5 dingen die je nu kunt doen om je IT-omgeving beter te beveiligen

Multi-factor authenticatie (MFA) is misschien wel de meest effectieve securitymaatregel die er bestaat. De cijfers liegen er niet om: wereldwijd zijn er dagelijks 600 miljoen inlogaanvallen, waarvan 99% (cijfers Microsoft) wachtwoord-gerelateerd is. En maak je over die wachtwoorden alsjeblieft geen illusies: die zijn gewoon te koop. Op het dark web kun je voor een paar euro inloggegevens van vrijwel elke organisatie vinden.

MFA lost dit probleem op. Zelfs als een wachtwoord gestolen wordt, kan een aanvaller zonder die tweede factor (meestal een code op je telefoon) niet inloggen. De meeste aanvallers haken dan af en gaan op zoek naar een makkelijker slachtoffer.

Wat kun je doen?

1. Activeer MFA in fasen voor alle accounts, te beginnen bij beheerders
2. Gebruik een authenticatie-app zoals Microsoft Authenticator
3. Leer medewerkers hoe ze deze app moeten gebruiken
4. Uiteindelijk wordt het beleid: geen MFA, geen toegang

Een bijkomend voordeel: MFA kweekt bewustzijn bij je medewerkers. Mensen ervaren het vaak als een extra stap, als "lastig". Dat maakt ze nieuwsgierig: waarom doen we dit? Dat geeft je de perfecte gelegenheid om uit te leggen waarom security belangrijk is. Zo maak je van een technische maatregel een educatiemoment.

Verouderde software is ook een van de manieren waarop aanvallers binnenkomen. De meeste softwareleveranciers brengen maandelijks nieuwe updates uit die bekende beveiligingslekken dichten. Als je die niet installeert, laat je de deur openstaan voor criminelen. Die weten precies welke kwetsbaarheden er zijn in oude versies en scannen het internet specifiek naar systemen die nog niet geüpdatet zijn. Voor hen ben je dan een makkelijk doelwit.

Wat kun je doen?

1. Schakel automatische updates in voor alle besturingssystemen
2. Zorg dat ook applicaties automatisch updaten (denk aan browsers, Office, etc.)
3. Plan maandelijks tijd in om te controleren of alle systemen up-to-date zijn
4. Gebruik tools die kwetsbaarheden voor je vinden, zodat je er wat aan kunt doen

Dit hangt nauw samen met updaten, maar verdient een eigen punt. End of Life (EOL) software - oftewel systemen waarvoor geen updates meer uitkomen - is een enorm beveiligingsrisico.

De leverancier stuurt geen beveiligingsupdates meer. Bekende kwetsbaarheden worden dus nooit meer gepatcht. En criminelen weten dat. Ze richten zich specifiek op organisaties die nog oude software draaien, omdat ze weten dat die kwetsbaarheden niet meer gedicht kunnen worden.

Wat kun je doen?

1. Inventariseer welke software en systemen je draait
2. Check of ze nog ondersteund worden door de leverancier
3. Maak een migratie-plan voor alles wat EOL is of binnen een jaar EOL gaat
4. Als migratie nog niet kan: isoleer die systemen zo veel mogelijk van de rest van je netwerk en zorg dat ze niet online toegankelijk zijn

Veel succesvolle aanvallen beginnen met een phishing-mail. Iemand klikt op een link, vult zijn wachtwoord in op een nepsite en de aanvaller is binnen. Of iemand opent een bijlage die malware installeert, want ook dat is een beproefde methode.

Om dit soort aanvallen tegen te houden, zijn technische maatregelen essentieel. Maar je medewerkers blijven een belangrijke verdedigingslinie. Als zij weten waar ze op moeten letten, stop je de meeste aanvallen al voordat ze beginnen.

Wat kun je doen?

1. Organiseer regelmatig security awareness-trainingen (minimaal twee keer per jaar)
2. Maak het interactief: geen saaie PowerPoints, maar hands-on oefeningen
3. Stuur test-phishing mails om te checken of mensen alert zijn (en om ze scherp te houden)
4. Maak het bespreekbaar: mensen moeten zich veilig voelen om te melden dat ze op iets verdachts geklikt hebben
5. Deel regelmatig praktische tips via interne kanalen

Bewuste medewerkers herkennen verdachte mails en vreemde verzoeken. Ze weten wanneer ze moeten twijfelen en bij wie ze terecht kunnen met vragen. Dat voorkomt veel incidenten.

Alle voorgaande punten zijn waardevol, maar eigenlijk schieten ze tekort in één ding: ze vertellen je niet waar jíj staat. Welke risico's heeft jouw organisatie specifiek? Wat zijn jouw zwakke plekken?

Daarom is een security assessment eigenlijk stap 0. Voordat je aan het werk gaat, wil je weten waar je staat en wat je grootste risico's zijn. Zo kun je gericht aan de slag en weet je zeker dat je de juiste dingen aanpakt:

• Welke systemen je hebt en hoe ze beveiligd zijn
• Welke bekende kwetsbaarheden in jouw landschap zitten
• Waar je afwijkt van security best practices
• Wat je grootste risico's zijn

Het resultaat: een helder overzicht met een geprioriteerde lijst van acties. Je weet precies wat eerst moet en wat later kan. En je kunt dus je budget effectief inzetten.

Wat kun je doen?

1. Plan een security assessment in (bij DataVisual gebruiken we daarvoor de CSAT van Microsoft)
2. Bespreek de resultaten met je team en je directie
3. Maak een actieplan op basis van de grootste risico's
4. Herhaal de assessment jaarlijks om te checken of je vooruitgang boekt

Je krijgt zo een objectief beeld van waar je staat en je weet precies welke acties de meeste impact hebben. Dat geeft rust en helpt je om weloverwogen beslissingen te nemen en doelgericht te investeren in beveiliging voor je systemen.

Deze 5 maatregelen zijn een begin, maar zeker geen wondermiddel dat alle criminelen buiten de deur houdt. Security is een continu en soms complex proces dat altijd aandacht en investeringen zal blijven vragen. Maar als je de stappen hierboven zet, ben je al een stuk beter beschermd dan de meeste organisaties.

Het mooie is: je hoeft niet alles tegelijk te doen. Begin met een security assessment om te weten waar je staat. Kies vervolgens de actie die voor jouw situatie het meest urgent is. Volgende week pak je de volgende. En voor je het weet, heb je een veel veiligere organisatie.

Wil je weten waar je precies staat met je security? Bij DataVisual beginnen we altijd met een CSAT. Zo krijg je een helder beeld van je risico's en kun je gericht aan het werk. Benieuwd? Neem contact met ons op.