Cyberbeveiliging voor het mkb: waar begint u als u geen idee hebt

De eerste zes stappen, op volgorde

Dit is de volgorde die wij aanhouden bij een bedrijf dat vanaf nul begint. Niet de enige juiste, maar wel die de meeste bescherming per bestede euro oplevert in de eerste weken.

• Automatische back-ups, met één kopie buiten kantoor en periodieke hersteltests
• Tweestapsverificatie op e-mail en op alles wat vanaf internet bereikbaar is
• Updates bij op systemen, applicaties en de firmware van netwerkapparatuur
• Beheerde firewall en endpointbeveiliging met centrale console, niet de antivirus die bij de laptop zat
• Herziene rechten: iedereen toegang tot wat nodig is, en vertrekkers dezelfde dag afgesloten
• Korte, terugkerende training van medewerkers, vooral over frauduleuze e-mails

Waarom back-ups eerst komen

Omdat ze het enige zijn dat een ramp in een vervelende dag verandert. Versleuteling door ransomware, een onbedoelde verwijdering, een kapotte schijf of iemand die haastig vertrekt: in al die gevallen bepaalt één ding de afloop, namelijk of er een recente kopie is die teruggezet kan worden.

De nuance zit in "teruggezet kan worden". We treffen regelmatig back-ups aan die maandenlang stil faalden, of die op hetzelfde netwerk stonden als de versleutelde server en dus mee versleuteld werden. Een back-up zonder hersteltest is geen back-up maar een map.

Tweestapsverificatie is de rendabelste maatregel die er is

De meeste ernstige incidenten die wij afhandelen beginnen met een gestolen wachtwoord, bijna altijd van de e-mail. Met tweestapsverificatie aan is dat gestolen wachtwoord voor vrijwel alles waardeloos. Het kost weinig, zit in de meeste abonnementen die bedrijven al betalen en is in een middag ingeschakeld.

Zet het eerst aan op e-mail, daarna op externe toegang en beheerpanelen, en tot slot op bedrijfsapplicaties die op internet staan.

Wat u in het begin niet nodig hebt

Sommige maatregelen klinken indrukwekkend in een offerte maar voegen weinig toe zolang de basis ontbreekt: een security operations centre voor twintig werkplekken, schijfversleuteling zonder sleutelbeheer, of tools die meldingen genereren die niemand leest. Een melding die niemand leest is erger dan geen melding, want ze geeft schijnzekerheid.

Eerst de basis, goed gedaan en gecontroleerd. Werkt dat, dan is het zinvol om over geavanceerde detectie, netwerksegmentatie of periodieke audits te praten.

Hoe wij dat bij iDeo Networks aanpakken

We beginnen met een beoordeling van de werkelijke situatie: welke back-ups er zijn en of ze terugzetten, waar tweestapsverificatie ontbreekt, wat ongemerkt op internet staat en welke machines al lang niet zijn bijgewerkt. Daaruit volgt een gefaseerd plan, met het urgente gescheiden van het wenselijke.

We werken in heel Spanje, inclusief de Canarische Eilanden, de Balearen, Ceuta en Melilla, zowel voor kleine bedrijven als voor Spaanse vestigingen van internationale groepen die aan het beveiligingsbeleid van het hoofdkantoor moeten voldoen.