Een financieel medewerker ontvangt een overtuigende e-mail van een leverancier, logt in op een nagemaakte pagina en geeft onbedoeld toegang tot de mailbox. Binnen enkele minuten kunnen facturen, klantgegevens en betalingsinformatie op straat liggen. Wie zich afvraagt: hoe bescherm ik bedrijfsgegevens, doet er daarom goed aan niet alleen naar antivirussoftware te kijken. De bescherming van gegevens begint met inzicht in wat er mis kan gaan en welke processen uw bedrijf werkelijk draaiende houden.

Voor een mkb-bedrijf hoeft informatiebeveiliging geen technisch doolhof te zijn. Wel vraagt het om heldere keuzes, duidelijke verantwoordelijkheden en controle op de partijen die toegang hebben tot uw systemen. Het doel is niet om elk denkbaar risico uit te sluiten. Het doel is dat uw organisatie kan blijven werken, ook wanneer een medewerker een fout maakt, een apparaat uitvalt of een leverancier wordt getroffen door een incident.

Hoe bescherm ik bedrijfsgegevens met de juiste prioriteiten?

Begin niet met een lijst producten, maar met uw belangrijkste gegevens en processen. Denk aan klantdossiers, offertes, financiële administratie, personeelsgegevens, ontwerpbestanden, productieplanning en e-mail. Stel vervolgens drie vragen: wat gebeurt er als deze gegevens verdwijnen, als ze in verkeerde handen vallen, of als niemand er tijdelijk bij kan?

Die vragen brengen verschil aan tussen belangrijke en bedrijfskritische informatie. Een verloren marketingbestand is vervelend. Een niet-beschikbare planning, een versleutelde boekhouding of gelekte medische verzuimgegevens kunnen de bedrijfsvoering, reputatie en wettelijke verplichtingen direct raken. De investering die passend is, hangt dus af van de schade die u wilt voorkomen.

Leg ook vast waar gegevens staan. In veel organisaties is informatie verspreid over laptops, e-mailboxen, cloudopslag, boekhoudsoftware, CRM-systemen, mobiele telefoons en applicaties van leveranciers. Zolang niemand het volledige overzicht heeft, is het lastig om toegang, bewaartermijnen en back-ups goed te regelen.

Beperk toegang zonder het werk onnodig te vertragen

De meest voorkomende fout is dat medewerkers meer toegang hebben dan nodig is. Iemand krijgt bij indiensttreding toegang tot een gedeelde map of applicatie en behoudt die rechten jarenlang, ook na een functiewijziging. Dat is praktisch op korte termijn, maar vergroot de schade bij een fout, een gestolen account of een vertrek onder onprettige omstandigheden.

Werk daarom met rollen. Een salarisadministrateur hoeft niet automatisch bij alle commerciële dossiers te kunnen en een externe boekhouder heeft meestal geen toegang nodig tot uw volledige cloudomgeving. Beperk rechten tot wat nodig is voor de taak en controleer die rechten periodiek. Bij uitdiensttreding moet toegang direct worden ingetrokken, inclusief toegang via privéapparaten, gedeelde wachtwoorden en externe samenwerkingsomgevingen.

Multifactorauthenticatie is hierbij een basismaatregel. Naast een wachtwoord is dan bijvoorbeeld een app-bevestiging nodig. Dat voorkomt niet elk incident, maar maakt misbruik van gelekte wachtwoorden aanzienlijk moeilijker. Geef voorrang aan e-mail, beheeraccounts, financiële software, cloudopslag en toegang op afstand. Juist daar is de mogelijke schade groot.

Gedeelde accounts verdienen extra aandacht. Ze maken het onmogelijk om te achterhalen wie iets heeft gewijzigd of gedownload. Als een gedeeld account technisch onvermijdelijk is, leg dan vast wie verantwoordelijk is, wissel het wachtwoord bij personeelswisselingen en beperk de rechten zo veel mogelijk.

Maak van medewerkers een verdedigingslinie

Veel beveiligingsincidenten beginnen niet met een geavanceerde aanval, maar met tijdsdruk, onduidelijkheid of een geloofwaardig verzoek. Een medewerker die snel een factuur wil betalen of een pakket wil ontvangen, is vatbaar voor een goed nagemaakte e-mail. Verwijt alleen helpt niet. Medewerkers moeten weten wat zij kunnen controleren en bij wie zij terechtkunnen als iets niet klopt.

Bespreek regelmatig herkenbare situaties: een verzoek van de directeur via WhatsApp, een gewijzigde bankrekening van een leverancier, een inlogmelding die niemand verwachtte of een bestand dat om macro’s vraagt. Maak de afspraak dat twijfel altijd reden is om te bellen via een bekend telefoonnummer. Dat kost een paar minuten en kan een kostbare fraude voorkomen.

Een bruikbare werkwijze bestaat uit vier vaste gewoonten:

• controleer betaalverzoeken en wijzigingen van rekeningnummers via een tweede kanaal;
• deel wachtwoorden nooit via e-mail, chat of een gedeeld spreadsheet;
• meld een verkeerde klik, verloren telefoon of vreemde inlogpoging direct;
• vergrendel apparaten zodra u wegloopt en installeer updates wanneer die worden aangeboden.

Training hoeft niet lang of schools te zijn. Korte, terugkerende aandacht werkt beter dan een jaarlijkse presentatie die na een week vergeten is. Laat leidinggevenden dezelfde afspraken volgen. Als uitzonderingen aan de top normaal lijken, verliest beleid snel zijn waarde.

Zorg dat een back-up ook echt herstel mogelijk maakt

Een back-up is geen vinkje op een contract. U wilt weten welke gegevens worden gekopieerd, hoe vaak dat gebeurt, waar de kopieën worden opgeslagen en hoe snel herstel mogelijk is. Een dagelijkse back-up kan passend zijn voor sommige dossiers, maar onvoldoende voor een bedrijf dat ieder uur transacties verwerkt.

Houd minstens één back-up gescheiden van uw normale netwerk en beheeromgeving. Ransomware richt zich steeds vaker ook op back-ups die via hetzelfde account bereikbaar zijn. Versleuteling, versiebeheer en een aparte beheerder of afzonderlijk account verminderen dit risico. Welke inrichting nodig is, hangt af van uw systemen en de gewenste hersteltijd.

De doorslaggevende test is herstel. Laat periodiek een bestand, mailbox of applicatie terugzetten en leg vast hoe lang dit duurt. Een leverancier kan zeggen dat back-ups aanwezig zijn, maar alleen een uitgevoerde hersteltest geeft zekerheid over de bruikbaarheid ervan. Controleer ook of u bij een contractbeëindiging uw gegevens volledig en leesbaar kunt meenemen.

Beveilig apparaten, software en werkplekken

Een verouderde laptop of niet-gepatchte applicatie is een openstaande deur die vaak pas zichtbaar wordt na een incident. Zorg voor automatische updates van besturingssystemen, browsers, kantoorsoftware en beveiligingssoftware. Vervang apparatuur die geen beveiligingsupdates meer ontvangt. Dat is geen luxe, maar een beheersbare keuze tegen bekende kwetsbaarheden.

Versleutel laptops en telefoons waarop bedrijfsgegevens staan. Bij verlies of diefstal voorkomt dit dat iemand eenvoudig de schijf kan uitlezen. Regel daarnaast schermvergrendeling, beheer op afstand en een duidelijke scheiding tussen zakelijk en privégebruik. Een eigen telefoon voor werk kan mogelijk zijn, maar alleen als u afspraken maakt over toegang, opslag en wat er gebeurt wanneer iemand vertrekt.

Let ook op fysieke beveiliging. Papieren dossiers, onbeheerde printers en bezoekers in ruimtes met werkplekken kunnen net zo goed een bron van datalekken zijn. Digitale en fysieke maatregelen horen bij elkaar.

Hoe bescherm ik bedrijfsgegevens bij leveranciers?

Uw gegevens zijn vaak ook aanwezig bij uw ICT-beheerder, cloudleverancier, salarisverwerker, webbouwer of accountant. U kunt de verantwoordelijkheid niet volledig uitbesteden. Wel kunt u vooraf duidelijke eisen stellen en vastleggen wie wat doet wanneer er iets misgaat.

Vraag niet alleen welke beveiligingsmaatregelen een leverancier belooft, maar ook hoe die aantoonbaar worden uitgevoerd. Wie beheert de accounts? Waar worden gegevens opgeslagen? Welke onderaannemers hebben toegang? Hoe snel wordt een incident gemeld? Hoe lang blijven back-ups bewaard? En hoe krijgt u uw gegevens terug wanneer de samenwerking stopt?

In contracten moeten afspraken over beschikbaarheid, beveiliging, geheimhouding, incidentmelding, eigendom van gegevens en beëindiging passen bij uw risico. Een standaardcontract kan voldoende zijn voor een beperkt hulpmiddel, maar niet automatisch voor een partij die toegang heeft tot al uw klant- of financiële gegevens. Onafhankelijk contractmanagement voorkomt dat technische beloften vaag blijven of dat u vastzit aan een oplossing die niet meer bij uw bedrijf past.

Leg verantwoordelijkheden en incidenten vooraf vast

Beveiliging strandt vaak tussen afdelingen. De directie denkt dat ICT het regelt, ICT wacht op budget en medewerkers weten niet wie zij moeten bellen. Wijs daarom een eigenaar aan voor informatiebeveiliging, ook als die persoon geen technische specialist is. Deze verantwoordelijke bewaakt afspraken, risico’s, controles en opvolging.

Maak daarnaast een kort incidentplan. Daarin staat wie beslist, wie de ICT-partij inschakelt, hoe bewijs wordt bewaard, welke systemen zo nodig worden afgesloten en wie communicatie verzorgt. Bij een mogelijk datalek kan ook beoordeling van de AVG-verplichtingen nodig zijn. Snel handelen is dan belangrijk, maar ondoordacht communiceren kan de situatie verergeren.

Test het plan met een realistisch scenario, bijvoorbeeld een gestolen laptop of een verdachte betaling. U ontdekt dan snel of contactgegevens kloppen, bevoegdheden duidelijk zijn en uw leverancier werkelijk bereikbaar is. Dat geeft meer rust dan een uitgebreid beleidsdocument dat niemand kent.

Kies maatregelen die passen bij uw bedrijfsrisico

Een klein handelsbedrijf, zorgpraktijk en productiebedrijf hebben niet dezelfde risico’s. Het ene bedrijf is vooral afhankelijk van e-mail en klantinformatie, het andere van machines, planning of intellectueel eigendom. Kopieer daarom geen standaardpakket zonder eerst de eigen situatie te beoordelen.

Een onafhankelijke risicoanalyse brengt mens, proces en techniek samen. Daarmee wordt duidelijk welke maatregelen direct nodig zijn, welke kunnen wachten en waar een leverancier een concreet verbeterplan moet leveren. Uw ICT Adviseur kan daarbij optreden als regisseur tussen uw organisatie en ICT-partijen, zonder belang bij de verkoop van een specifiek product.

Bescherming van bedrijfsgegevens wordt beheersbaar zodra iemand binnen uw organisatie de eerste prioriteit kiest: maak deze maand een overzicht van uw kritieke gegevens, de mensen die erbij kunnen en de manier waarop herstel is geregeld. Dat ene overzicht maakt de volgende beslissing een stuk eenvoudiger.