Goede cybersecurity voor het MKB begint niet met dure software, maar met een paar basismaatregelen in de juiste volgorde: MFA op elk account, automatische updates, een wachtwoordmanager en beperkte beheerdersrechten. Daarna volgen e-mailbeveiliging, geteste backups en een incidentplan. Met deze checklist werk je de veertien belangrijkste stappen af, van snel en gratis naar meer werk.
Waarom deze volgorde
Aanvallers op kleine bedrijven zoeken meestal de makkelijkste ingang: een gestolen wachtwoord, een laptop zonder updates of een medewerker die op een nep-inlogpagina klikt. Daarom staan de maatregelen hieronder op volgorde van wat het meeste risico wegneemt per bestede uur. Je hoeft niet alles in één week te doen. Werk van boven naar beneden en vink af wat klaar is.
De tabel geeft per maatregel een inschatting van impact en moeite. Dat is een richtlijn, geen meting.
| Maatregel | Impact | Moeite | Zelf te doen? |
|---|---|---|---|
| 1. MFA overal | Zeer hoog | Laag | Ja |
| 2. Updates en patchbeheer | Zeer hoog | Laag | Ja |
| 3. Wachtwoordmanager | Hoog | Laag | Ja |
| 4. Beheerdersrechten beperken | Hoog | Laag tot middel | Deels |
| 5. Phishing herkennen | Hoog | Laag | Ja |
| 6. SPF, DKIM en DMARC | Hoog | Middel | Deels |
| 7. Endpoint beveiliging | Hoog | Middel | Deels |
| 8. Firewall en netwerksegmentatie | Middel tot hoog | Middel tot hoog | Meestal niet |
| 9. Geteste backups | Zeer hoog | Middel | Deels |
| 10. Toegangsbeheer bij in- en uitdienst | Hoog | Laag | Ja |
| 11. Apparaten versleutelen | Middel tot hoog | Laag | Ja |
| 12. Leveranciers en koppelingen | Middel | Middel | Ja |
| 13. Incidentplan | Hoog | Laag | Ja |
| 14. Meldplicht datalekken | Verplicht | Laag | Ja |
De basis: accounts en apparaten
1. MFA overal
Multifactorauthenticatie (MFA) betekent dat inloggen naast een wachtwoord ook een code of goedkeuring op je telefoon vraagt. Een gestolen wachtwoord is dan alleen niet genoeg. Dit is de maatregel met de meeste winst voor de minste moeite. Zet het aan op e-mail en Microsoft 365, maar ook op je boekhoudpakket, bankomgeving, domeinregistratie, website en sociale media.
Gebruik bij voorkeur een authenticator-app in plaats van sms. In Microsoft 365 kun je MFA voor de hele organisatie afdwingen, zodat niemand het kan overslaan. Hoe dat werkt bij een overstap lees je in ons artikel over overstappen naar Microsoft 365.
2. Updates en patchbeheer
Veel aanvallen misbruiken lekken waarvoor allang een update bestaat. Zet automatische updates aan voor Windows, macOS, browsers en Office. Vergeet de apparaten die niemand ziet: de router, firewall, NAS, printer en camera's. Controleer maandelijks of alles echt bijgewerkt is. Apparaten die geen updates meer krijgen, vervang je.
3. Wachtwoordmanager
Met een wachtwoordmanager heeft elk account een uniek, lang wachtwoord en hoeft niemand ze te onthouden. Kies een zakelijke variant waarmee je wachtwoorden per team deelt en toegang intrekt als iemand vertrekt.
4. Beheerdersrechten beperken
Werk niet dagelijks met een account dat beheerdersrechten heeft. Als zo'n account wordt overgenomen, kan de aanvaller alles. Geef medewerkers een normaal account en houd een apart beheeraccount voor installaties en instellingen. In Microsoft 365 geldt hetzelfde: zo min mogelijk globale beheerders, en die accounts altijd met MFA.
- MFA staat aan op e-mail, Microsoft 365, bank, boekhouding en domein
- Automatische updates staan aan op alle laptops en pc's
- Router, firewall, NAS en printer draaien op actuele firmware
- Iedereen gebruikt de zakelijke wachtwoordmanager
- Niemand werkt dagelijks met beheerdersrechten
Mensen en e-mail
5. Phishing herkennen en bewustwording
De meeste incidenten beginnen met een mail, sms of telefoontje dat er echt uitziet. Leer je team op een paar signalen letten: haast, een afwijkend afzenderadres, een link naar een onbekend domein, of een verzoek om een rekeningnummer te wijzigen. Spreek af dat betaalverzoeken en wijzigingen van bankgegevens altijd telefonisch worden gecontroleerd via een bekend nummer.
Belangrijk: maak het makkelijk en veilig om een fout te melden. Iemand die meteen zegt "ik heb op iets geklikt" bespaart je veel schade.
6. E-mailbeveiliging: SPF, DKIM en DMARC
Met deze drie DNS-instellingen voorkom je dat criminelen mail versturen die van jouw domein lijkt te komen. SPF legt vast welke servers namens jou mogen mailen. DKIM zet een digitale handtekening onder elke mail. DMARC vertelt ontvangende mailservers wat ze moeten doen met mail die niet klopt, en stuurt jou rapporten.
Begin met DMARC in de stand die alleen rapporteert. Controleer of je nieuwsbriefdienst, facturatiesysteem en website goed zijn opgenomen, en schroef de instelling daarna stapsgewijs aan. Doe je dit in één keer streng, dan komen je eigen facturen mogelijk niet meer aan.
- Het team kent de signalen van phishing
- Wijzigingen van bankgegevens worden altijd telefonisch gecontroleerd
- SPF en DKIM zijn ingesteld voor alle diensten die namens jou mailen
- DMARC staat aan en de rapporten worden bekeken
Techniek: endpoint en netwerk
7. Endpoint beveiliging
Elke laptop en pc heeft een actuele virusscanner nodig die centraal te volgen is. Voor kleine bedrijven is de ingebouwde beveiliging van Windows vaak een goed vertrekpunt, mits die aan staat en je meldingen ziet. Met een zakelijke Microsoft 365 licentie kun je apparaten bovendien centraal beheren en beleid afdwingen, zoals een schermvergrendeling en versleuteling. Een extra pakket kopen is niet altijd nodig: kijk eerst wat je licentie al biedt.
8. Firewall en netwerksegmentatie
Een consumentenrouter van de provider is geen zakelijke firewall. Met een UniFi gateway en switches deel je het netwerk op in VLAN's: aparte netwerken voor werkplekken, camera's, printers en telefonie. Raakt één apparaat besmet, dan kan het niet zomaar bij de rest. Bezoekers krijgen een gescheiden gastnetwerk zonder toegang tot je bestanden of printers.
Sluit ook poorten die openstaan naar internet en die je niet gebruikt, en zet beheer op afstand alleen open via een beveiligde verbinding. Meer over de opbouw lees je in ons artikel over een UniFi netwerk voor je bedrijf en op de pagina over netwerkbeheer met UniFi.
- Alle apparaten hebben actieve, centraal zichtbare endpoint beveiliging
- Werkplekken, camera's en printers zitten in aparte VLAN's
- Gasten gebruiken een gescheiden gastnetwerk
- Er staan geen onnodige poorten open naar internet
Backups, toegang en versleuteling
9. Geteste backups
Een backup die je nooit hebt teruggezet, is een hoop. Bij ransomware is een werkende backup vaak het verschil tussen een vervelende dag en weken stilstand. Houd minimaal één kopie die niet direct vanaf je netwerk te wijzigen of te verwijderen is, en vergeet Microsoft 365 niet: mail, OneDrive en SharePoint verdienen ook een eigen backup. Test het terugzetten periodiek met een echt bestand of een complete mailbox. In ons artikel over een backup strategie voor het MKB lees je hoe je dat opzet.
10. Toegangsbeheer bij in- en uitdienst
Maak een vaste lijst voor nieuwe en vertrekkende medewerkers. Bij indiensttreding krijgt iemand alleen toegang tot wat nodig is. Bij uitdiensttreding blokkeer je accounts op de laatste werkdag, wijzig je gedeelde wachtwoorden, haal je apparaten op en draag je mail en bestanden over. Een oud account dat nog actief is, is een open deur.
11. Apparaten versleutelen
Zet BitLocker op Windows en FileVault op Mac aan. Raakt een laptop kwijt, dan zijn de gegevens zonder wachtwoord onleesbaar. Bewaar de herstelsleutels centraal, bijvoorbeeld gekoppeld aan je Microsoft 365 omgeving, en niet alleen op het apparaat zelf. Telefoons met zakelijke mail krijgen een pincode en wissen op afstand.
- Het terugzetten van een backup is dit kwartaal getest
- Er is een backup van Microsoft 365 mail en bestanden
- Er is een checklist voor in- en uitdienst en die wordt gebruikt
- Alle laptops zijn versleuteld en de herstelsleutels staan veilig
Leveranciers, incidenten en de meldplicht
12. Leveranciers en koppelingen
Je bent zo sterk als de zwakste schakel. Maak een lijst van alle diensten die bij je gegevens kunnen: boekhouding, CRM, webshop, betaalsystemen en apps die gekoppeld zijn aan je Microsoft 365 omgeving. Verwijder koppelingen die niemand meer gebruikt, controleer of leveranciers MFA ondersteunen en sluit een verwerkersovereenkomst af waar persoonsgegevens worden verwerkt. Koppelingen die je zelf laat bouwen, zoals bij automatisering van facturatie en betaalsystemen, krijgen eigen sleutels met alleen de rechten die nodig zijn.
13. Incidentplan: wie bel je, wat doe je in het eerste uur
Als het misgaat, wil je niet nog moeten nadenken. Zet op één A4 wie je belt en wat je doet, en print het uit: bij een aanval kan je computer onbruikbaar zijn.
- Haal het getroffen apparaat van het netwerk: kabel eruit, wifi uit. Zet het niet uit, dan blijft informatie bewaard.
- Bel je IT partner en meld wat je zag en wanneer.
- Wijzig het wachtwoord van het getroffen account vanaf een ander, schoon apparaat en log overal uit.
- Waarschuw collega's als er nepmails vanaf je adres zijn verstuurd.
- Noteer tijdstippen, schermmeldingen en genomen stappen.
- Beoordeel of er persoonsgegevens zijn gelekt. Dan start de meldplicht.
14. Meldplicht datalekken
Zijn persoonsgegevens gelekt, gestolen of versleuteld door ransomware, dan meld je dat binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen. Bij een hoog risico informeer je ook de mensen om wie het gaat. Houd elk datalek bij in een intern register, ook als melden niet nodig is.
NIS2 en de Cyberbeveiligingswet: wat betekent het voor jou?
De Europese NIS2-richtlijn wordt in Nederland ingevuld met de Cyberbeveiligingswet. Die gaat naar verwachting vooral gelden voor middelgrote en grote organisaties in bepaalde sectoren, zoals energie, zorg, transport, digitale infrastructuur en delen van de maakindustrie. Een klein kantoor of zzp'er valt er meestal niet direct onder.
Toch kun je het merken. Lever je aan een organisatie die wel onder de wet valt, dan stelt die naar verwachting eisen aan haar leveranciers via contracten en ketenafspraken. Denk aan vragen over MFA, backups en hoe je incidenten meldt. Wie de checklist in dit artikel heeft afgewerkt, staat er dan goed voor. Voor de actuele stand van de wet en of jouw organisatie eronder valt, kijk je bij de rijksoverheid en het Nationaal Cyber Security Centrum (NCSC).
Het gratis basisniveau dat je zelf regelt
Deze maatregelen kosten alleen tijd en regel je met de instellingen die je al hebt. Het NCSC en het Digital Trust Center van de overheid publiceren daarnaast gratis basismaatregelen en uitleg voor ondernemers.
- MFA aanzetten op alle accounts die het ondersteunen
- Automatische updates inschakelen op alle apparaten
- BitLocker of FileVault aanzetten
- Oude accounts van ex-medewerkers blokkeren
- Een backup terugzetten om te testen of het werkt
- Met het team de signalen van phishing doornemen
- Het incidentplan op papier zetten met telefoonnummers
Wat kost het om dit te laten regelen?
Bij Looman IT betaal je voor alle werkzaamheden hetzelfde tarief van € 95 per uur exclusief BTW, gefactureerd per kwartier. Een indicatie, als rekenvoorbeeld voor een hypothetisch kantoor met 10 werkplekken op Microsoft 365:
- Quickscan: 4 tot 8 uur, dus € 380 tot € 760. Je krijgt een overzicht van wat goed staat, wat ontbreekt en wat je zelf kunt oppakken.
- Inrichting van de belangrijkste maatregelen: 12 tot 24 uur, dus € 1.140 tot € 2.280. Denk aan MFA afdwingen, beheerdersrechten opschonen, SPF, DKIM en DMARC, versleuteling en een backuptest.
- Netwerk opsplitsen met VLAN's en gastnetwerk: extra uren plus eventueel een UniFi gateway of switch, afhankelijk van wat er al hangt.
Hoeveel het precies wordt, hangt af van het aantal gebruikers en apparaten, wat er al goed staat en welke licenties je hebt. Soms is het eerlijke advies dat je weinig hoeft te veranderen. Bij grotere trajecten spreken we vooraf een vaste prijs af. Alle tarieven vind je op de pagina tarieven en werkwijze.
Hulp bij informatiebeveiliging in het MKB
Wil je weten waar jouw bedrijf staat, of wil je de checklist niet zelf afwerken? Op de pagina informatiebeveiliging, toegangsbeheer en backups lees je hoe we dat aanpakken. Binnen Eindhoven en omgeving komen we zonder voorrijkosten langs, en op afstand helpen we door heel Nederland. Neem contact op voor een quickscan en je spreekt direct iemand die meedenkt.