Je wilt dat medewerkers overal goed kunnen werken: thuis, bij een klant en op kantoor. Tegelijk wil je dat klantdossiers bereikbaar blijven, gegevens niet op straat komen te liggen en het werk doorgaat als er iets misgaat. Dat vraagt om duidelijke keuzes en afspraken die in de dagelijkse praktijk werken.

Overzicht geeft rust. Als je weet welke processen belangrijk zijn, wie waar toegang toe heeft en wat medewerkers moeten doen bij twijfel, maak je jouw bedrijf veiliger en beter voorbereid op groei.

Begin bij het werk dat door moet gaan

In een dienstverlenend bedrijf verwerk je vaak meer gevoelige informatie dan je denkt. Contactgegevens, offertes, contracten, financiële gegevens, urenregistraties en klantdossiers komen terug in het werk. Die informatie staat meestal niet op één plek. Denk aan e-mail, cloudopslag, een CRM-systeem, Teams- of chatberichten, laptops en gedeelde mappen.

Begin daarom niet met een losse tool, maar met jouw werkprocessen. Kies bijvoorbeeld drie processen die niet mogen stilvallen: klantcommunicatie, dossierbehandeling en facturatie. Noteer per proces welke applicaties, gegevens en externe partijen nodig zijn. Zo zie je snel waar een thuiswerkplek, een verloren laptop of een te ruim gedeelde map problemen kan geven.

De AVG schrijft niet voor iedere organisatie dezelfde maatregelen voor. Je moet persoonsgegevens wel passend beveiligen met technische én organisatorische maatregelen. De Autoriteit Persoonsgegevens noemt een risicoanalyse als vertrekpunt: hoe waarschijnlijk is een incident en wat zijn de gevolgen? Hoe gevoeliger de gegevens, hoe zwaarder de beveiliging meestal moet zijn. Leg jouw afwegingen vast. Onder de AVG moet je kunnen aantonen dat je passende maatregelen hebt genomen.

Toegang: persoonlijk, beperkt en controleerbaar

Voor hybride werken is een wachtwoord alleen meestal niet genoeg. Zeker niet voor e-mail, cloudopslag, administratie en klantinformatie. Stel waar mogelijk multifactorauthenticatie (MFA) in. Daarbij bevestigt een medewerker de inlog met een extra stap, bijvoorbeeld via een app. Het Nationaal Cyber Security Centrum (NCSC) adviseert deze extra beveiligingslaag waar dat kan.

Kijk ook kritisch naar toegangsrechten. Wie heeft welke informatie echt nodig om het werk te doen? Een planner hoeft niet automatisch alle personeelsdossiers te openen. Een extern bureau heeft vaak maar tijdelijk toegang nodig. Werk daarom met persoonlijke accounts en niet met gedeelde inloggegevens.

Maak per functie een eenvoudige rechtenmatrix. Daarin leg je vast tot welke systemen en gegevens iemand toegang krijgt. Neem dit mee als iemand start, van functie wisselt of uit dienst gaat. Controleer ieder kwartaal beheerdersrechten, gedeelde mailboxen en accounts van externe partijen. Zo houd je grip zonder dat het een groot project wordt.

Maak afspraken over apparaten en verbindingen

Een laptop die thuis, onderweg en bij een klant wordt gebruikt, hoort bij jouw werkomgeving. Zorg dat je zakelijke apparaten centraal kunt beheren. Installeer updates op tijd, zet schijfversleuteling aan, houd beveiligingssoftware actief en gebruik schermvergrendeling. Laat een apparaat automatisch vergrendelen en spreek af dat medewerkers hun scherm zelf blokkeren zodra zij weglopen.

Maak ook een bewuste keuze over privéapparaten. Sta je die toe? Leg dan vast voor welke toepassingen en gegevens. Bij gevoelige klantinformatie is een beheerde zakelijke laptop vaak beter uit te leggen en beter te beveiligen. Denk ook aan een privéprinter of een papieren dossier op de keukentafel. Ook die kunnen ongewenste inzage veroorzaken.

Maak duidelijk via welke veilige route medewerkers bij systemen komen. Het Digital Trust Center waarschuwt bijvoorbeeld om Remote Desktop Protocol niet zomaar rechtstreeks aan internet bloot te stellen. Een goed ingerichte VPN, of een andere beveiligde toegangsoplossing, biedt een betere basis. Wat past, hangt af van jouw applicaties, medewerkers en risicoprofiel.

Maak veilig gedrag eenvoudig

Techniek werkt pas goed als medewerkers weten wat zij moeten doen. Een jaarlijkse presentatie vol moeilijke termen helpt daar niet bij. Kies liever voor korte, terugkerende afspraken. Bespreek bijvoorbeeld hoe je phishing herkent, een betaalverzoek controleert, bestanden veilig deelt en een verloren apparaat meldt.

Maak melden makkelijk. Iemand die twijfelt over een e-mail moet snel weten bij wie die terechtkan. Zonder angst om iets verkeerd te doen. Oefen ook eens per jaar een klein scenario. Wat doe je als een laptop verdwijnt, een account is overgenomen of bestanden niet bereikbaar zijn? Dan merk je vooraf of contactgegevens, taken en beslisbevoegdheden duidelijk zijn. Dat geeft rust wanneer de druk hoog is.

Checklist: de basis voor veilig hybride werken

Gebruik deze checklist als startpunt voor overleg met directie, operatie en jouw IT-partner:

• [ ] We hebben vastgesteld welke systemen en gegevens essentieel zijn voor onze dienstverlening.
• [ ] Iedere medewerker werkt met een persoonlijk account; gedeelde accounts zijn uitgefaseerd of gemotiveerd.
• [ ] MFA staat aan voor e-mail, cloudopslag, administratie en andere kritieke systemen waar dat beschikbaar is.
• [ ] Toegangsrechten zijn per functie bepaald en worden aangepast bij in-, door- en uitdiensttreding.
• [ ] Zakelijke laptops zijn bijgewerkt, versleuteld, beveiligd en voorzien van automatische schermvergrendeling.
• [ ] Voor privéapparaten, printers en papieren dossiers zijn duidelijke afspraken gemaakt.
• [ ] Externe toegang is niet onnodig rechtstreeks vanaf internet beschikbaar en wordt veilig ingericht.
• [ ] Medewerkers weten hoe zij phishing, verlies of een vermoedelijk incident direct melden.
• [ ] Back-ups en herstel zijn afgestemd op de belangrijkste processen en worden periodiek getest.
• [ ] De gekozen maatregelen en de onderliggende risicoafweging zijn vastgelegd en worden minimaal jaarlijks herzien.

Neem deze punten mee zodra je een nieuw systeem invoert, een medewerker aanneemt of een klantportaal opent. Dan bouw je veiligheid in voordat er onduidelijkheid ontstaat.

Werk stap voor stap aan een aanpak die past

Je hoeft niet alles tegelijk te regelen. Start met een analyse van jouw processen, gegevens, toegang en huidige afspraken. Bepaal daarna in een advies welke maatregelen eerst aandacht vragen. Misschien begin je met MFA en rechtenbeheer. Een groter technisch project kan later volgen.

Ga vervolgens aan de slag met implementatie en beheer. Wijs per actie een eigenaar aan, maak een haalbare planning en leg vaste controlemomenten vast. Daarmee voorkom je dat goede voornemens blijven liggen of dat je losse tools aanschaft zonder duidelijk eigenaarschap.

Zo besteed je jouw budget en tijd aan wat jouw dienstverlening nodig heeft. Voor MKB-bedrijven in Breda en omgeving is het vaak waardevoller om drie zwakke schakels aantoonbaar goed te regelen dan allerlei losse oplossingen in te zetten. Dat helpt je om veilig, productief en voorspelbaar te blijven werken.

Veelgestelde vragen

Moet iedere medewerker MFA gebruiken?

Voor systemen met bedrijfs- of klantgegevens is MFA een verstandige basismaatregel als de dienst dit ondersteunt. Het NCSC stelt dat een wachtwoord alleen meestal niet genoeg is voor toegang tot bijvoorbeeld bedrijfsdata in de cloud. Begin met e-mail en beheerdersaccounts. Breid daarna uit naar andere kritieke applicaties.

Is werken op een privé-laptop toegestaan onder de AVG?

De AVG verbiedt een privé-laptop niet automatisch. Je moet wel passende beveiliging kiezen op basis van het risico van de gegevensverwerking. Bij toegang tot gevoelige klantdossiers kan een beheerde zakelijke laptop, met actuele updates en versleuteling, beter passen. Leg jouw keuze, voorwaarden en controles vast.

Wat doe je als een medewerker een phishinglink heeft geopend?

Laat de medewerker dit direct melden, ook als er nog niets merkbaar is. Wijzig zo nodig wachtwoorden, beëindig actieve sessies, controleer of MFA is omzeild en beoordeel welke accounts of gegevens geraakt kunnen zijn. Volg jouw incidentprocedure en schakel op tijd jouw IT- of securityspecialist in. Bij een mogelijk datalek beoordeel je vervolgens of melden bij de Autoriteit Persoonsgegevens en betrokkenen nodig is.

Wil je weten waar jouw grootste risico’s zitten?

Wil je hybride werken verder professionaliseren zonder onnodige complexiteit? Een onafhankelijk cybersecurity advies kan jouw processen, toegangsrechten en afspraken naast elkaar leggen. Zo bepaal je de meest logische vervolgstappen. Plan een kennismakingsgesprek met Uw ICT Adviseur voor een nuchtere eerste verkenning van jouw situatie.

Bronnen

• https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/beveiliging-van-persoonsgegevens/maatregelen-voor-beveiliging
• https://www.digitaltrustcenter.nl/nieuws/veilig-digitaal-thuiswerken
• https://www.ncsc.nl/en/fundamentals/basic-principle-4-limit-access-to-data-and-services

Verder lezen

• Eisen voor veilige werkplekken in het mkb
• Toegangsrechten periodiek controleren in uw bedrijf

Volgende stap

Bespreek cybersecurity advies. Je krijgt helder inzicht in wat voor jouw organisatie nu de meest logische volgende stap is.