Module 9 · 9.3
Je eigen beveiligingscheck en plan
Module 9: Regels en organisatie · Leestijd: 12 minuten
Leerdoel: Na deze les kun je je eigen beveiligingscheck doen met een vaste lijst en er een prioriteitenplan van maken.
Kernbegrippen: basismaatregelen, nulmeting, prioriteren (kans x impact, snel en goedkoop eerst), eigenaar en datum, jaarlijkse herhaling
Van weten naar doen
Je hebt in deze cursus veel gezien: wachtwoorden, phishing, e-mail en domein, apparaten, back-ups, rechten, incidenten en regels. Het risico is nu dat je overal een beetje mee begint en nergens mee klaar bent. Deze les zet alles om in twee dingen die je zelf maakt:
- een nulmeting: een eerlijke foto van hoe het er nu voor staat;
- een plan: wat je eerst doet, wie het doet en wanneer het klaar is.
De lijst hieronder bevat de basismaatregelen: de maatregelen die de meeste opportunistische aanvallen tegenhouden (les 1.1) en die ook een klant meestal vraagt als die eisen stelt aan zijn leveranciers (les 9.1). Het is geen volledige norm zoals ISO 27001, en dat hoeft ook niet. Het is de basis die bij een klein bedrijf het verschil maakt.
De beveiligingscheck: twintig punten
Beantwoord elk punt met ja, deels of nee. Wees streng: "ik denk het wel" is "deels". Achter elk punt staat de les waar je het hebt geleerd.
Accounts en inloggen
| Nr | Punt | Les |
|---|---|---|
| 1 | Er is een overzicht van alle accounts, apparaten, websites, domeinen en leveranciers, met per onderdeel een eigenaar. Wat niet meer gebruikt wordt, is opgeruimd. | 1.1, 7.2 |
| 2 | Iedereen gebruikt een wachtwoordmanager en heeft per dienst een uniek, lang wachtwoord. Er worden geen wachtwoorden via mail of chat gedeeld. | 2.1, 2.2 |
| 3 | Tweestapsverificatie staat aan op mail, bank, boekhouding, hosting, registrar en social media; voor beheerders bij voorkeur een phishingbestendige vorm zoals een passkey of beveiligingssleutel. | 2.3, 2.4 |
| 4 | Herstelcodes en reservesleutels zijn veilig bewaard en je weet wat je doet als een telefoon kwijt is. | 2.3, 2.4 |
| 5 | Je hebt gecontroleerd of zakelijke adressen in bekende lekken voorkomen, en je weet hoe je sessies intrekt en doorstuurregels controleert. | 1.4, 2.5 |
Mensen en processen
| Nr | Punt | Les |
|---|---|---|
| 6 | Er is een betaalprocedure: terugbellen op een bekend nummer bij gewijzigde rekeningnummers en een tweede persoon bij grote of afwijkende betalingen. | 1.2 |
| 7 | Iedereen kan phishing herkennen aan het echte domein van een link en weet wat te doen na een klik. | 3.1 tot en met 3.5 |
| 8 | Er is één meldpunt met vervanger, melden gebeurt zonder schuld, en er is een korte herhaling minstens een paar keer per jaar. | 9.2 |
E-mail, website en domein
| Nr | Punt | Les |
|---|---|---|
| 9 | Je domein heeft SPF, DKIM en DMARC, en DMARC staat minstens op p=none met een plan om naar quarantine of reject te gaan. | 4.1 |
| 10 | Je website werkt overal via https met een geldig certificaat, stuurt http door, en het CMS met plugins wordt bijgewerkt. HSTS en beveiligingsheaders staan aan of zijn bewust overwogen. | 4.2 |
| 11 | De houdergegevens van je domein kloppen, automatisch verlengen staat aan, de registrar heeft 2FA, er zijn geen zwevende DNS-records en DNSSEC staat aan waar het kan. | 4.3 |
Apparaten en netwerk
| Nr | Punt | Les |
|---|---|---|
| 12 | Updates staan automatisch aan voor besturingssystemen, apps en plugins; router, NAS en printer worden ook bijgewerkt; er draait niets meer dat geen updates krijgt. | 5.1 |
| 13 | Laptops en telefoons hebben schermvergrendeling en schijfversleuteling, kunnen op afstand worden gewist, en niemand werkt dagelijks met een beheerdersaccount. | 5.2 |
| 14 | De wifi gebruikt WPA2 of WPA3, het standaardwachtwoord van de router is gewijzigd en bezoekers en slimme apparaten zitten op een gastnetwerk. | 5.3 |
Back-ups
| Nr | Punt | Les |
|---|---|---|
| 15 | Er is een back-up van alles wat belangrijk is, ook mail en clouddiensten, volgens 3-2-1. | 6.1 |
| 16 | Minstens één kopie is offline of onveranderbaar en heeft een eigen inlog die niet op de werkcomputers wordt gebruikt. | 6.2 |
| 17 | In het afgelopen jaar is een terugzettest gedaan, en je weet hoeveel werk je mag kwijtraken en hoe snel het terug moet zijn. | 6.3 |
Toegang, leveranciers en incidenten
| Nr | Punt | Les |
|---|---|---|
| 18 | Iedereen heeft een eigen account met alleen de rechten die nodig zijn, beheerdersaccounts zijn apart, en bij vertrek worden alle toegangen dezelfde dag ingetrokken. | 7.1 |
| 19 | Belangrijke leveranciers en clouddiensten zijn beoordeeld, er zijn verwerkersovereenkomsten waar nodig, en bestanden worden gedeeld met links met vervaldatum. | 7.2, 7.3 |
| 20 | Er hangt een incidentkaart op papier, er is een datalekregister, en je weet wanneer je meldt bij de AP, de politie en, als je eronder valt, het NCSC. | 8.1, 8.2, 8.3, 9.1 |
Tel je antwoorden. Veel "nee" is geen reden om te schrikken: het is je startpunt. Daarom heet het een nulmeting.
Een deel kun je automatisch laten controleren
Een paar punten kun je van buitenaf meten, omdat ze over openbare gegevens van je domein gaan: punt 9 (SPF, DKIM, DMARC), punt 10 (https, certificaat, HSTS, headers) en punt 11 (DNSSEC, nameservers, verloopdatum). In opdracht A9.3 doe je dat in één keer voor je eigen domein, met dezelfde controles als in de opdrachten van module 4. Onafhankelijke tests zoals https://internet.nl en de openbare controles op https://www.weboke.nl/domein-gezondheid en https://www.weboke.nl/emailcheck kijken naar vergelijkbare punten.
Let op: een groene uitslag op die punten zegt niets over de andere zeventien. Je domein kan perfect zijn ingesteld terwijl je mailbox een wachtwoord uit een lek heeft. De automatische check is een deel van de nulmeting, geen vervanging.
Van check naar plan: prioriteren
Je hebt nu misschien acht of tien punten op "nee" of "deels". Niet alles kan tegelijk. Je kiest de volgorde met twee vragen.
1. Hoe groot is het risico? Gebruik kans x impact (les 1.1). Een punt waar een opportunistische aanval op mikt, zoals hergebruikte wachtwoorden zonder 2FA of een website zonder updates, heeft een grote kans. Een punt dat bij misgaan je hele bedrijf stillegt, zoals een back-up die niet werkt, heeft een grote impact.
2. Hoeveel moeite kost het? Sommige maatregelen kosten een uur en niets, zoals tweestapsverificatie aanzetten of een betaalprocedure afspreken. Andere kosten weken, zoals alle laptops vervangen.
Zet de punten in een eenvoudig schema:
| Weinig moeite | Veel moeite | |
|---|---|---|
| Groot risico | Nu doen (deze week) | Plannen (dit kwartaal) |
| Klein risico | Meenemen als het uitkomt | Later of bewust accepteren |
De regel is: snel en goedkoop eerst, mits het risico groot is. Bij de meeste kleine bedrijven komen in het vak "nu doen" terecht: tweestapsverificatie op mail en bank (3), de betaalprocedure (6), automatische updates aanzetten (12) en controleren of er een kopie van de back-up buiten bereik is (16).
Bewust accepteren
Een risico mag je ook accepteren: je besluit dat je het niet oplost, omdat het risico klein is of de kosten te hoog. Dat is een geldige keuze, zolang je hem bewust maakt en opschrijft. "Vergeten" is geen acceptatie.
Een eigenaar en een datum per punt
Een plan zonder namen blijft liggen. Geef elk punt:
- een eigenaar: één persoon die ervoor zorgt dat het gebeurt. Dat hoeft niet degene te zijn die het uitvoert; het IT-bedrijf kan het werk doen, maar iemand in je eigen bedrijf controleert dat het af is;
- een datum: wanneer het klaar moet zijn;
- een definitie van klaar: hoe weet je dat het af is? Niet "2FA regelen", maar "2FA staat aan op de vijf accounts uit de lijst, herstelcodes liggen in de kluis".
Een voorbeeld van drie regels uit het plan van Bakkerij Example:
| Punt | Actie | Eigenaar | Klaar op | Klaar als |
|---|---|---|---|---|
| 3 | 2FA op mail, bank, boekhouding en registrar | Petra | over 1 week | Op alle vier aan, herstelcodes in de wachtwoordmanager en op papier in de kluis |
| 6 | Betaalprocedure op A4, besproken met Joost en Sanne | Petra | over 2 weken | A4 hangt bij het kantoor, beide hebben het gelezen |
| 16 | Wekelijkse kopie op een schijf die daarna los in de kluis gaat | Joost | over 1 maand | Eerste drie weken gedaan, één bestand teruggezet als test |
Herhalen
Beveiliging is nooit af. Er komen nieuwe medewerkers, nieuwe diensten, nieuwe apparaten en nieuwe trucs. Spreek daarom af:
- elk jaar de volledige check opnieuw, op een vaste maand, en het plan bijwerken;
- tussendoor de check doen bij grote veranderingen: een nieuwe webbouwer, een verhuizing van je hosting, een nieuwe boekhouding, een groeispurt;
- na een incident de punten nalopen die ermee te maken hadden (les 8.3).
Bewaar de uitslag van elke check. Dan zie je na een jaar zwart op wit wat er verbeterd is, en heb je een antwoord als een klant vraagt hoe je beveiliging ervoor staat. Het NCSC heeft ook een eigen CyberVeilig Check voor zzp en mkb, die je naast deze lijst kunt gebruiken; die levert een actielijst op.
Samenvatting
- Een nulmeting met twintig vaste punten geeft een eerlijke foto; elk punt verwijst naar de les waar je het leerde.
- Een deel (e-mail, website, domein) kun je automatisch controleren, maar dat zegt niets over de andere punten.
- Prioriteer met kans x impact en moeite: groot risico met weinig moeite eerst.
- Elk punt in het plan krijgt een eigenaar, een datum en een definitie van klaar; accepteren mag, maar bewust en op papier.
- Herhaal de check elk jaar en bij grote veranderingen, en bewaar de uitslagen.
Quiz
Opdracht
Opdracht A9.3: De automatische check van je domein. Vul je eigen domein in. Het programma controleert in één keer e-mail (SPF, DKIM, DMARC), website (https, certificaat, doorsturen, HSTS, headers) en domein (nameservers, DNSSEC, verloopdatum) en laat zien welke punten van de beveiligingscheck groen, oranje of rood zijn.
Opdracht D9.3: Je beveiligingscheck en plan. Doe de check van twintig punten voor je eigen bedrijf. Kies daarna minstens vijf punten, zet ze in het schema van risico en moeite, en maak een plan met per punt een eigenaar, een datum en een definitie van klaar. Zet in je agenda wanneer je de check opnieuw doet.
Opdracht D9.3: Je beveiligingscheck en plan
Zo pak je het aan: (1) Loop de twintig punten uit de les door en vul per punt in: ja, deels of nee. Gebruik voor de punten 9, 10 en 11 de uitslag van A9.3 (de knop neemt rode en oranje punten over). (2) Zet elk punt met "deels" of "nee" in het schema van risico (groot/klein) en moeite (weinig/veel). (3) Kies minstens vijf punten. Begin met de vakjes "groot risico, weinig moeite". (4) Geef elk gekozen punt een actie, een eigenaar, een datum en een definitie van klaar. (5) Schrijf op welke punten je bewust accepteert, met de reden. (6) Zet in je agenda een vaste maand voor de volgende volledige check, en schrijf op bij welke veranderingen je tussendoor opnieuw kijkt. (7) Bewaar de uitslag (de cursus bewaart de ingevulde check als je dat wilt; alleen ja/deels/nee per punt en je plan, geen andere gegevens).
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- WebOké handleiding 5.17: Domein en e-mail gezondheid: controleren en herstellen
- WebOké, Domein / Email gezondheid (openbare controle): https://www.weboke.nl/domein-gezondheid
- WebOké, E-mailcheck: https://www.weboke.nl/emailcheck
- Internet.nl, test je website en e-mail: https://internet.nl
- NCSC, CyberVeilig Check voor zzp en mkb: https://tools.ncsc.nl/cyberveilig-check/