Checklist cyberhygiëne: 9 checks voor een digitaal fitte organisatie

Met cyberhygiëne maak en houd je je organisatie digitaal fit en geef je hackers veel minder kans om schade aan te richten. Als expert op het gebied van cyberbeveiliging helpen we je graag op weg.  

Cyberhygiëne is de fundering van goede beveiliging

Ieder goed werkend systeem rust op een stevige basis en dat geldt zeker ook voor digitale beveiliging. Vergelijk het met een gebouw of een huis: hoe goed en geavanceerd het gebouw ook in elkaar zit, als het fundament niet goed is, ontstaan er vroeg of laat problemen.

Dat geldt ook voor cybersecurity. Heb je een stukje van je fundering niet op orde? Die ene zwakke schakel maakt de hele organisatie kwetsbaar.

Wat is cyberhygiëne?

De beste manier om je fundering te verstevigen is om je cyberhygiëne op orde brengen. Cyberhygiëne draait erom dat je je digitale systemen zo schoon en netjes mogelijk houdt. Een soort clean desk policy voor je IT.

En zoals je op een opgeruimd bureau dingen snel terug kunt vinden en je zaken op orde hebt, heb je door cyberhygiëne veel beter overzicht over je gehele ICT. Zo signaleer je sneller de zwakke, kwetsbare onderdelen en kun je die aanpakken.

Het recente geval van de criminele handelssite Genesis, en de politiereactie daarop met check je hack, benadrukken hoe belangrijk cyberhygiëne is. Door deze hack beschikken criminelen over de complete online vingerafdruk van gebruikers, waardoor vreemden met hun identiteit kunnen inloggen bij social media, webshops en allerhande andere organisaties. De schade die ook jouw bedrijf hierdoor kan lopen is gigantisch, dus is het cruciaal om dit te voorkomen.

Lees meer:
* Dit jaar € 270.000 verliezen? Dat kan!
* Ransomware? Dat overkomt alleen anderen…

Hoe pas je cyberhygiëne toe?

Omdat cyberhygiëne het fundament van je ICT betreft, kies je voor een gedegen aanpak die alle risico's en onderdelen dekt. Van routers tot servers en van email tot apps. Je hebt een specialist met brede praktijkkennis nodig om het totaal te overzien, maar er zijn ook zaken die je eenvoudig zelf kunt oppakken. Hieronder kun je simpel checken of jij je zaken op orde hebt, heb je één van de 9 vinkjes nog niet? Dan helpen we je direct aan een oplossing die bij je past.

✅1. Alle medewerkers zijn ingelicht over veilig computergebruik

Je medewerkers zijn de belangrijkste schakels in goede cyberhygiëne. Ongeacht welke maatregelen je probeert te treffen, als gebruikers die niet goed opvolgen blijft je organisatie kwetsbaar voor cybercrime. Zo kun je bijvoorbeeld sterke wachtwoorden instellen, maar als gebruikers overal hetzelfde wachtwoord gebruiken of ze op post-it’s laten slingeren, geven ze cybercriminelen onbedoeld een kans. (En vergis je niet: cybercriminelen kunnen natuurlijk ook gewoon intern rondlopen, wachtwoorden laten slingeren is nooit een optie!)

Verder zijn medewerkers ook rechtstreeks het doelwit van hackers met bijvoorbeeld phishing mails waarin naar hun inloggegevens wordt gevraagd. Geef daarom voorlichting aan medewerkers hoe ze persoonsgerichte aanvallen van hackers kunnen herkennen en hoe ze daarop moeten reageren.

❌Zijn jouw medewerkers nog onvoldoende ingelicht en getraind voor veilig gebruik van de digitale werkomgeving? Check hier wat je daaraan kan doen, wij helpen je met een oplossing op maat. 

✅2. Alleen essentiële applicaties zijn toegestaan

Een van de effectiefste cyberhygiëne maatregelen is zo weinig mogelijk applicaties beschikbaar stellen aan je organisatie. Want iedere applicatie heeft z'n eigen security risico’s en is daarmee een potentiële ingang voor een digitale inbraak. Verwijder apps die je bedrijf niet meer gebruikt. Dit is letterlijk een kwestie van opruimen en schoonhouden, waardoor je criminelen minder ingangen geeft om binnen te dringen.

❌Kunnen gebruikers ongeremd applicaties installeren op bedrijfstoestellen? Dat is gemakkelijk aan te pakken! Lees meer over appmanagement en MDM-oplossingen. 

✅3. Gebruikers hebben alleen de rechten die ze nodig hebben

Voor een goed fundament is het belangrijk om gebruikers alleen die rechten te geven die ze daadwerkelijk nodig hebben. Daarmee zorg je ervoor dat een hacker niet overal bij kan als die er in slaagt om de login van een gebruiker te kapen.

Bij de beperking van rechten zijn een aantal zaken belangrijk:

• Pas de rechten aan bij een nieuwe rol van een medewerker
  Zorg ervoor dat de rechten van een gebruiker aangepast worden als die een andere rol binnen je organisatie krijgt. Want het komt nogal eens voor dat een medewerker dan wel extra rechten krijgt voor de nieuwe rol, maar dat de overbodig geworden rechten voor de oude rol niet ingetrokken worden.
• Pas de rechten aan bij in gebruik nemen van een nieuw systeem
  Een andere bekende situatie is dat in de proef- of ontwikkelperiode van een nieuwe applicatie alle gebruikers alle rechten krijgen om het systeem uit te proberen. Maar als de applicatie vervolgens in gebruik wordt genomen, vergeet men om de rechten aan te passen. Wees hier ook alert op om problemen te voorkomen.
• Beperk het aantal administrators
  Een andere rechten-valkuil is het aantal medewerkers met administrator-rechten. Het is verleidelijk om meerdere medewerkers administrator te maken zodat er altijd wel iemand is die overal bij kan. Maar hoe meer administrators, hoe groter de kans voor een hacker om een login te bemachtigen met volledige toegang. Daarom is het belangrijk om het aantal administrators te beperken.

❌ Is de governancestructuur van jouw licenties nog niet goed op orde? We helpen je graag, bijvoorbeeld als onderdeel van licentiebeheer binnen de digitale werkplek! Plan gerust een vrijblijvend adviesgesprek in.

✅4. Verplicht sterke wachtwoorden en MFA

De tijd van Welkom123 is voorbij: sterke wachtwoorden van minimaal acht tekens en met één of meerdere verplichte speciale karakters zijn moeilijk te kraken. Dwing waar mogelijk sterke wachtwoorden af en verplicht gebruikers om periodiek, bijvoorbeeld iedere 90 dagen, hun wachtwoord te wijzigen. Laat collega’s een wachtwoordmanager gebruiken om passwords te bewaren en eventueel te delen.

MFA

Je vergroot de veiligheid van het inloggen met multifactorauthenticatie (MFA). Hierbij moet een gebruiker naast een gebruikersnaam en sterk wachtwoord, ook een cijfercode invoeren die een zogenaamde Authenticator app genereert. Door die cijfercode hebben hackers geen kans als ze enkel de inloggegevens van een gebruiker weten te bemachtigen. Let wel op, MFA heeft zo zijn eigen aandachtspunten: Voorkom MFA Fatigue en houd hackers buiten de deur

❌Is er binnen jouw organisatie nog geen systeem om dit te waarborgen? Ook dat is gemakkelijk op te lossen via de Digitale Werkplek. 

✅5. Updates en patches worden automatisch geïnstalleerd 

Softwareleveranciers werken voortdurend aan betere beveiliging van hun software en brengen daarvoor geregeld updates en patches uit. Denk bijvoorbeeld aan updates voor Windows, macOS en Linux die de nieuwste bugs, lekken en kwetsbaarheden oplossen. Voor een goede cyberhygiëne is het cruciaal om dergelijke updates en patches zo snel mogelijk te installeren. Zorg er daarom voor dat dit een standaardtaak van systeem- en netwerkbeheer is.

Zo voorkom je problemen zoals met het log4j probleem dat je je misschien nog herinnert. Door dit probleem konden hackers onder meer logingegevens stelen. En ondanks dat er al maanden een update voor log4j beschikbaar was, bleven bedrijven slachtoffer worden omdat ze de update nog niet geïnstalleerd hadden. Voorkom dat het jouw organisatie overkomt en laat patches en updates niet van de eindgebruiker afhangen. 

❌Laat jouw organisatie updates en patches nog aan de individuele gebruikers over? Dat levert grote risico's op, ontdek hoe je dat met Datto kunt automatiseren. 

✅6. Endpoint security is geoptimaliseerd

Afhankelijk van de omvang en expertise van je ICT-afdeling kan het zijn dat je bij deze (en de volgende) cyberhygiëne maatregel hulp van een partner nodig hebt. Dat is de moeite waard, want endpoint beveiliging, zoals bijvoorbeeld Microsoft Defender of de Datto toolbox, is een belangrijk onderdeel van je digitale basisbescherming. Bij Fivespark gebruiken we een combinatie van beide tools.

Deze security-laag richt zich op alle endpoints als servers, laptops en mobiele devices en biedt de volgende bescherming:

• Email bescherming
• Antispam bescherming
• Antimalware bescherming
• Endpoint aanvalsdetectie en blokkering
• Vermindering van (kwetsbare) aanvalspunten

❌Is endpoint-beveiliging nog niet geregeld binnen jouw organisatie? Vraag eens een kort adviesgesprek aan, dan krijg je maatadvies voor jouw specifieke situatie.  

✅7. Je netwerk is opgedeeld

Verdeel je netwerk in verschillende segmenten om te voorkomen dat hackers overal bij kunnen als het ze onverhoopt lukt om op ergens binnen te dringen. Breng bijvoorbeeld het magazijn en de financiële afdeling in aparte netwerken onder die gescheiden zijn door goed beveiligde routers en andere netwerkapparatuur.

❌Is dit nieuws voor je? Dat is niet uniek, er zijn helaas veel organisaties die hier nog geen gebruik van maken. Op onze IT beheer-pagina lees je er meer over en kan je ook onze experts contacteren. 

✅8. Alle gegevens zijn met encryptie beveiligd

Data kun je kwijtraken. Bijvoorbeeld wanneer je laptop gestolen wordt, wanneer je je telefoon verliest, wanneer er ergens een achterdeurtje openstaat of wanneer je getroffen wordt door een datalek. Dat soort situaties kun je absoluut beperken, maar niet 100%. Je moet er dus op voorbereid zijn dat jouw data in ongewenste handen terecht kan komen. Een goede oplossing hiervoor is het versleutelen van je gegevens. Dat maakt het voor kwaadwillenden een stuk ingewikkelder om iets met jouw data te doen - en daarmee vaak al niet meer interessant. 

❌Werkt jouw organisatie niet met automatisch versleutelde gegevens? Dan loop je zelfs bij een kleine security-breach een groot risico. En dat is zonde, want veelal is dit gemakkelijk op te lossen. 

✅9. Er zijn back-ups (die ook getest worden)

Krijg je onverhoopt last van ransomware en worden je systemen gegijzeld, of kun je om andere reden niet meer bij je bestanden? Een back-up kan je grote redding zijn. Je kunt dan nog terug naar de situatie van vóór het incident, en je voorkomt dat je losgeld moet betalen of lang plat ligt waardoor de bedrijfsvoering in het gevaar komt.

❌In de praktijk komt het nogal eens voor dat bedrijven wel back-ups maken, maar dat ze het terugzetten daarvan niet testen. Dringend advies om dat wel doen, zodat je verzekerd bent van een goede back-up in het geval van nood. Dat geldt trouwens ook voor het backuppen van Microsoft 365: wist jij dat je dat het écht noodzakelijk is om zelf back-ups van M365 te maken? Echt regelen hoor, je zou de eerste niet zijn die daar zijn of haar handen aan brandt.

Voor het leggen van een goede, veilige fundering voor je huis is gedegen vakkennis nodig. Dat geldt ook voor een cyberfundament. Doe van deze checklist direct wat je zelf kunt doen en schakel een specialist in voor de rest, want security is al lang geen bijzaak meer. Wil je eens sparren over werkplekbeheer, cyberhygiëne of de risico’s van ransomware voor jouw organisatie? Plan een vrijblijvend adviesgesprek in, onze specialisten denken graag met je mee.