Van thuis bij je bestanden: VPN, remote desktop en cloud voor kleine teams
Thuiswerken met een VPN is één manier om medewerkers van thuis bij de bestanden en programma’s van je zaak te laten. Of je er een nodig hebt, hangt af van waar die bestanden staan: op een server of NAS op kantoor, of in een clouddienst zoals Microsoft 365 of Google Workspace. Daarnaast bestaan remote desktop en programma’s om een pc op afstand over te nemen. Deze gids zet de opties voor een zaak van 2 tot 20 mensen naast elkaar, met de beveiliging, het thuisnetwerk en de afspraken die erbij horen.
Of: waarom de eerste vraag niet „welke VPN?” is, maar „waar staan je bestanden?”
Wie zich afvraagt of zijn team een VPN voor het bedrijf nodig heeft om van thuis te werken, stelt vaak eerst de verkeerde vraag. De VPN is een middel. De eigenlijke vraag is waar het werk staat: op een server in de berging van het kantoor, op een NAS onder het bureau van de boekhouder, of bij Microsoft en Google. Het Europese cyberagentschap ENISA publiceerde in maart 2020 tips voor thuiswerk die nog altijd kloppen: bedrijfstoepassingen alleen via versleutelde verbindingen, tweestapsverificatie, en geen Remote Desktop rechtstreeks op internet.
Thuiswerken met een VPN: drie wegen naar hetzelfde archief
Bekijk je kantoor even als een archief met kasten vol dossiers. Er zijn drie manieren om er van thuis mee te werken.
De eerste is een privégang van je voordeur naar het archief. Dat is de VPN: je laptop wordt een stukje van het kantoornetwerk, en de dossiers reizen naar je keukentafel. De tweede is een marionet. Je laat de dossiers liggen waar ze liggen en bestuurt van op afstand de handen van een pc die op kantoor blijft staan. Dat is remote desktop, of software als TeamViewer en AnyDesk. De derde is verhuizen: de kasten gaan naar een bankkluis in de stad, waar een portier aan de deur je badge controleert. Dat is de cloud, en daar is geen gang meer nodig.
Duw het beeld één stap verder, want elke weg heeft zijn eigen zwakke plek. Een gang zonder deuren onderweg leidt naar elke kamer van het gebouw, niet alleen naar het archief. Een marionet die je bestuurt via een raam aan de straatkant, kan ook door een voorbijganger worden bestuurd. En een portier die alleen badges controleert, laat iedereen binnen met een gestolen badge. Daarom vraagt elke weg zijn eigen slot: rechten per gebruiker voor de VPN, geen open poort voor remote desktop, en tweestapsverificatie voor de cloud.
Voor je iets koopt of instelt, beantwoord je vier vragen:
- Waar staan de bestanden en programma’s? Op een server of NAS op kantoor, in de cloud, of een beetje van beide.
- Met welk toestel werken je mensen? Een laptop van de zaak, die je kunt beheren, of hun eigen pc, waar je weinig over te zeggen hebt.
- Wie houdt het bij? Jij, een IT-partner, of eerlijk gezegd niemand.
- Wat staat er op papier? Wie mag wat, op welk toestel, en wie bel je als er iets misloopt.
Kmo-Kristof: We hebben sinds 2020 een VPN. Iedereen kan van thuis op de server.
Security-Sofie: Wat staat er op die server?
Kmo-Kristof: Eigenlijk niets meer. Alles staat sinds vorig jaar in SharePoint.
Security-Sofie: En de VPN?
Kmo-Kristof: Die staat nog aan. Voor de zekerheid.
Security-Sofie: Dan bewaak je een gang naar een lege kamer. Die je nog altijd moet bijhouden, want aanvallers zoeken precies zulke vergeten deuren.
Het antwoord op de vier vragen bepaalt welke van de onderstaande gidsen voor jou telt. De meeste kleine zaken komen uit bij een combinatie: de cloud voor mail en documenten, en een VPN of remote desktop voor dat ene boekhoudprogramma dat nog op kantoor draait.
Heb je hem echt nodig?
Een VPN lost een specifiek probleem op: bij iets komen dat alleen op het kantoornetwerk bereikbaar is. Voor de rest voegt hij vaak weinig toe. Wanneer het wel de moeite loont, en wanneer niet, lees je bij wanneer thuiswerk een VPN vraagt.
De basis eerst
Een VPN beschermt de verbinding, niet de laptop die eraan hangt. Updates, tweestapsverificatie, versleutelde schijven en een back-up doen meer voor een klein team dan het duurste VPN-abonnement. Wat in die basis hoort, staat bij de beveiligingsbasis voor thuiswerk.
De gang of de marionet
Met een VPN komen de bestanden naar je toe; met remote desktop blijven ze op kantoor en reist alleen het beeld. Dat verschil bepaalt de snelheid, de beveiliging en wat er gebeurt als een laptop gestolen wordt. Het staat uitgelegd bij VPN tegenover remote desktop.
Het raam aan de straatkant
Remote Desktop van Windows luistert standaard op poort 3389. Wie die poort op zijn router openzet, maakt zijn pc bereikbaar voor heel internet, en dat is een bekende ingang voor ransomware. Hoe je Remote Desktop veilig afschermt, lees je in een aparte gids.
Iemand anders aan het stuur
TeamViewer, AnyDesk en Chrome Remote Desktop zijn de snelste manier om een pc over te nemen, voor jezelf of voor een collega die vastzit. Ze hebben elk hun licentieregels en hun veiligheidsinstellingen. De vergelijking staat bij tools voor toegang op afstand.
Wat de baas ziet
Een bedrijfs-VPN op een laptop van de zaak stuurt verkeer langs het netwerk van de werkgever. Wat die technisch kan zien, en wat hij volgens cao nr. 81 mag controleren, lees je bij wat een werkgever ziet.
De spelconsole naast de boekhouding
Thuis hangt de werklaptop op hetzelfde wifi als de spelconsole, de slimme lamp en de tablet van de kinderen. Een gastnetwerk of een apart netwerk zet daar een hek tussen. Hoe je je thuisnetwerk in stukken verdeelt, staat in een praktische gids.
Als het kantoor in de cloud staat
Microsoft raadt in zijn documentatie over Microsoft 365 zelf aan om het verkeer naar Teams, SharePoint en Exchange Online buiten de VPN om te laten lopen. De controle verschuift dan naar de aanmelding: wie, met welk toestel, van waar. Dat model staat bij cloudtoegang zonder VPN.
Op papier
Cao nr. 85 regelt in België het structurele telewerk, de wet van 5 maart 2017 het occasionele, zoals de FOD Werkgelegenheid uitlegt op zijn pagina over telewerk. Geen van beide schrijft een VPN voor, maar beide vragen afspraken. Welke IT-punten je erin opneemt, lees je bij afspraken over IT bij thuiswerk.