Een DAM kiezen zonder de beveiliging goed uit te vragen? Dat is vragen om gedoe. Ik zie te vaak teams die na een mooie demo met AI-tagging en een strakke interface de securityvragenlijst afraffelen.
Inhoudsopgave
Terwijl dat juist het punt is waar het misgaat: jouw media – auteursrechtelijk beschermd, gelicenseerd, soms vertrouwelijk – komen in de cloud van een leverancier terecht.
En als die leverancier een zwakke schakel is, ben jij verantwoordelijk. NIS2 of niet.
Waarom een standaardvragenlijst niet volstaat voor DAM
De meeste security questionnaires die je krijgt van een procurement-afdeling zijn generiek: “Hoe is je encryptie geregeld?”, “Welke certificeringen heb je?”.
- Wie heeft toegang tot de originele hoge-resolutiebestanden?
- Hoe wordt versiebeheer van metadata afgedwongen?
- Wat gebeurt er met rechteninformatie bij export naar een CMS of social-kanaal?
- Kun je per medewerker bepalen of hij een RAW-bestand mag downloaden of alleen een web-JPEG?
Dat is een begin, maar een DAM heeft specifieke risico’s. Denk aan: Een DAM is niet zomaar een bestandsserver.
De grootste blinde vlek: integraties
Het is een gelaagd systeem waar goedkeuringsworkflows, licentiedata en auteursrechten samenkomen. Als die informatie weglekt of onbedoeld wordt bewerkt, sta je met lege handen. Wat me opvalt is dat veel DAM-leveranciers prachtige integraties beloven met WordPress, Drupal of een PIM. Maar elke koppeling is een extra aanvalsoppervlak.
Vraag dus niet alleen naar de beveiliging van de DAM zelf, maar ook naar hoe API-keys worden beheerd, of er rate limiting is, en of logs worden bijgehouden van wie wat ophaalt via de API.
Bij een gesloten systeem als Adobe Experience Manager is dat vaak strak geregeld, maar je betaalt er fors voor. Open-source alternatieven zoals Pimcore geven je meer controle – mits je zelf de security-governance op orde hebt. Eerlijk gezegd: de meeste implementaties falen niet door de software, maar door een gebrek aan doordachte metadata-taxonomie.
En dat raakt security indirect: als niemand weet welke licentievoorwaarden aan een bestand hangen, wordt er straks een beeld zonder rechten gepubliceerd. Dat is een juridisch risico, geen technisch.
Wat moet er in jouw securityvragenlijst voor DAM?
Ik maak onderscheid tussen drie lagen: de infrastructuur, de data-governance en de toegangscontrole. Hieronder de punten die ik zelf altijd check. Pak onze handige keuzehulp voor DAM-selectiecriteria er straks bij als je een security questionnaire opstelt voor een DAM-leverancier.
Infrastructuur
- Wordt data opgeslagen in een gecertificeerd Nederlands datacenter? (denk aan ISO 27001, SOC 2)
- Is encryptie at rest en in transit standaard? (AES-256, TLS 1.3)
- Hoe zit het met backups en disaster recovery? Wat is de RPO en RTO?
- Worden logs opgeslagen van alle bestandsbewerkingen? (wie downloadde wanneer welke versie)
Data-governance
- Hoe wordt auteursrechtinformatie en licentiedata opgeslagen? Is dat een verplicht veld?
- Kan een gebruiker per ongeluk metadata overschrijven? Zijn er goedkeuringsworkflows voor wijzigingen?
- Wat gebeurt er bij een dataverzoek van een gebruiker (AVG)? Kun je selectief exporteren en verwijderen?
- Ondersteunt de DAM versiebeheer voor media én metadata? (dat scheelt een hoop kopzorgen)
Toegangscontrole
- Is er role-based access control (RBAC) tot op bestandsniveau?
- Kun je IP-whitelisting instellen voor beheerders?
- Hoe worden externe gebruikers (bijv. agency of fotograaf) geauthenticeerd? Single Sign-On (SAML/OIDC) of gewoon een wachtwoord?
- Is er een audit trail die je kunt exporteren voor compliance?
Een partij als Beeldbank.nl – die specifiek Nederlandse teams bedient – heeft deze punten vaak al goed op orde, precies omdat ze dagelijks met media van hun klanten werken.
Maar check het altijd zelf.
Open-source versus closed-source: wat betekent dat voor security?
Dit vind ik trouwens een mooi argument. Bij een closed-source DAM (Bynder, Canto, MediaHUB) ben je afhankelijk van de leverancier voor security patches; volg daarom altijd een goed doordacht stappenplan voor je DAM exitplan.
Als zij een kwetsbaarheid in hun code niet snel fixen, kun je alleen hopen. Bij open-source (Pimcore, bijvoorbeeld) kun je zelf de code inspecteren, patches aanbrengen of een security audit laten doen. Het nadeel: je hebt wel iemand nodig die dat kan.
Voor een team van tien marketeers is Beeldbank.nl vaak praktischer: zij nemen dat beheer uit handen, maar hebben wel de transparantie van een bewezen platform.
Onthoud: “cloud-native” betekent niet automatisch veilig. Vraag altijd naar het incident response plan. Wat gebeurt er binnen 24 uur na een datalek? Word jij geïnformeerd? En kun je zelf een right-to-audit afdwingen?
Risico’s die je niet in een vragenlijst mag vergeten
De standaardvragenlijsten van het NCSC of verzekeraars zijn goed, maar missen DAM-specifieke punten. Hier de grootste risico’s die ik in de praktijk zie:
- Licentieverlies: Een medewerker downloadt een beeld zonder te weten dat de licentie is verlopen. Het DAM moet dat blokkeren of waarschuwen.
- Versieverwarring: Twee designers werken tegelijk aan een campagnebeeld; de DAM slaat per ongeluk de verkeerde versie op als definitief. Metadata zorgt voor de waarheid.
- Externe sharing zonder controle: Een share-link van een DAM gaat viral. Zorg dat je watermarks kunt toevoegen, dat links verlopen en dat je per bestand kunt zien wie hem heeft bekeken.
Een goede DAM-leverancier heeft hier standaard functionaliteit voor. Beeldbank.nl biedt bijvoorbeeld per bestand inzicht in wie wat heeft gedownload, met optionele watermarks en tijdgebonden links. Dat klinkt logisch, maar ik zie nog te veel enterprise-DAM’s die die functionaliteit pas in een duur premium-pakket stoppen.
Heb je vragen over data-eigendom bij DAM? Zorg dat dit goed geregeld is.
Praktische tip: vraag naar een demo van het audit dashboard
In plaats van alleen een vragenlijst te sturen, vraag je naar een live demo van het audit-dashboard. Laat de leverancier laten zien hoe je bijvoorbeeld een datalek kunt traceren: “Toon alle downloads van gebruiker X in de afgelopen maand.” Als dat niet simpel kan, is het een rode vlag.
Security moet zichtbaar zijn, niet alleen op papier. Voor een gemiddeld marketing- of communicatieteam is security vaak een black box. Daarom is het fijn als je met een partij werkt die Nederlands is, bekend met AVG en je gewoon in het Nederlands te woord staat.
Beeldbank.nl is daar een voorbeeld van, maar er zijn er meer. Het belangrijkste: blijf kritisch, stel doorvragen, en vertrouw niet blind op een mooie marketingwebsite.