Essentiële IT-beveiliging

Geef iedereen unieke wachtwoorden en een wachtwoordbeheerder

De meest schadelijke gewoonte in een klein kantoor is één wachtwoord dat wordt gedeeld via e-mail, boekhouding en bankieren. Wanneer een site lekt, proberen aanvallers binnen enkele uren overal hetzelfde wachtwoord te gebruiken. De oplossing bestaat niet uit geheugentrucs. Het is een wachtwoordbeheerder op elk bureau en elke telefoon, zodat elk account een lang, uniek wachtwoord krijgt dat niemand hoeft te onthouden.

Behandel de accounts in de volgorde die er toe doet: eerst e-mail, dan bankieren, het boekhoudpakket en eventuele beheerderspanelen. Bewaar kantoorwachtwoorden nooit in een gedeelde spreadsheet of een notitieboekje.

Schakel MFA in voor elk account dat dit aanbiedt

Multi-factor authenticatie betekent dat een gestolen wachtwoord alleen niet langer voldoende is. Een aanvaller in een ander land die uw wachtwoord heeft, kan zonder de code van uw telefoon nog steeds niet binnenkomen. Microsoft en Google melden allebei al jaren dat MFA de overgrote meerderheid van de geautomatiseerde aanvallen op accountovername blokkeert.

Wees eerlijk tegen het personeel over de kosten: MFA voegt ongeveer tien seconden toe bij het inloggen. Dat is de goedkoopste beveiliging die het kantoor ooit zal kopen.

Installeer updates volgens een schema, niet in een opwelling

De meeste ransomware- en wormuitbraken verspreiden zich via fouten die weken eerder zijn verholpen. De kantoren die getroffen worden, zijn de kantoren waar Windows Update maandenlang een waarschuwing laat zien. Stel in plaats daarvan een eenvoudige discipline in: updates worden automatisch geïnstalleerd, machines worden minstens één keer per week opnieuw opgestart en één genoemde persoon controleert maandelijks de updatestatus.

Dezelfde regel geldt voor de router, de NAS, browsers en de boekhoudsoftware – niet alleen voor Windows.

Schakel de bescherming in die Windows al biedt

De firewall, antivirus en eindpuntbasislijn zijn al in het gebouw aanwezig; ze hoeven alleen maar aan te staan en in orde te zijn. Open Windows-beveiliging en controleer elke sectie: Bescherming tegen virussen en bedreigingen (Microsoft Defender) zou 'Geen acties nodig' moeten zeggen, Firewall- en netwerkbeveiliging moeten zijn ingeschakeld voor alle profielen en BitLocker moet zijn ingeschakeld op ondersteunde edities, zodat een gestolen laptop zijn schijf niet inlevert.

Betaalde eindpunttools voegen centraal beheer, rapportage en extra lagen toe, die hun plaats verdienen naarmate een kantoor groeit of wanneer een klantcontract daarom vraagt. Ze komen na deze basisprincipes, niet ervoor.

Bewaar back-ups en bewijs ze met een testherstel

Een back-up die u nooit heeft hersteld, is een hoop, geen back-up. Schijven vallen stil uit, back-uptaken worden niet meer uitgevoerd en ransomware jaagt doelbewust op back-upkopieën. Bewaar ten minste één kopie offline of off-site, waar een netwerkinfectie deze niet kan bereiken.

Bewijs vervolgens dat de hele keten werkt: herstel eens per kwartaal een paar echte bestanden uit de back-up en open ze. De hersteltest is de controle. Als u één idee uit deze hele gids neemt, neem dan dat idee.

Geef mensen alleen toegang tot hun werkbehoeften

Least privilege klinkt technisch; het is eigenlijk gewoon een opgeruimde huishouding. De ontvangst-pc heeft geen serverbeheerderswachtwoord nodig. Het dagelijkse werk zou moeten gebeuren vanuit standaardaccounts, waarbij de beheerdersrechten in een apart account worden bewaard dat alleen wordt gebruikt bij het installeren of wijzigen van iets.

Als iemand weggaat, schakel dan dezelfde dag nog zijn/haar accounts uit: e-mail, pc-aanmelding, boekhouding, alles. Een personeelslid dat in maart is vertrokken, zou in oktober niet nog steeds een werkende login moeten hebben, en een intrekking die op een geschikt moment wacht, wacht meestal eeuwig.

Besteed in de juiste volgorde – maak eerst lagen vrij

Eerlijke beoordeling: het grootste deel van deze lijst kost niets. Windows Defender, de Windows firewall, automatische updates, BitLocker op ondersteunde edities en MFA op uw bestaande accounts zijn al in de bouw aanwezig. De eerste echte uitgaven zijn meestal een wachtwoordbeheerderabonnement voor het team en een externe of offline back-up – bescheiden bedragen. Betaalde eindpuntbescherming komt pas nadat de basisprincipes zijn bereikt, of wanneer een klantcontract dit vereist.