Beveiliging bij thuiswerken: de basis die een kleine zaak eerst regelt

Of: waarom de gereedschapskist meer telt dan het nieuwste stuk gereedschap

Wie het thuiswerk van zijn team wil beveiligen, denkt vaak eerst aan een VPN. Dat is één stuk gereedschap. De rest van de kist doet minstens evenveel, en kost meestal minder. Het CCB zet op Safeonweb@work de goede praktijken voor thuiswerk op een rij, en die komen grotendeels overeen met de tips van ENISA uit maart 2020.

De basis, kort samengevat: werk op een toestel dat de zaak beheert, zet tweestapsverificatie op alles wat van buitenaf bereikbaar is, versleutel de schijf, laat updates hun werk doen, bewaar bestanden op één plek met een back-up, en zorg dat iedereen weet wie hij belt als er iets misgaat.

Veilig thuiswerken: vijf vakken in de gereedschapskist

Het toestel

Een laptop van de zaak is de veiligste keuze, schrijft het CCB, omdat je er zelf de beveiliging op kunt regelen; ook ENISA raadt toestellen van de organisatie aan. Een eigen pc van een medewerker kan ook, maar dan met extra afspraken: je weet niet wie er ’s avonds op speelt, en je kunt er weinig op afdwingen.

Op dat toestel regel je vier dingen. Updates staan automatisch aan, en de laptop gaat ’s avonds uit in plaats van in slaapstand, zodat ze ook echt geïnstalleerd worden. De schijf is versleuteld, met BitLocker of apparaatversleuteling op Windows en FileVault op een Mac, zodat een gestolen laptop alleen een gestolen laptop is. Een antivirusprogramma staat aan; op Windows is Microsoft Defender al ingebouwd. En het scherm vergrendelt zichzelf na een paar minuten.

Kmo-Kristof: We hebben antivirus op alle laptops.

Security-Sofie: En de updates?

Kmo-Kristof: Die stellen we uit. Ze komen altijd op het slechtste moment.

Security-Sofie: Voor een aanvaller komt een update ook op het slechtste moment. Daarom bestaan ze.

De accounts

Elk account een eigen, lang wachtwoord, bewaard in een wachtwoordbeheerder. Tweestapsverificatie op de mail, de cloudopslag, de boekhouding en elke vorm van toegang op afstand: het CCB noemt dat laatste uitdrukkelijk. Niemand werkt dagelijks met een beheerdersaccount. En wie vertrekt, verliest dezelfde dag zijn toegang, ook tot de gedeelde accounts waarvan iedereen het wachtwoord kende.

Een boekhoudkantoor met acht medewerkers haalt hier meer veiligheid uit dan uit om het even welke VPN. De meeste toegangen zitten in clouddiensten, waar de verbinding al versleuteld is en een gestolen wachtwoord het grotere risico vormt.

De gegevens

ENISA raadt aan om werkbestanden op de opslag van de organisatie te bewaren in plaats van op het toestel zelf. In een kleine zaak betekent dat: één plek voor de bestanden, of dat nu de server op kantoor is of een clouddienst, en geen kopieën op USB-sticks of in een privé-Dropbox. Op die ene plek staat een back-up die je af en toe terugzet om te zien of ze werkt.

Het netwerk

Thuis is de router de voordeur. Het CCB vraagt om het standaardwachtwoord van de router te wijzigen, minstens WPA2-versleuteling te gebruiken en de router up-to-date te houden. Een VPN komt pas in beeld als er op kantoor iets staat dat thuiswerkers moeten bereiken. Voor openbare wifi in een station of hotel gelden aparte afspraken.

De mensen

De meeste incidenten beginnen met een mail of een telefoontje. Spreek af dat niemand een programma installeert omdat een onbekende daarom vraagt, ook niet als die zegt van Microsoft of de bank te bellen. Deel links naar videovergaderingen alleen met wie erbij hoort. En maak duidelijk wie je belt bij een verloren laptop of een verdachte klik, met een naam en een gsm-nummer. Een zelfstandige vertaler heeft daarvoor geen IT-dienst nodig, wel een IT-partner die weet dat hij gebeld kan worden.

Wat je deze maand kunt doen:

1. Zet tweestapsverificatie aan op mail en cloud, voor iedereen.
2. Controleer of de schijven van alle laptops versleuteld zijn.
3. Kijk na of updates automatisch geïnstalleerd worden, ook op de pc achter de toonbank.
4. Zet een back-up terug, als test.
5. Hang een briefje op met wie je belt bij problemen.

Het wifi dat iedereen deelt

De werklaptop hangt thuis vaak op hetzelfde netwerk als de spelconsole en de slimme stekkers. Hoe je je netwerk thuis opsplitst, lees je in een aparte gids.

Afspraken die je opschrijft

Alles hierboven werkt beter als het op papier staat, en de Belgische regels voor telewerk vragen er ook om. Welke punten erin horen, staat bij IT-afspraken met thuiswerkers.

Hulp van op afstand, maar van wie?

Programma’s om een pc over te nemen zijn handig voor je IT-partner, en geliefd bij oplichters die zich als helpdesk voordoen. Hoe je ze veilig instelt, lees je bij programma’s die een pc overnemen.