Gartner voorspelt dat 99% van alle cloud security fouten tot en met 2026 aan de klant kant ligt, niet aan de provider. En cloud misconfiguraties waren in 2025 volgens Cybel Angel verantwoordelijk voor 23% van alle cloud security incidenten.
Een publiekelijk leesbare storage container die iemand per ongeluk open heeft gezet tijdens een test, lijkt onschuldig. Tot een auditor er langskomt en je moet uitleggen waarom klantdata maandenlang voor iedereen toegankelijk was.
In dit artikel behandelen we de vijf cloud misconfiguraties die we bij mkb organisaties het vaakst tegenkomen. Wat je eraan herkent, welke rol Cloud Security Posture Management speelt, en wat NIS2 voor je betekent. Onderaan vind je een concrete checklist die je vandaag kunt doorlopen.
5 cloud misconfiguraties die je als mkb direct moet aanpakken
De verborgen kosten van cloud misconfiguraties
Het probleem is niet dat cloud onveilig is. De grote providers leveren degelijke defaults en sterke bouwstenen. Het probleem zit in de complexiteit. Een gemiddeld mkb heeft al snel te maken met meerdere accounts, een mix van productie en testomgevingen, een handvol SaaS abonnementen en medewerkers die zelf een proefaccount aanmaken om iets uit te proberen. Elke nieuwe resource die je aanmaakt is potentieel een nieuwe deur in je verdediging.
Volgens de Fortinet 2025 State of Cloud Security Report zijn open storage buckets en over-permissioned identities nog steeds de twee meest gebruikte aanvalsvectoren. De ClearPoint analyse van 2025 bevestigt dat zelfs basale zaken als publieke S3 buckets na jaren van waarschuwingen nog altijd voorkomen. In de praktijk betekent dit dat een vergeten bucket van een project uit 2022 net zo gevaarlijk kan zijn als een verse misconfiguratie.
De gemiddelde detectietijd voor een cloud configuratiefout ligt volgens dezelfde bron boven de 180 dagen. Dat is meer dan een half jaar waarin een aanvaller ongezien toegang kan hebben. Voor een mkb zonder eigen SOC is dat een onhoudbare blinde vlek.
De 5 meest voorkomende misconfiguraties in 2025 en 2026
De onderstaande vijf misconfiguraties komen in elke mkb cloud omgeving terug. Ze zijn niet nieuw, maar ze blijven voorkomen omdat ze ontstaan op het moment dat je even snel iets wilt opzetten en de standaardinstellingen niet aanpast.
1. Openbare storage buckets en blob containers
Een S3 bucket of Azure Blob container die per ongeluk op public access staat, is de klassieker. Eén verkeerd vinkje en je klantdata, facturen of personeelsbestanden staan op het publieke internet. Cycode schat dat AWS S3 misconfiguraties goed zijn voor 16 procent van alle cloud security breaches. In een gedocumenteerd geval leidde een verkeerd geconfigureerde bucket tot blootstelling van 8 terabyte aan meetingopnames.
Het herkennen is simpel. AWS biedt Block Public Access instellingen op accountniveau, Azure heeft vergelijkbare opties per storage account. Zet die standaard aan, ook voor nieuwe accounts, en scan periodiek op buckets die toch openstaan.
2. Te brede IAM rechten en gedeelde accounts
Het “iedereen krijgt AdministratorAccess want dan werkt het”-patroon kom ik nog wekelijks tegen bij mkb organisaties. Het gemak wint het op de korte termijn van de veiligheid, maar je loopt ermee in de voet. Zodra één account gehackt wordt, kan de aanvaller zich door je hele cloud omgeving bewegen.
Volgens OWASP Top 10:2025 is Security Misconfiguration inmiddels de op één na meest voorkomende kwetsbaarheid in webapplicaties, met een gemiddelde incidentie van 3 procent. Bij cloud omgevingen ligt dit cijfer hoger, omdat configuratiefouten sneller gemaakt en minder snel opgemerkt worden dan code fouten.
De oplossing is vervelend maar rechttoe rechtaan. Geef elke rol of applicatie alleen de rechten die strikt nodig zijn. Gebruik managed identities in plaats van access keys in code. En draai minstens elk kwartaal een access review om te kijken wie er nog welke rechten heeft.
3. Ontbrekende of zwakke Multi Factor Authentication
Microsofts Security Defaults in Azure schakelen MFA in voor verdachte aanmeldingen, maar niet standaard voor alle gebruikers. Dat is een begin, maar het is onvoldoende voor een mkb dat professioneel met security om wil gaan. Eén gestolen wachtwoord is dan voldoende voor toegang tot je hele tenant.
De juiste aanpak is MFA verplichten voor alle gebruikers, inclusief service accounts waar dat kan. Gebruik waar mogelijk phishing resistente methodes zoals hardware keys of platform authenticators. Conditional Access policies in Entra ID helpen je om af te dwingen dat MFA niet uitgezet kan worden door een individuele gebruiker.
4. Geen of onvolledige audit logging
Cloud providers loggen standaard veel, maar lang niet alles staat standaard aan. In Google Cloud moet je bijvoorbeeld data access logs apart aanzetten. In Azure zijn sommige diagnostische instellingen niet standaard actief. Google zelf benadrukt dat je logging apart moet configureren per project.
Het gevolg is dat je bij een incident niet kunt terugzien wat er is gebeurd. Zorg dat je audit logging volledig aan staat en goed configureerd is. Gebruik tools die jouw logbestanden automatisch analyseren op verdachte activiteiten.
5. Ontbrekende of verouderde beveiligingsinstellingen
Veel mkb organisaties negeren standaard beveiligingsinstellingen zoals automatische updates, netwerkbeperkingen of geautomatiseerde patch management. Dit leidt tot kwetsbaarheden die aanvallers kunnen misbruiken.
Gebruik CSPM tools om je cloudomgeving continu te scannen op zwakke instellingen. Zorg dat automatische updates en beveiligingsbeleid standaard actief zijn. Doe dit minstens maandelijks of bij elke wijziging in je infrastructuur.
Checklist: 5 stappen naar betere cloud security
- Controleer of alle storage buckets en blob containers publiek toegankelijk zijn.
- Geef iedere gebruiker en applicatie alleen de minimale rechten die nodig zijn.
- Zorg dat MFA verplicht is voor alle accounts, inclusief service accounts.
- Activeer audit logging in al je cloudomgevingen.
- Voer minstens eenmaal per kwartaal een beveiligingsreview uit met behulp van CSPM tools.
Deze stappen zorgen voor een betere basis. Zorg dat je ze vandaag nog uitvoert, en niet wacht tot het te laat is.
