Er zijn talloze oplossingen te koop die ervoor zorgen dat je veilig thuis kunt werken. Maar hoe zorg je nu concreet voor een veilige thuiswerkomgeving? En hoe hou je die omgeving ook veilig?
Het aantal cyberaanvallen neemt steeds sneller toe. Het aantal meldingen naar aanleiding van hacking, malware of phishing-incidenten is in 2020 gestegen met 30% vergeleken met 2019, zo meldt de Autoriteit Persoonsgegevens. In 2019 was er ook al een stijging, toen van 25% ten opzichte van 2018. Het feit dat we massaal thuiswerken draagt daaraan bij. Een derde van die aanvallen is gericht op mkb-organisaties. Bijna twee derde van de kleinere organisaties hebben recent een cyberaanval meegemaakt en waren niet in staat daar tijdig op te reageren. De gemiddelde kosten van een hack lopen op tot maar liefst 90 duizend euro. Toch zijn er nog steeds veel mkb’ers die menen dat zij niet interessant zijn voor hackers. En hackers die spelen daar slim op in.
Wat maakt dat thuiswerken – of beter: flexibel en locatieonafhankelijk – een groter risico voor je beveiliging is dan werken op kantoor? Daar zijn twee hoofdredenen voor. Medewerkers die op kantoor werken, gebruiken gewoonlijk een PC van de zaak die onder beheer staat van de IT-afdeling of de externe IT-partner; dus met o.a. een goede virusscanner, bescherming tegen malware en voorzien van de juiste software updates.
Daarnaast wordt op kantoor gebruik gemaakt van het bedrijfsnetwerk dat beveiligd is tegen bedreigingen van buitenaf door een goede firewall. De firewall zorgt, simpel gezegd, dat verkeer van buitenaf, vanaf internet, eerst wordt gecontroleerd en gefilterd voordat het op het bedrijfsnetwerk wordt toegelaten.
Toch biedt thuis en op andere locaties werken ook veel voordelen. De vraag is dus:
Een goede security vraagt een gestructureerde aanpak. Een goede bescherming tegen cyberaanvallen is van levensbelang voor uw bedrijf. Wat een goed niveau van bescherming is, is voor ieder bedrijf anders. Het hangt af van de risico’s die uw bedrijf loopt; o.a. afhankelijk van de branche waarin uw bedrijf actief is en van de grootte van uw bedrijf.
Om een niveau van bescherming te bieden dat passend is voor uw bedrijf en uw budget, hebben wij een aanpak ontwikkeld die is gebaseerd op het wereldwijd gebruikte CIS 20 Framework. CIS staat voor “Center for Internet Security”, een non-profit organisatie die wereldwijd erkende ‘best practices’ ontwikkeld voor het beveiligen van IT-omgevingen.
Het CIS 20 Framework bestaat uit 20 ‘controls’. Iedere control is een groep van maatregelen die op een bepaald onderdeel van cybersecurity gericht is. De controls zijn verdeeld in drie groepen, de Implementation Groups 1 tot en met 3 die je in deze volgorde moet implementeren. Lang niet alle controls zijn voor ieder bedrijf van toepassing; veel bedrijven kunnen volstaan met de controls die zich in Implementation Group 1 bevinden en die zorgen voor een goede beveiliging voor veel MKB-bedrijven. Loopt uw bedrijf meer dan gemiddelde risico’s? Dan kan het nodig zijn om ook aan de slag te gaan met de controls uit Implementation Group 2 en 3.
Het zorgen voor een goede cybersecurity start dus met het inrichten van de CIS 20 controls uit Implementation Group 1. Dit doen we door gebruik te maken van de security features die aanwezig zijn in Microsoft 365 in combinatie met onze Remote Management en Managed Security diensten. Veel MKB-ers gebruiken al Microsoft 365 maar weten niet dat er ook uitgebreide security features beschikbaar zijn. Zonder extra abonnementskosten kun je hier gebruik van maken.
Hoe ziet de inrichting van de beveiligingsmaatregelen die onderdeel zijn van Implementation Group 1 van de CIS 20 controls er dan uit in de praktijk? Samengevat wordt het volgende gedaan:
1. Migreren van e-mail naar de Cloud (als dat nog niet gedaan is), inrichten sterke wachtwoorden en MFA.
2. Beschermen van de gebruikte hardware en software; onder andere door veilige configuraties van hardware te verplichten.
3. Beheer en monitoring van de gebruikte servers en werkplekken invoeren zodat ze up-to-date en daarmee veilig blijven.
4. Uitfaseren van fileservers en migreren van data naar moderne en veilige manieren van opslag in OneDrive, Teams en SharePoint.
5. Security awareness programma invoeren om medewerkers zich bewust te laten worden van de gevaren die het gebruik van ICT met zich meebrengt en daardoor hun gedrag te veranderen.
6. Monitoring, Detection & Response inrichten om cyberaanvallen tijdig te detecteren en snel te kunnen ingrijpen indien nodig.
De stappen 1 tot en met 3 kunnen snel, binnen enkele weken, uitgevoerd zijn en verlagen de kans op een geslaagde cyberaanval al met 99%!
Voor de stappen 4 tot en met 6 kun je wat meer tijd nemen. Zeker stap 4 heeft vaak grote invloed op de manier van werken en moet daarom zorgvuldig voorbereid en uitgevoerd worden.
