Hoe goed is jouw organisatie eigenlijk beschermd tegen cyberaanvallen?
Veel organisaties gaan ervan uit dat hun cybersecurity goed op orde is. Er is antivirussoftware, medewerkers gebruiken Microsoft 365, er worden back-ups gemaakt en misschien is er ook multifactorauthenticatie ingesteld.
Maar hoe goed is de organisatie daadwerkelijk beschermd?
Kun je bijvoorbeeld direct aantonen dat alle belangrijke accounts extra beveiligd zijn? Weet je welke apparaten toegang hebben tot bedrijfsdata? Is de laatste back-up ooit getest? En weet iedereen wat er moet gebeuren als er morgen toch een security-incident plaatsvindt?
Goede cybersecurity draait niet alleen om het hebben van de juiste technologie. Het gaat er vooral om dat de basis aantoonbaar op orde is.
Goede cybersecurity begint bij de basis
Bij cybersecurity wordt al snel gedacht aan geavanceerde beveiligingsoplossingen, monitoring en gespecialiseerde securitysoftware. Die oplossingen kunnen belangrijk zijn, maar ze hebben weinig waarde als de basis niet goed is ingericht.
Denk aan gebruikersaccounts, toegangsrechten, laptops, updates, back-ups en de manier waarop medewerkers omgaan met verdachte berichten.
Juist op die onderdelen ontstaan vaak risico’s.
De belangrijkste vraag is daarom niet hoeveel securitytools je gebruikt, maar of de belangrijkste onderdelen van je IT-omgeving goed zijn ingericht en structureel worden beheerd.
Gebruiken alle medewerkers MFA?
Een gebruikersnaam en wachtwoord zijn tegenwoordig niet voldoende om belangrijke bedrijfsinformatie te beschermen. Als een wachtwoord wordt buitgemaakt via bijvoorbeeld phishing, kan een aanvaller daarmee proberen toegang te krijgen tot e-mail, bestanden en applicaties.
Multifactorauthenticatie, vaak afgekort als MFA, voegt een extra beveiligingslaag toe.
Maar alleen MFA “ergens” inschakelen is niet genoeg. Het is belangrijk om te weten:
- of MFA voor alle relevante accounts actief is;
- of beheerdersaccounts extra goed zijn beveiligd;
- of oude gebruikersaccounts tijdig worden verwijderd;
- en of medewerkers alleen toegang hebben tot informatie die zij daadwerkelijk nodig hebben.
Vooral dat laatste wordt regelmatig onderschat. Hoe meer rechten een account heeft, hoe groter de mogelijke impact wanneer dat account wordt misbruikt.
De praktische vraag is dus: kun je vandaag aantonen dat de juiste accounts op de juiste manier zijn beveiligd?
Zijn apparaten en updates onder controle?
Medewerkers werken niet alleen op kantoor. Ze gebruiken laptops, smartphones en soms persoonlijke apparaten om toegang te krijgen tot bedrijfsinformatie.
Dat maakt goed apparaatbeheer steeds belangrijker.
Weet je bijvoorbeeld welke laptops toegang hebben tot Microsoft 365? Zijn deze apparaten voorzien van de nieuwste beveiligingsupdates? Wordt endpointbeveiliging centraal beheerd? En wat gebeurt er als een laptop wordt verloren of gestolen?
Software-updates lijken soms vooral vervelend, maar bevatten regelmatig belangrijke beveiligingsverbeteringen. Wanneer systemen lange tijd niet worden bijgewerkt, blijven bekende kwetsbaarheden onnodig bestaan.
Met centraal device management kun je veel van deze processen automatiseren en beter controleren welke apparaten toegang krijgen tot de organisatie.
Werken je back-ups ook als je ze nodig hebt?
Vrijwel iedere organisatie maakt back-ups. Toch is er een belangrijk verschil tussen een back-up hebben en daadwerkelijk kunnen herstellen.
Wanneer is voor het laatst getest of bestanden en systemen ook succesvol kunnen worden teruggezet?
Die vraag wordt vooral belangrijk bij ransomware of een grote technische storing.
Een goede back-upstrategie kijkt daarom niet alleen naar het maken van kopieën, maar ook naar:
- welke gegevens worden geback-upt;
- hoe vaak dat gebeurt;
- hoe goed de back-ups zelf zijn beveiligd;
- en hoe snel de organisatie weer kan werken na een incident.
Een back-up waarvan nooit is getest of deze kan worden teruggezet, geeft vooral een gevoel van veiligheid.
Zijn medewerkers voorbereid op phishing?
Technologie kan veel bedreigingen blokkeren, maar medewerkers blijven dagelijks beslissingen nemen over e-mails, links, bestanden en verzoeken.
Phishingberichten worden bovendien steeds overtuigender. Een verdachte e-mail bevat lang niet altijd meer opvallende spelfouten of een vreemd verhaal.
Daarom is security awareness geen eenmalige training die je één keer per jaar afvinkt.
Medewerkers moeten weten waarop ze moeten letten, hoe ze een verdacht bericht kunnen melden en wat ze moeten doen als ze twijfelen. Het moet vooral gemakkelijk zijn om hulp te vragen.
Een sterke securitycultuur ontstaat wanneer medewerkers niet bang zijn om iets te melden, maar juist weten dat snel melden kan voorkomen dat een klein incident uitgroeit tot een groter probleem.
Weet je wat je moet doen als het toch misgaat?
Zelfs met goede beveiliging bestaat honderd procent veiligheid niet.
Daarom hoort ook de vraag “wat doen we als het misgaat?” bij een goede cybersecurityaanpak.
Stel dat meerdere medewerkers op maandagochtend ineens geen toegang meer hebben tot hun bestanden. Wie wordt dan als eerste gebeld? Wie bepaalt welke systemen worden afgesloten? Wie communiceert met medewerkers en klanten? En wie onderzoekt wat er precies is gebeurd?
Als die afspraken pas tijdens een incident worden gemaakt, gaat kostbare tijd verloren.
Een eenvoudig incident response-plan kan daarom al veel verschil maken. Het hoeft niet ingewikkeld te zijn, zolang duidelijk is wie waarvoor verantwoordelijk is en welke stappen als eerste moeten worden genomen.
Kun je aantonen dat je beveiliging op orde is?
Goede cybersecurity betekent niet dat ieder risico kan worden uitgesloten.
Het betekent wel dat je weet waar de belangrijkste risico’s zitten en dat je maatregelen hebt genomen om de kans én de impact van een incident te verkleinen.
Kun je inzicht geven in gebruikers en rechten? Zijn apparaten onder beheer? Worden updates uitgevoerd? Zijn back-ups getest? Weten medewerkers wat zij moeten doen bij phishing? En ligt er een plan voor wanneer er toch iets gebeurt?
Als je op één of meerdere van die vragen geen duidelijk antwoord hebt, is dat een goed moment om de huidige situatie eens objectief te bekijken.
Hoe staat jouw organisatie ervoor?
Weet je niet zeker of alle onderdelen van je IT-beveiliging goed zijn ingericht? CAB Holland helpt je om de belangrijkste risico’s, verbeterpunten en vervolgstappen inzichtelijk te maken.
Zo weet je niet alleen dát je beveiligingsmaatregelen hebt getroffen, maar ook of ze daadwerkelijk doen wat ze moeten doen.
