Checklist voor een veilige VPN: twaalf vragen voor je kmo of IT-partner

Of: waarom „het staat goed” geen antwoord is

Wie zijn zakelijke VPN wil beveiligen maar zelf geen techneut is, hoeft niet te weten hoe je een firewall configureert. Wel welke vragen je stelt. De twaalf vragen in deze gids volgen de aanbevelingen van CISA voor randapparaten zoals firewalls en VPN-gateways, en de basismaatregelen die het CCB in zijn CyberFundamentals-kader opsomt.

Plan er een uur voor met wie je VPN beheert. Een goed antwoord is concreet: een versienummer, een datum, een naam. „Dat staat goed” is geen antwoord, het is een belofte.

Checklist voor de VPN van je kmo

Het toestel zelf

1. Welk merk, model en welke firmwareversie draait er, en tot wanneer ondersteunt de fabrikant dat model? Goed: een versienummer en een datum. Actie nodig: niemand weet het, of de datum is voorbij.
2. Wie installeert updates, en binnen hoeveel dagen na een dringend bericht van de fabrikant? Goed: een naam en een termijn in dagen. Actie nodig: „bij het volgende onderhoud”.
3. Volgt iemand de beveiligingsberichten van de fabrikant en de waarschuwingen van het CCB? Goed: ja, en de zaak is geregistreerd bij Safeonweb@work. Actie nodig: niemand.
4. Is de beheerinterface bereikbaar vanaf het internet, en staan er functies aan die niemand gebruikt, zoals een webportaal? Goed: beheer alleen van binnenuit of via een aparte beveiligde weg, ongebruikte functies uit. Actie nodig: „dat is handig voor als ik van thuis iets moet aanpassen”.

Waarom die eerste twee vragen zo zwaar wegen, en wat je doet met een toestel dat geen updates meer krijgt, lees je bij updates en end-of-life.

De mensen

5. Vraagt elke VPN-login een tweede factor, ook voor beheerders en de IT-partner? Goed: ja, zonder uitzonderingen. Het CyberFundamentals-kader vraagt dat al op het basisniveau. Actie nodig: „behalve voor de directie, die vond het lastig”.
6. Heeft iedereen een eigen account? Goed: ja. Actie nodig: er bestaan accounts als „kantoor”, „stage” of „admin” die door meer mensen gebruikt worden.
7. Wanneer werden de accounts van vertrokken medewerkers en oude leveranciers voor het laatst opgeruimd? Goed: een datum in de voorbije drie maanden. Actie nodig: nooit.
8. Zijn de standaardwachtwoorden vervangen, ook na de laatste overstap naar een nieuw toestel? Goed: ja, en de wachtwoorden van meegenomen accounts zijn vervangen. Actie nodig: „we hebben de configuratie gewoon overgezet”.

Hoe je accounts aanmaakt, koppelt aan je gebruikerslijst en opruimt bij vertrek, staat bij persoonlijke accounts en hun opruiming.

Het geheugen en het noodplan

9. Worden de logboeken van de VPN naar een andere plek gestuurd, en hoelang worden ze bewaard? Goed: ja, met een termijn in maanden. Actie nodig: ze staan alleen op het toestel.
10. Kijkt iemand naar opvallende aanmeldingen, zoals vanuit het buitenland of ’s nachts? Goed: er zijn waarschuwingen ingesteld. Actie nodig: niemand kijkt.
11. Is er een recente kopie van de configuratie, buiten het toestel? Goed: ja, van na de laatste wijziging. CISA raadt aan zowel configuratie als firmware te bewaren, om na een incident een schoon toestel te kunnen opbouwen. Actie nodig: nee.
12. Weet iedereen wie hij belt bij een vermoedelijke inbraak? Goed: een naam en een nummer, op papier, ook bereikbaar als het netwerk plat ligt. Actie nodig: „de IT-partner, denk ik, maar die is op vrijdag niet bereikbaar”.

Wat er in die logboeken hoort, waar ze staan en hoelang, lees je bij de logboeken van je VPN.

Hoe je de antwoorden leest

Twaalf keer „goed” betekent niet dat je nooit getroffen wordt. Het betekent dat een aanvaller meer moet doen dan een wachtwoord kopen of wachten tot je een update vergeet. In de aanvallen op VPN’s die CISA, Cisco en SonicWall de voorbije jaren beschreven, komen vooral drie oorzaken terug: een ontbrekende update, een ontbrekende tweede factor en oude wachtwoorden. Dat zijn de vragen 1, 2, 5 en 8.

Begin bij de antwoorden die actie vragen, in deze volgorde: tweestapsverificatie (vraag 5), updates en ondersteuning (vragen 1 en 2), gedeelde en oude accounts (vragen 6 tot 8). Die vier kosten vooral tijd, geen geld.

Kmo-Kristof: Ik heb de lijst aan onze IT-man gegeven.

Security-Sofie: En?

Kmo-Kristof: Hij zei dat alles in orde is.

Security-Sofie: Welke firmwareversie?

Kmo-Kristof: Hij zei dat alles in orde is.

Security-Sofie: Dan heb je een antwoord gekregen. Alleen niet op de vraag.

Valt je organisatie onder de Belgische NIS2-wet, dan vraagt het CyberFundamentals-kader van het CCB dezelfde basis, te beginnen met tweestapsverificatie op de toegang op afstand.