IT-security voor het MKB

De meeste aanvallen op kleine bedrijven zijn niet gericht. Ze zijn geautomatiseerd: massaal verstuurde phishingmails, uitgelekte wachtwoorden die op duizenden accounts worden geprobeerd, en zwakke plekken in software die nog niet is bijgewerkt. Een bedrijf hoeft dus niet interessant te zijn om geraakt te worden. Het hoeft alleen een van de deuren open te laten staan.

Het goede nieuws: juist die deuren zijn met een handvol maatregelen dicht te doen. Je hebt er geen eigen securityteam voor nodig, wel iemand die het een keer goed inricht en daarna bijhoudt.

Op volgorde van wat ze opleveren tegen wat ze kosten. Begin bovenaan.

Maatregel 1 tot en met 3 dekken het grootste deel van het risico. Maatregel 5 en 6 vragen Microsoft 365 Business Premium; met Business Standard kom je daar niet.

AVG. Elk bedrijf dat persoonsgegevens verwerkt, moet die passend beveiligen. Een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Bij een hoog risico informeer je ook de mensen om wie het gaat. Elk datalek leg je vast, ook als je het niet hoeft te melden.

NIS2. Deze Europese richtlijn, in Nederland uitgewerkt in de Cyberbeveiligingswet, geldt voor middelgrote en grote organisaties in bepaalde sectoren. De meeste kleine bedrijven vallen er niet direct onder. Indirect wel vaak: klanten die eronder vallen, gaan aan hun leveranciers vragen hoe die hun beveiliging hebben geregeld. Met de maatregelen hierboven heb je daar een goed antwoord op.

Cyberverzekering. Verzekeraars vragen steeds vaker naar MFA, back-ups en updates voordat ze een polis afsluiten of uitkeren. Kijk in je polis wat er staat; het zijn vaak dezelfde punten.

Beantwoord elke vraag met ja of nee. Elk nee is een concreet punt om op te pakken, in de volgorde van de lijst.

1. 01Moet iedereen bij het inloggen op Microsoft 365 naast het wachtwoord ook een code of melding bevestigen?
2. 02Hebben medewerkers op hun laptop gewone gebruikersrechten, en geen beheerdersrechten?
3. 03Worden Windows-, Office- en browserupdates binnen een paar weken op elke laptop geïnstalleerd, en kun je dat laten zien?
4. 04Is er een back-up van mail, OneDrive, SharePoint en Teams, los van Microsoft zelf?
5. 05Is die back-up het afgelopen half jaar een keer echt teruggezet om te testen?
6. 06Zijn de laptops versleuteld, en kun je een kwijtgeraakte laptop op afstand wissen?
7. 07Wordt een account van iemand die uit dienst gaat dezelfde dag geblokkeerd?
8. 08Weet iedereen wat te doen na een klik op een verdachte link, en bij wie ze dat melden?
9. 09Staan je domeinnaam en je Microsoft-omgeving op naam van je eigen bedrijf, met een beheeraccount dat jij kunt overdragen?
10. 10Is er een overzicht van welke persoonsgegevens je bewaart en waar, voor als je een datalek moet melden?

Twijfel je bij een vraag, of weet je het antwoord niet? Dan is dat meestal ook een nee. Je huidige IT-partij hoort elke vraag te kunnen beantwoorden, met iets wat je kunt zien.

Bij IT Spine zitten de maatregelen uit deze gids in het pakket Compleet: € 65 per medewerker per maand exclusief btw, inclusief werkplekbeheer, Microsoft 365-beheer, support, een back-up met twee hersteltests per jaar en een halfjaarlijkse rapportage. Daarbij komt de licentie Microsoft 365 Business Premium, met een adviesprijs van € 20,60 per gebruiker per maand.

Een volledige opbouw met rekenvoorbeelden staat in de gids Wat kost IT-beheer per medewerker, en wat Compleet precies omvat lees je bij Cyber Security.