Oktober is de Europese Cybersecuritymaand. Een mooi moment om niet alleen over beveiliging te praten, maar er ook iets aan te doen. Want de meeste aanvallen op kleine en middelgrote bedrijven zijn niet geavanceerd. Ze slagen omdat een basismaatregel ontbreekt: een account zonder MFA, een laptop die maanden geen update heeft gehad of een back-up die er niet blijkt te zijn.
Het goede nieuws: met een handvol maatregelen sluit u de meest gebruikte deuren. In dit artikel zetten we er zeven op een rij die u deze maand kunt regelen. Vink ze af, of laat ons meekijken.
1. MFA op elk account, en het liefst phishing-bestendig
Multifactorauthenticatie is nog steeds de maatregel met het grootste effect. Toch zien we in de praktijk vaak uitzonderingen: het boekhoudpakket, de webshop, het bankportaal of een gedeeld account waar "even" geen MFA op zit.
- Maak een lijst van alle systemen waar u op inlogt: e-mail, cloudopslag, boekhouding, CRM, bank, website, VPN
- Zet MFA aan op elk systeem dat het ondersteunt, voor alle gebruikers en zonder uitzonderingen
- Kies waar mogelijk voor phishing-bestendige methoden, zoals passkeys of een fysieke beveiligingssleutel. Een sms-code kan een aanvaller via een nep-inlogpagina alsnog onderscheppen.
- Gebruik een wachtwoordmanager voor sterke, unieke wachtwoorden per dienst. Lees hoe u dat gebruiksvriendelijk regelt in ons artikel over veilig wachtwoordbeheer.
2. Beperk beheerrechten
Hoe meer rechten een account heeft, hoe groter de schade als het wordt overgenomen. Werkt uw IT-beheerder met hetzelfde account waarmee ook gemaild en gesurft wordt? Dan is één phishingmail genoeg om de sleutels van uw hele omgeving kwijt te raken.
- Gebruik aparte beheeraccounts die alleen voor beheer worden ingezet
- Houd het aantal beheerders zo klein mogelijk en geef rechten op basis van de taak
- Geef medewerkers geen lokale beheerrechten op hun laptop. Zo kan malware zich minder makkelijk installeren.
- Zorg voor een noodtoegang, zodat u er altijd in kunt als een beheerder niet bereikbaar is
3. Houd alles up-to-date
Aanvallers maken dankbaar gebruik van bekende lekken waarvoor allang een update bestaat. Vaak gaat het niet om de laptop zelf, maar om iets waar niemand meer aan denkt: de router, de firewall, een NAS of een oude plug-in op de website.
- Zet automatische updates aan voor besturingssystemen, browsers en applicaties
- Maak een overzicht van uw apparaten, inclusief netwerkapparatuur, printers en telefoons
- Vervang apparatuur en software die geen updates meer krijgt
- Controleer maandelijks of de updates ook echt geïnstalleerd zijn
4. Zorg voor een back-up die u echt kunt terugzetten
Ransomware versleutelt niet alleen uw bestanden, maar zoekt ook actief naar uw back-ups. Een back-up op een schijf die altijd aan het netwerk hangt, is daarom niet genoeg.
- Volg de 3-2-1-regel: drie kopieën, op twee soorten opslag, waarvan één buiten de deur of offline
- Vergeet uw clouddiensten niet. Een veelgehoorde misvatting is dat de leverancier al een back-up maakt. Bij Microsoft 365 bijvoorbeeld blijft uw data uw eigen verantwoordelijkheid, en dat geldt ook voor de configuratie in Entra ID. Lees meer over ConnectWise Cloud Backup met Entra ID-bescherming.
- Test een restore. Een back-up die u nooit heeft teruggezet, is een aanname.
Bekijk ook onze dienst Backup & recovery.
5. Ruim oude accounts en toegang op
Ex-medewerkers, stagiairs van vorig jaar, een leverancier die ooit toegang kreeg tot een gedeelde map: elk vergeten account is een open deur. Aanvallers zoeken juist naar accounts waar niemand meer naar kijkt.
- Loop alle gebruikers na en blokkeer accounts die niet meer nodig zijn
- Controleer externe toegang van leveranciers en gasten
- Wijzig gedeelde wachtwoorden waar oud-medewerkers bij konden
- Leg een uitstroomprocedure vast, zodat toegang op de laatste werkdag wordt ingetrokken
- Bonus: wat u opruimt, scheelt vaak ook licentiekosten
6. Train uw medewerkers en doe een phishingoefening
De meeste aanvallen beginnen nog altijd met een mail, een sms of een telefoontje. Technische maatregelen vangen veel af, maar uw medewerkers zijn de laatste verdedigingslinie. En met AI worden phishingmails en nagemaakte stemmen steeds overtuigender.
- Doe een phishingsimulatie om te zien hoe uw organisatie er echt voor staat
- Volg die op met een korte awarenesstraining, liefst met voorbeelden uit uw eigen branche
- Spreek af hoe u verdachte verzoeken controleert, bijvoorbeeld een betaalverzoek van de directeur: altijd terugbellen via een bekend nummer
- Maak melden makkelijk en veilig. Wie op een link klikte, moet dat zonder schaamte kunnen melden.
7. Weet wat u doet als het misgaat
Geen enkele beveiliging is waterdicht. Het verschil tussen een vervelende dag en een week stilstand zit vaak in de voorbereiding. Wie belt u als er ransomware op het scherm staat? Wie mag besluiten om systemen uit te zetten?
- Schrijf een kort incidentplan: wie doet wat, wie belt u, waar staan de back-ups
- Bewaar de belangrijkste contactgegevens offline, want bij een aanval kunt u er misschien niet bij
- Ken uw meldplicht. Valt u onder de Cyberbeveiligingswet, dan moet u een significant incident binnen 24 uur vooraanmelden. Bij een datalek geldt de meldplicht van de AVG.
- Oefen het plan één keer, al is het maar aan de vergadertafel
Van checklist naar aantoonbaar veilig
Zeven maatregelen afvinken is een goede start. De uitdaging is het daarna vast te houden: updates die blijven lopen, meldingen die opgevolgd worden en accounts die niet opnieuw ongemerkt blijven staan. En steeds vaker moet u het ook kunnen laten zien, aan een verzekeraar, een opdrachtgever of in het kader van de Cyberbeveiligingswet.
Daarvoor is onze bundel Aantoonbaar Veilig: Security as a Service houdt uw omgeving continu in de gaten, en uComply zet het om in een actueel auditdossier.
Tot en met 30 november: de helft vergoed
De meeste maatregelen uit deze checklist vallen onder de subsidie Mijn Cyberweerbare Zaak. Zzp'ers en mkb-bedrijven tot 50 medewerkers krijgen 50% van de kosten vergoed, tot €1.250. MFA, back-ups, een wachtwoordmanager, patchbeheer, awarenesstraining en een risico-inventarisatie komen allemaal in aanmerking.
Meldt u zich vóór 30 november aan, dan krijgt u de bundel Aantoonbaar Veilig voor €150 per maand in plaats van vanaf €299. Wordt de subsidie niet toegekend, dan beëindigt u het contract kosteloos. Alle voorwaarden leest u in ons artikel over Mijn Cyberweerbare Zaak 2026.
Liever eerst zelf aan de slag? Gebruik deze checklist als leidraad en neem contact op als u ergens tegenaan loopt. Meer over onze aanpak leest u op de pagina Secure Cloud.
