Naar inhoud
IT-Checklist

Cybersecurity: checklist en advies

Laatst bijgewerkt: · Redactie IT-Checklist · Alle wijzigingen

Cybersecurity klinkt als iets voor grote organisaties met een eigen securityteam. Toch zijn de aanvallen op het mkb meestal helemaal niet gericht. Criminelen scannen het hele internet op verouderde software en sturen dezelfde phishingmail naar duizenden bedrijven. Heb je de basis op orde, dan val je al snel af als doelwit.

De vragen in dit thema gaan over die basis: updates, beveiligingssoftware, personeel dat weet waar het op moet letten en een beschermd e-maildomein. En over wat je doet als het toch misgaat.

Kijk waar jouw bedrijf staat op cybersecurity

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit ertoe doet

Ransomware begint vaak met Ă©Ă©n geopende bijlage, of met Ă©Ă©n systeem zonder de laatste patches dat vanaf internet bereikbaar is. Daarna versleutelt de aanvaller je bestanden en vraagt hij losgeld. Voor een klein bedrijf betekent dat dagen tot weken stilstand.

Zonder SPF, DKIM en DMARC kan iedereen mail versturen die van jouw domein lijkt te komen. Klanten krijgen dan nepfacturen met jouw naam erop. Je echte mail belandt ook vaker in de spam.

De 14 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

  1. Alle computers en telefoons krijgen automatisch beveiligingsupdates.

    Eerst regelen

    Zet automatische updates aan op alle apparaten en controleer maandelijks of alles up-to-date is, ook browsers en plugins.

  2. Op alle computers draait actuele antivirus-/endpointbeveiliging.

    Belangrijk

    Gebruik minimaal de ingebouwde beveiliging (Microsoft Defender) en overweeg een zakelijke endpointoplossing bij groei.

  3. Medewerkers weten hoe ze phishing herkennen en waar ze verdachte berichten kunnen melden.

    Belangrijk

    Bespreek phishing regelmatig, deel voorbeelden en spreek Ă©Ă©n meldpunt af. Overweeg een korte jaarlijkse training.

  4. Wij weten wat we moeten doen bij een cyberincident (wie bellen, wat eerst).

    Belangrijk

    Maak een A4'tje met stappen bij een incident: systemen isoleren, wachtwoorden wijzigen, IT-hulp en verzekering bellen, bewijs bewaren.

  5. Belangrijke bedrijfsdata is versleuteld opgeslagen (schijfversleuteling op laptops, versleutelde cloud).

    Aanbevolen

    Zet BitLocker (Windows) of FileVault (Mac) aan op alle laptops. Bij diefstal blijft je data dan onleesbaar.

  6. Wij hebben een cyberverzekering of hebben bewust besloten die niet af te sluiten.

    Aanbevolen

    Onderzoek wat een cyberverzekering kost en dekt (o.a. hulp bij ransomware en aansprakelijkheid) en maak een bewuste keuze.

  7. Ons e-maildomein is beschermd tegen vervalsing met SPF, DKIM en DMARC.

    Belangrijk

    Laat SPF, DKIM en DMARC instellen op je domein (via je IT-beheerder of hostingpartij). Dit voorkomt dat criminelen mails uit jouw naam versturen.

  8. Wij gebruiken geen verouderde software of systemen die geen beveiligingsupdates meer krijgen (bijv. oude Windows-versies).

    Belangrijk

    Inventariseer software en systemen die 'end-of-life' zijn en vervang of isoleer ze. EĂ©n verouderde machine kan de toegangspoort tot je hele netwerk zijn.

  9. Medewerkers kunnen niet zelf zomaar software installeren op werkcomputers (geen standaard adminrechten).

    Aanbevolen

    Geef medewerkers een gewoon gebruikersaccount zonder adminrechten. Dat blokkeert veel malware en voorkomt wildgroei aan onbeheerde software.

  10. Macro's en bijlagen uit onbekende bron worden geblokkeerd of pas geopend na controle.

    Aanbevolen

    Blokkeer Office-macro's uit internetbronnen (staat in Microsoft 365 standaard aan — controleer het) en spreek af dat onverwachte bijlagen eerst worden geverifieerd.

  11. Systemen zijn niet onnodig rechtstreeks vanaf internet bereikbaar; extern werken gaat via een beveiligde verbinding (VPN of vergelijkbaar).

    Belangrijk

    Open remote desktop of NAS nooit rechtstreeks naar internet. Gebruik een VPN of een zakelijke remote-access-oplossing met MFA; open poorten worden binnen minuten gescand.

  12. Wij testen ons incidentplan minstens Ă©Ă©n keer per jaar met een korte oefening (bijv. een tabletop-oefening).

    Belangrijk

    Een plan op papier werkt anders in de praktijk. Speel Ă©Ă©n keer per jaar een scenario door (bijv. 'we zijn getroffen door ransomware') en kijk wat wel en niet werkt.

    Geldt voor: mkb, bv

  13. Wij testen medewerkers periodiek met een gesimuleerde phishingmail om alertheid te meten en te verbeteren.

    Aanbevolen

    Diverse leveranciers bieden goedkope phishingsimulaties aan. Gebruik de uitkomst om te trainen, niet om af te straffen — zo blijft het een leermoment.

    Geldt voor: mkb, bv

  14. Kwetsbaarheden in software en systemen worden actief gescand en binnen een vastgestelde termijn verholpen (patchbeleid).

    Belangrijk

    Automatische updates vangen veel af, maar niet alles. Laat periodiek een kwetsbaarhedenscan draaien en spreek af binnen welke termijn kritieke lekken gedicht worden.

Hier begin je

  • Zet automatische updates aan op alle computers, telefoons en tablets. Vervang apparaten die geen beveiligingsupdates meer krijgen.
  • Test je e-maildomein gratis op internet.nl. Kleurt de test rood, vraag je hostingpartij dan om SPF, DKIM en DMARC in te stellen.
  • Schrijf op Ă©Ă©n A4 wie je belt bij een incident (IT-partner, bank, verzekeraar) en wat de eerste drie stappen zijn. Bespreek dat blad Ă©Ă©n keer per jaar met het team.
  • Haal de standaard beheerdersrechten bij medewerkers weg. Dan kan niet iedereen zomaar software installeren.

Veelgemaakte fouten

  • Denken dat de virusscanner alles tegenhoudt en daarom updates laten liggen.
  • Een incidentplan hebben dat niemand kent, omdat het nooit geoefend is.
  • Remote desktop of een beheerpaneel gewoon open op internet laten staan 'omdat thuiswerken dan makkelijk is'.

Officiële bronnen

Lees verder

Alle thema's in de checklist