Veilig digitaal werken: drie gewoontes die het meeste verschil maken
Cybersecurity klinkt als iets voor grote bedrijven met een eigen IT-afdeling. In de praktijk zijn net kleinere bedrijven het kwetsbaarst, simpelweg omdat er minder tijd en kennis naartoe gaat.
Cybersecurity klinkt voor veel kmo’s als iets voor grote bedrijven met een eigen IT-afdeling. In de praktijk zijn het net kleinere bedrijven die het kwetsbaarst zijn, simpelweg omdat er minder tijd, budget en kennis naartoe gaat. Hieronder wat wij tegenkomen, en wat volgens ons het meeste verschil maakt.
Wat wij bij kmo’s zien fout lopen
Eén wachtwoord voor bijna alles. Hetzelfde wachtwoord voor de mailbox, de boekhoudsoftware en allerlei online accounts. Zodra dat ene wachtwoord ergens uitlekt, bijvoorbeeld via een datalek bij een derde partij, staat de deur bij alle andere toepassingen open.
Geen tweestapsverificatie. Vaak wel beschikbaar in de software die al gebruikt wordt, maar nooit geactiveerd omdat het als een lastige extra stap voelt. Net dat ene stapje is meestal het verschil tussen een poging die faalt en een account dat effectief overgenomen wordt.
Te weinig argwaan bij mail. Een bericht dat er dringend en officieel uitziet, zogenaamd van de bank, een leverancier of zelfs de eigen zaakvoerder, wordt te snel vertrouwd, zeker wanneer iemand het druk heeft. Phishing speelt daar bewust op in.
Updates die blijven liggen. Beveiligingsupdates worden uitgesteld omdat een herstart net niet uitkomt. Net die updates dichten vaak kwetsbaarheden die op dat moment al actief misbruikt worden.
Back-ups die er wel zijn, maar nooit getest werden. Er wordt van uitgegaan dat het back-upsysteem werkt, zonder ooit te controleren of er ook echt iets teruggezet kan worden. Pas wanneer het nodig is, blijkt soms dat het al maanden misliep zonder dat iemand het merkte.
Te veel toegang voor te veel mensen. Iedereen beheerder op zijn eigen toestel, of iedereen toegang tot elke gedeelde map, ook wanneer de functie dat niet vraagt. Hoe meer mensen bij gevoelige gegevens kunnen, hoe groter het risico bij een menselijke fout of een gekaapt account.
De drie gewoontes die het meeste opleveren
Tweestapsverificatie, overal waar het kan. Met voorsprong de meest effectieve en goedkoopste maatregel die er is. Zelfs wanneer een wachtwoord uitlekt, blijft een account beschermd zolang die tweede stap actief staat. Wij raden dit standaard aan als eerste concrete stap.
Even nadenken voor u klikt, en dat aanleren aan het hele team. Geen technische maatregel maar een reflex: bij twijfel over een mail, link of bijlage even via een ander kanaal nagaan of het wel degelijk om de juiste afzender gaat. Deze gewoonte kost niets en stopt een groot deel van de incidenten voor ze beginnen.
Regelmatig écht testen of uw back-up werkt. Niet alleen controleren of de back-up draait, maar effectief een bestand of een volledige omgeving terugzetten, om zeker te zijn dat het ook werkt wanneer het erop aankomt. Een back-up die nooit getest werd, is in de praktijk vaak niet meer dan een vals gevoel van veiligheid.
Een voorbeeld uit de praktijk
Bij een kmo met een tiental medewerkers kreeg iemand op de boekhoudafdeling een mail die er op het eerste gezicht uitzag als een gewone factuur van een bekende leverancier: dezelfde opmaak, dezelfde schrijfstijl als andere berichten van die leverancier. Het afzenderadres leek bijna identiek, op een klein detail na dat niemand opmerkte.
De medewerker opende de bijlage, waarmee op de achtergrond kwaadaardige software geïnstalleerd werd. Diezelfde dag nog probeerde iemand vanaf een ongebruikelijke locatie in te loggen op haar mailbox. Die poging faalde, omdat op dat account wél tweestapsverificatie actief stond.
Zonder die extra laag had de indringer waarschijnlijk toegang gekregen tot de volledige mailbox, inclusief eerdere facturen en klantgegevens: materiaal dat perfect bruikbaar is om nog geloofwaardiger phishing op te zetten bij anderen.
Het toestel moest wel grondig gecontroleerd en opgekuist worden, en er ging een dag verloren aan onderzoek en herstel. Vervelend, maar beperkt. Zonder tweestapsverificatie had dit er heel anders kunnen uitzien, met mogelijk toegang tot de volledige mailomgeving en het risico op vervalste facturen met gewijzigde rekeningnummers. Dat laatste hebben wij bij andere bedrijven wel al zien gebeuren, met financiële schade tot gevolg.
Dit incident maakt in één keer duidelijk waarom die drie gewoontes tellen: de phishingmail zelf was moeilijk te vermijden, de kritische blik had het kunnen stoppen voor het misliep, en de tweestapsverificatie stopte het alsnog nadat het toch al fout ging.
Wil u weten hoe veilig uw huidige digitale werking is? Neem gerust contact op voor een vrijblijvende doorlichting. Vaak volstaan een paar gerichte aanpassingen om het risico fors te verlagen.