Maandagochtend om 08.15 uur kan een medewerker geen offertes, planningen of klantdossiers meer openen. Op alle schermen staat hetzelfde bericht: bestanden zijn versleuteld en er wordt betaald in cryptovaluta geëist. Voor veel ondernemers is dat geen ver-van-mijn-bedscenario. Ransomware preventie voor mkb gaat daarom niet alleen over technische beveiliging, maar vooral over de vraag of uw bedrijf kan blijven werken als een aanval toch binnenkomt.

Ransomware is schadelijke software die systemen of gegevens ontoegankelijk maakt. Criminelen richten zich steeds vaker op mkb-bedrijven, juist omdat daar waardevolle gegevens, beperkte interne ICT-capaciteit en tijdsdruk samenkomen. De gevolgen lopen uiteen van een dag productieverlies tot langdurige verstoring, reputatieschade en problemen met klanten, verzekeraars of toezichthouders.

De juiste aanpak begint niet met de aanschaf van een los beveiligingsproduct. Eerst is overzicht nodig: welke processen zijn bedrijfskritisch, welke gegevens zijn onmisbaar en waar zitten de grootste afhankelijkheden?

Waarom ransomware het mkb zo hard raakt

Een aanval stopt zelden bij één computer. Via een gestolen wachtwoord, een misleidende e-mail of een kwetsbaarheid in software kunnen aanvallers toegang krijgen tot een netwerk. Vervolgens zoeken zij naar gedeelde mappen, back-ups, beheerdersaccounts en cloudomgevingen. Soms worden gegevens eerst gekopieerd en pas daarna versleuteld. De afpersing gaat dan niet alleen over het terugkrijgen van bestanden, maar ook over het dreigen met publicatie.

Voor een productiebedrijf kan dat betekenen dat orders, tekeningen of voorraadgegevens niet beschikbaar zijn. Voor een administratiekantoor zijn klantdossiers en aangiftes ineens onbereikbaar. Een handelsbedrijf kan mogelijk niet leveren of factureren. De technische oorzaak verschilt, maar de zakelijke vraag is steeds dezelfde: hoeveel stilstand kan uw organisatie dragen?

Dat antwoord bepaalt ook hoeveel preventie passend is. Een onderneming die één dag zonder systemen kan functioneren, heeft andere hersteldoelen dan een organisatie waar planning, productie of zorgverlening direct stilstaat. Maatregelen moeten dus aansluiten op bedrijfsrisico’s, niet op een algemene checklist van een leverancier.

Ransomware preventie voor mkb begint met inzicht

Maak eerst een nuchtere risicoanalyse. Breng niet alleen servers en laptops in kaart, maar ook cloudapplicaties, mobiele apparaten, gedeelde mailboxen, externe toegang en koppelingen met klanten of leveranciers. Juist die laatste onderdelen worden regelmatig vergeten, terwijl een inlogkoppeling of externe beheerverbinding een ingang kan vormen.

Kijk vervolgens naar mens, proces en techniek. Een actuele firewall is waardevol, maar biedt geen volledige bescherming wanneer medewerkers zonder controle beheerdersrechten hebben of wanneer een vertrokken medewerker nog kan inloggen. Andersom heeft een zorgvuldig wachtwoordbeleid weinig effect als systemen niet worden bijgewerkt.

Stel bij deze inventarisatie concrete vragen. Welke data mag niet verloren gaan? Wie heeft toegang tot financiële systemen en personeelsgegevens? Welke applicatie moet uiterlijk binnen vier uur weer beschikbaar zijn? En weet u welke partij verantwoordelijk is als de ICT-leverancier, cloudleverancier en softwarepartij naar elkaar wijzen?

Met die antwoorden ontstaat een prioriteitenlijst. Dat voorkomt dat budget verdwijnt in zichtbare maatregelen die weinig bijdragen aan herstelbaarheid of continuïteit.

Vijf maatregelen met directe impact

Geen enkele maatregel maakt ransomware onmogelijk. De kracht zit in lagen die elkaar aanvullen. Voor de meeste mkb-organisaties verdienen deze vijf onderwerpen als eerste aandacht:

• Multifactorauthenticatie voor e-mail, cloudomgevingen, externe toegang en beheerdersaccounts. Een gestolen wachtwoord alleen is dan meestal niet genoeg om binnen te komen.
• Tijdig patchen van besturingssystemen, applicaties, firewalls en netwerkapparatuur. Oude software is een bekend risico, vooral wanneer deze vanaf internet bereikbaar is.
• Beperkte toegangsrechten. Medewerkers hebben alleen toegang nodig tot wat zij voor hun werk gebruiken. Beheerdersaccounts gebruikt u niet voor dagelijks e-mailen of browsen.
• E-mailbeveiliging en bewust gedrag. Filters verminderen risico, maar medewerkers moeten verdachte verzoeken, afwijkende betaalinstructies en onverwachte bijlagen herkennen en durven melden.
• Monitoring en goede endpointbeveiliging. Hiermee kunnen afwijkend gedrag, ongewenste inlogpogingen en verdachte versleuteling eerder worden gezien en geïsoleerd.

De precieze invulling hangt af van uw omgeving. Een bedrijf met vooral Microsoft 365 heeft andere aandachtspunten dan een organisatie met lokale servers, productieapparatuur of gespecialiseerde branchesoftware. Toch blijft het uitgangspunt gelijk: verklein de kans op toegang, beperk de schade als toegang toch ontstaat en zorg dat u kunt herstellen.

Back-ups zijn pas waardevol als herstel is getest

Veel organisaties denken beschermd te zijn omdat er dagelijks een back-up draait. Dat is niet voldoende. Wanneer ransomware ook de back-upomgeving bereikt, of wanneer niemand weet hoe het herstel moet worden uitgevoerd, blijft de onderneming kwetsbaar.

Een bruikbare back-upstrategie bevat meerdere kopieën, een gescheiden of niet-wijzigbare kopie en een heldere bewaartermijn. Ook moet vaststaan welke systemen als eerste worden hersteld. Een volledige serveromgeving terugzetten kan technisch mogelijk zijn, maar als de benodigde internetverbinding, accounts of licenties ontbreken, duurt de stilstand alsnog langer dan verwacht.

Test daarom periodiek een herstel. Niet alleen door te controleren of een taak als ‘geslaagd’ wordt gemeld, maar door daadwerkelijk bestanden, mailboxen of een bedrijfskritische applicatie terug te zetten. Leg de hersteltijd vast. Zo ontdekt u onder gecontroleerde omstandigheden of afspraken, capaciteit en procedures werkelijk werken.

Hier zit ook een afweging. Dagelijkse back-ups zijn voor sommige processen voldoende, maar voor andere processen leidt een verlies van één werkdag al tot grote financiële schade. Bepaal daarom per proces hoeveel gegevensverlies acceptabel is en vertaal dat naar een passende frequentie en inrichting.

Leg vast wat er gebeurt als het misgaat

Tijdens een ransomware-incident moet een directie beslissen onder druk. Worden systemen losgekoppeld? Wie belt de ICT-partij? Hoe informeren we medewerkers en klanten? Welke gegevens zijn mogelijk gelekt? Zonder voorbereiding gaan kostbare uren verloren en ontstaan er tegenstrijdige instructies.

Een praktisch incidentplan hoeft geen dik handboek te zijn. Het moet wel duidelijk benoemen wie besluitvorming doet, wie technisch onderzoek coördineert en hoe contactgegevens beschikbaar blijven als e-mail niet werkt. Neem ook een alternatief communicatiemiddel op en zorg dat de contactpersonen bij leveranciers actueel zijn.

Leg daarnaast vast wanneer juridische, verzekerings- en privacykennis nodig is. Bij mogelijke diefstal van persoonsgegevens kan sprake zijn van een datalek. De beoordeling daarvan vraagt om feiten: welke systemen zijn geraakt, welke data stond erop en is er aanwijzing dat gegevens zijn gekopieerd? Te snel aannemen dat er niets is gelekt, is net zo onverstandig als zonder onderzoek paniek zaaien.

Een oefening met directie, administratie en ICT maakt dit plan concreet. Bespreek een realistisch scenario van een versleutelde fileserver of overgenomen e-mailaccount. Dan worden onduidelijkheden zichtbaar voordat de continuïteit onder druk staat.

Stuur leveranciers op aantoonbare afspraken

Ransomwarepreventie is vaak verdeeld over meerdere partijen. De ene partij beheert werkplekken, een andere levert telefonie, een derde ontwikkelt software en daarnaast gebruikt u cloudservices. Dat is niet per definitie een probleem, zolang verantwoordelijkheden niet tussen contracten verdwijnen.

Vraag leveranciers welke beveiligingsmaatregelen zij beheren, hoe snel zij kritieke updates uitvoeren, waar back-ups staan en wat hun rol is bij een incident. Maak afspraken over reactietijden, bereikbaarheid buiten kantooruren, rapportages en overdracht van beheerinformatie. Ook eigenaarschap van accounts, domeinnamen en back-upgegevens verdient aandacht. Uw bedrijf moet daar niet van afhankelijk zijn van één persoon of één leverancier.

Een onafhankelijke beoordeling kan helpen om deze afspraken naast uw werkelijke bedrijfsrisico’s te leggen. Uw ICT Adviseur kijkt daarbij niet vanuit de verkoop van een pakket, maar vanuit de vraag welke maatregelen, contractvoorwaarden en controles voor uw organisatie nodig zijn.

Maak preventie onderdeel van de bedrijfsvoering

Ransomwarepreventie is geen project dat na een implementatie kan worden afgevinkt. Nieuwe medewerkers komen erbij, software verandert, leveranciers wisselen en aanvallers zoeken andere routes. Plan daarom vaste momenten om toegangsrechten, updates, back-uprapportages en incidentafspraken te beoordelen.

Begin klein als alles tegelijk verbeteren niet haalbaar is. Sluit eerst de grootste openstaande risico’s: onbeveiligde externe toegang, accounts zonder multifactorauthenticatie, verouderde systemen en niet-geteste back-ups. Werk daarna toe naar structurele controle en duidelijke verantwoordelijkheden.

De meest geruststellende vraag is uiteindelijk niet of u ooit doelwit wordt. Het is of uw organisatie weet wat zij moet doen, wie waarvoor verantwoordelijk is en hoe snel zij weer kan werken als er iets gebeurt.