.”

Hij legt uit dat dit een enorme verantwoordelijkheid met zich meebrengt. “Allereerst gaan we vertrouwelijk om met alle cliëntgegevens. Bovendien begrijpen we dat juist deze gegevens niet op straat mogen komen te liggen, omdat privacy in dit geval extra belangrijk is.”

De wereld van accountants en belastingadviseurs is wat dat betreft veranderd. Zo'n 25 jaar geleden stond alles nog gewoon op papier, dat kon je letterlijk onder slot en grendel bewaren, legt hij uit. Tegenwoordig is alles digitaal, dat vraagt om een ander soort beveiliging. “Bovendien ervaren veel van onze cliënten ons als hun vertrouwenspersoon, voor veel meer dan alleen financiële of fiscale expertise,” vult Gritter aan.

Hoe gaat u om met cybersecurity?

Hij kent de risico's van cybercriminaliteit, althans in grote lijnen. “Je hoort verhalen over bedrijven die digitaal gegijzeld worden of platgelegd worden, dat wil je natuurlijk voorkomen. We willen niet in de problemen komen met ons kantoor, maar belangrijker nog, we willen niet dat cliëntgegevens op straat komen te liggen.”

De bewustwording onder accountants en belastingadviseurs neemt toe, zo ervaart hij. Hij beschrijft hoe juist financiële gegevens een primair doelwit kunnen zijn voor cybercriminelen.

“Dat heb ik uitbesteed aan onze IT-manager. Want dat ik de gevaren herken, betekent nog niet dat ik er iets mee kan. Ik vraag hem regelmatig hoe we ervoor staan. Ik vraag hem of we risico lopen met de manier waarop we werken, hoe we die risico's afdekken en of daar meer voor moet gebeuren.” Het is zijn IT-manager die zich hier dagelijks mee bezighoudt en hem attendeert op nieuwe risico's of wanneer kwetsbaarheden dreigen.

Digitaal werkt gemakkelijker, maar maakt kwetsbaarder

“Digitaal werkt uiteraard veel gemakkelijker en sneller, maar het maakt ons ook kwetsbaarder,” aldus Gritter. Hij doelt op de extra beveiliging die nodig is. Er gaat meer tijd zitten in regelgeving en andere randzaken, waardoor ons eigen vak een beetje verder naar de achtergrond verdwijnt.

“In principe doen we alles online en via e-mail. Dat is heel gebruiksvriendelijk en handig, maar het brengt ook risico's met zich mee. Als gevolg daarvan moet ik me meer bezighouden met de potentiële gevaren, regelgeving die van toepassing is en oplossingen die er zijn.” Lachend voegt hij toe: “Soms verlang ik nog wel eens terug naar de tijd dat alles gewoon op papier werd afgedrukt.”

Eigen ervaring met cyberrisico

Gevraagd naar zijn eigen ervaring met cyberrisico, schiet hem direct een incident te binnen. Hij beschrijft hoe er een paar jaar geleden plotseling dreigingen ontstonden, tijdens een overnameproject voor een cliënt.

“We ontvingen veel e-mails met Dropbox-documenten, om door te nemen. Die gingen meestal naar mijn collega, maar plotseling ontving ik ze ook. Het waren juridische documenten en dat is inderdaad normaal gesproken mijn expertise, dus dat was helemaal niet verdacht.” Toch bleken de documenten niet van de cliënt afkomstig te zijn. Hackers waren erin geslaagd de cliënt te hacken en stuurden documenten naar Gritter vanaf dat e-mailadres.

Direct navraag bij de eigen IT-manager van het bedrijf leerde gelukkig dat er geen problemen waren ontstaan. “Voor ons bleek er niets aan de hand te zijn. Natuurlijk zijn we wel nog voorzichtiger geworden en beveiligen we onszelf nog beter tegen dergelijke cyberrisico's.”

Hij legt uit hoe je als ondernemer hiervoor professionele oplossingen nodig hebt. “Je kunt onmogelijk na elke e-mail iemand bellen om te vragen of hij of zij het bericht inderdaad heeft verstuurd. Dat is de omgekeerde wereld; dat zou veel gemakkelijker moeten kunnen met een goede security oplossing. Natuurlijk hebben we in het geval van dit directe cyberrisico wel contact opgenomen met de cliënt om ook direct acties te kunnen ondernemen.”

Ervaring met Guardey

Gritter vond die oplossing in Guardey. “Ik zou het omschrijven als belangrijk, innovatief en ontwikkelend,” antwoordt hij als we hem vragen waar Guardey voor hem voor staat.

“De software helpt ons cyberrisico's zoveel mogelijk buiten de deur te houden. Daarnaast waarschuwt de detectie ons wanneer er mogelijk iets aan de hand is. Onze IT-manager handelt dat dan af, dus als team hebben we dat goed geregeld.”

Hij merkt ook dat er vanuit brancheverenigingen een push is om hiermee aan de slag te gaan. “Zowel het RB als beroepsorganisatie voor belastingadviseurs als de SRA voor accountants wijzen regelmatig op de risico's van cybercrime. Dat doen ze bijvoorbeeld in hun nieuwsbrief, waarin ze aangeven wat er speelt en bedrijven op de hoogte houden.”

Volgens hem is er nog een wereld te winnen als het gaat om cyberrisico's en goede bescherming daartegen. “Maatschappelijk gezien hebben we wellicht een rol. Wij als belastingadviseurs en accountants moeten zowel onszelf als cliënten beschermen. Wij zijn hun vertrouwenspersonen, zowel voor fiscale en financiële vragen als meer dan dat. Goede security tegen cybercrime is dan ook iets wat cliënten minimaal van ons mogen verwachten.”