Een gehackt e-mailaccount, een laptop die in de trein blijft liggen, een nepfactuur die wordt betaald. Voor een kapsalon, installateur of webwinkel zijn dat geen abstracte risico’s. De meeste incidenten beginnen niet met een geavanceerde aanval, maar met iets eenvoudigs dat niet goed geregeld was.
Het goede nieuws: met een handvol basismaatregelen sluit je de meest gebruikte deuren. Ze kosten weinig, je kunt ze grotendeels zelf regelen en ze helpen meer dan een duur pakket dat niemand begrijpt.
Accounts beschermen
Tweestapsverificatie
Zet tweestapsverificatie aan op alles wat ertoe doet: e-mail, bankieren, boekhouding, je domeinnaam, je website en je bedrijfssoftware. Wie dan je wachtwoord buitmaakt, komt er zonder de tweede stap (een code in een app of een fysieke sleutel) nog niet in. Begin bij e-mail, want via e-mail kan iemand bij bijna elk ander account een nieuw wachtwoord aanvragen.
Een wachtwoordmanager
Eén wachtwoord voor alles is het grootste risico: lekt het bij één dienst, dan probeert een aanvaller het overal. Een wachtwoordmanager maakt voor elk account een lang, uniek wachtwoord en onthoudt het voor je. Geef elke medewerker een eigen kluis en deel gezamenlijke accounts via een gedeelde map in plaats van via een briefje of een appgroep.
Rechten beperken
Niet iedereen hoeft overal bij. Een stagiair in een restaurant hoeft geen toegang tot de bankrekening en een uitzendkracht heeft geen beheerrechten op de computer nodig. Geef iedereen een eigen account met alleen de rechten die bij zijn werk horen, en sluit accounts direct af als iemand vertrekt.
Updates en back-ups
Updates
Veel aanvallen misbruiken lekken waarvoor al een update bestaat. Zet automatische updates aan op computers, telefoons, de router en de software die je gebruikt. Vervang apparaten die geen beveiligingsupdates meer krijgen. Voor je website geldt hetzelfde, ook voor het systeem eronder: hoe dat misgaat lees je in ons artikel over het PHP-lek dat DigiD en MijnOverheid offline haalde.
Back-ups volgens 3-2-1
Een back-up is pas iets waard als je hem kunt terugzetten, ook na ransomware die alles versleutelt wat bereikbaar is. Een bruikbare vuistregel is 3-2-1:
- 3 kopieën: het origineel en twee back-ups.
- 2 soorten opslag: bijvoorbeeld een externe schijf en online opslag.
- 1 buiten de deur: minstens één kopie die niet op dezelfde plek of hetzelfde netwerk staat, en liefst niet zomaar aan te passen is.
Test af en toe of terugzetten werkt. Een back-up die niemand ooit heeft teruggezet, is een aanname.
Phishing herkennen
Phishing is een bericht dat je laat klikken, inloggen of betalen voor iemand die zich voordoet als een ander: je bank, een leverancier, een pakketdienst of je eigen collega. Bij een hotel kan het een nepboeking met een link zijn, bij een autobedrijf een factuur met een gewijzigd rekeningnummer.
- Haast en druk: een bericht dat zegt dat het nu moet, is een reden om juist langzamer te gaan.
- Afwijkende afzender of link: kijk naar het echte adres, niet naar de naam die erboven staat.
- Betaalgegevens gewijzigd: controleer een nieuw rekeningnummer altijd via een bekend telefoonnummer, nooit via het bericht zelf.
- Inlogpagina via een link: ga liever zelf naar de website of open de app.
Bespreek dit kort met je team, bijvoorbeeld met een echt voorbeeld uit je eigen inbox. Spreek af dat melden altijd goed is, ook als iemand al heeft geklikt. Hoe sneller je het weet, hoe kleiner de schade.
Je website
Je website is het deel van je bedrijf dat voor iedereen op internet bereikbaar is. Let in elk geval op:
- HTTPS overal: elke pagina via een beveiligde verbinding, ook op subdomeinen, zonder onderdelen die nog via http laden.
- Beveiligingsheaders: instellingen die de browser vertellen wat wel en niet mag, zoals HSTS en een Content Security Policy.
- Formulieren en inloggen: invoer controleren op de server en het aantal pogingen per minuut beperken.
- Weinig onderdelen van derden: elke plugin of extra dienst is code die iemand anders onderhoudt.
Wil je weten hoe je huidige site ervoor staat? Doe de gratis websitecheck.
Een plan voor als het misgaat
Je hoeft geen dik draaiboek te hebben, maar wel een blaadje met antwoorden op een paar vragen, zodat je niet hoeft na te denken als het zover is:
- Wie bel je? je IT-partij, je softwareleverancier, je bank en eventueel je verzekeraar, met telefoonnummers op papier.
- Wat doe je meteen? het getroffen apparaat van het netwerk halen, wachtwoorden wijzigen vanaf een ander apparaat en betalingen laten blokkeren.
- Moet je melden? gaat het om persoonsgegevens, dan moet een datalek volgens de AVG in de regel binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld, en soms ook aan de betrokkenen.
- Hoe kom je weer op gang? waar staan de back-ups en wie kan ze terugzetten?
Veelgestelde vragen
Waar begin ik als ik weinig tijd heb?
Zet tweestapsverificatie aan op je e-mail en bankieren, en controleer of er een back-up is die buiten je kantoor staat. Dat zijn de twee maatregelen met de meeste winst.
Is een virusscanner genoeg?
Nee. Een virusscanner helpt, maar beschermt niet tegen een gestolen wachtwoord, een nepfactuur of een ontbrekende back-up. Het is één laag naast de andere maatregelen.
Wat moet ik doen als een medewerker op een phishinglink heeft geklikt?
Wijzig direct het wachtwoord van het betreffende account vanaf een ander apparaat, controleer of tweestapsverificatie aan staat en kijk of er vreemde doorstuurregels of betalingen zijn. Twijfel je, schakel dan je IT-partij in.