Laptop en telefoon veilig gebruiken

Module 5: Apparaten, software en netwerk · Leestijd: 10 minuten

Leerdoel: Na deze les kun je laptops en telefoons beveiligen tegen verlies, diefstal en malware, en weet je wat je in het eerste uur doet als een apparaat kwijt is.
Kernbegrippen: schermvergrendeling, schijfversleuteling, herstelsleutel, apparaat zoeken en wissen, ingebouwde beveiliging, standaardgebruiker, beheerdersaccount, app-rechten, beheer op afstand (MDM)

Het apparaat is de sleutelbos

Op een laptop of telefoon van een ondernemer staan niet alleen bestanden. Er staan ook ingelogde sessies van mail, boekhouding en bank, opgeslagen wachtwoorden, de authenticator-app voor tweestapsverificatie, klantgegevens in de downloadmap en foto's van paspoorten die iemand "even" had gestuurd. Een verloren of gestolen apparaat is daarom bijna altijd meer dan een kostenpost. Het kan toegang geven tot je hele bedrijf, en het kan een datalek zijn (les 8.2).

Er zijn twee soorten risico's, met verschillende maatregelen:

Schermvergrendeling: de eerste deur

Zonder vergrendeling kan iedereen die je apparaat oppakt meteen verder waar jij was gebleven. Stel daarom in:

• een pincode of wachtwoord op elk apparaat, met biometrie (vingerafdruk of gezicht) als gemak erbovenop. Een pincode van zes cijfers of langer is veel sterker dan vier; een veegpatroon is vaak af te lezen aan de vegen op het scherm;
• automatisch vergrendelen na een paar minuten niet gebruiken;
• de gewoonte om zelf te vergrendelen als je wegloopt. Op Windows is dat Windows-toets + L, op een Mac Control + Command + Q;
• meldingen op het vergrendelscherm beperken. Een inlogcode per sms of een stuk van een vertrouwelijke mail hoeft niet zichtbaar te zijn voor wie je telefoon op tafel ziet liggen.

Schijfversleuteling: wat een dief niet kan lezen

Een schermvergrendeling houdt een voorbijganger tegen, maar geen dief met tijd. Die kan de schijf uit een laptop halen en in een andere computer lezen. Tegen dat scenario helpt schijfversleuteling: alle gegevens op de opslag worden versleuteld met een sleutel die pas vrijkomt als jij inlogt. Zonder die sleutel is de schijf een verzameling onleesbare tekens.

Bij versleuteling hoort een herstelsleutel: een lange code waarmee je bij de gegevens kunt als je wachtwoord niet meer werkt of na een grote wijziging aan het apparaat. Bewaar die sleutel op een plek die je ook kunt bereiken als de laptop zelf weg is, bijvoorbeeld in je wachtwoordmanager of in het account van je organisatie. Een herstelsleutel op een briefje in de laptoptas is net zo nuttig als de huissleutel onder de deurmat.

Waarom dit voor de AVG telt: verlies je een versleuteld apparaat waarvan de sleutel veilig is, dan is de kans op misbruik van de gegevens klein. Bij een onversleutelde laptop met klantgegevens is dat anders. Hoe je dat beoordeelt, leer je in les 8.2.

Kwijt? Het eerste uur

Zet het nu klaar, dan werkt het als het nodig is:

1. Zoeken en wissen op afstand aanzetten. Apple, Google en Microsoft hebben elk een functie om een apparaat op de kaart te tonen, te laten piepen, te vergrendelen en te wissen. Die werkt alleen als hij vooraf is ingeschakeld.
2. Weet waar je inlogt om dat te doen, en zorg dat je dat ook kunt zonder het kwijte apparaat. Staat je tweestapsverificatie alleen op die telefoon, dan heb je je herstelcodes nodig (les 2.3).

Als het apparaat kwijt is:

1. Vergrendel het op afstand en laat een bericht met een telefoonnummer zien.
2. Trek sessies in bij je belangrijkste diensten: mail, cloudopslag, boekhouding. In Nextcloud kun je bijvoorbeeld per apparaat de toegang intrekken of het apparaat opdracht geven de gegevens van die dienst te wissen.
3. Wijzig wachtwoorden van accounts die op het apparaat open stonden, vanaf een ander, schoon apparaat.
4. Wis het apparaat op afstand als je het niet snel terugvindt.
5. Beoordeel en documenteer of er persoonsgegevens op stonden, en doe aangifte bij diefstal.

Malware: ingebouwde beveiliging en minimale rechten

Een moderne laptop of telefoon heeft al veel beveiliging aan boord: Windows heeft Microsoft Defender, macOS heeft eigen controles op programma's, en de app-winkels van Apple en Google controleren apps voordat ze worden aangeboden. Een los antiviruspakket kan extra functies bieden, maar het belangrijkste is dat de ingebouwde beveiliging aan staat en wordt bijgewerkt.

Twee gewoonten maken een groot verschil:

• Werk dagelijks als standaardgebruiker, niet als beheerder. Malware die je per ongeluk start, krijgt dezelfde rechten als jij. Als standaardgebruiker kan ze veel minder: geen software installeren, geen systeeminstellingen veranderen, geen beveiliging uitzetten. Heb je een keer beheerdersrechten nodig, dan vraagt het systeem om het beheerderswachtwoord. Dat moment van nadenken is precies de bedoeling.
• Installeer alleen uit de officiële app-winkel of van de site van de maker. Op Android betekent dat: "installeren uit onbekende bronnen" uit laten. Oplichters sturen bij hulpvraagfraude of nep-bankmeldingen graag een link naar een "app" die in werkelijkheid je scherm overneemt.

App-rechten: wat mag een app?

Elke app vraagt rechten: camera, microfoon, locatie, contacten, bestanden. Een zaklamp-app die je contacten wil, heeft daar geen goede reden voor. Loop één keer per kwartaal de rechten na in de instellingen van je telefoon:

• geef locatie alleen "tijdens gebruik", niet altijd;
• trek de toegang tot contacten en bestanden in bij apps die dat niet nodig hebben. Je contacten zijn persoonsgegevens van anderen;
• verwijder apps die je niet meer gebruikt;
• let extra op apps die toegankelijkheidsrechten of schermdeling vragen. Daarmee kan een app alles zien en aanklikken wat jij ziet.

Meer apparaten? Beheer op afstand

Werk je met een paar mensen of meer, dan wordt "iedereen regelt het zelf" lastig te controleren. Met beheer op afstand (Mobile Device Management, MDM) stel je centraal in dat elk apparaat versleuteld is, een vergrendeling heeft, updates krijgt en op afstand kan worden gewist. Er zijn oplossingen ingebouwd in de grote zakelijke kantoorpakketten, losse diensten en open source. Voor telefoons van medewerkers zelf (bring your own device) kun je vaak alleen het zakelijke deel beheren, zodat je niet in iemands privéfoto's kunt.

Ook zonder MDM kun je afspraken maken en die één keer per jaar samen nalopen. De checklist in de opdracht helpt daarbij.

In de praktijk: zo ziet het eruit

In Nextcloud, zoals WebOké dat aanbiedt, staat onder Instellingen, Beveiliging een lijst Apparaten & sessies. Daar zie je elke browser, app en elk app-wachtwoord dat toegang heeft. Via de drie puntjes trek je de toegang van één apparaat in, of laat je het apparaat de Nextcloud-gegevens wissen zodra het weer verbinding maakt. Bij andere clouddiensten heet het vaak "apparaten", "sessies" of "beveiligingsoverzicht" en werkt het vergelijkbaar.

Samenvatting

• Een apparaat is een sleutelbos: sessies, wachtwoorden en de 2FA-app staan erop.
• Vergrendel automatisch, gebruik een sterke pincode en beperk meldingen op het vergrendelscherm.
• Zet schijfversleuteling aan en bewaar de herstelsleutel ergens anders dan bij het apparaat.
• Zet zoeken en wissen op afstand vooraf aan; bij verlies: vergrendelen, sessies intrekken, wachtwoorden wijzigen, wissen, beoordelen.
• Werk als standaardgebruiker, installeer alleen uit officiële bronnen en loop de app-rechten na.

Quiz

Opdracht

Opdracht D5.2: Je laptop en telefoon nalopen. Controleer op je eigen laptop en telefoon de vergrendeling, de schijfversleuteling, de herstelsleutel, zoeken en wissen op afstand, je accounttype en de app-rechten. Vink de checklist af en schrijf op wat je zou doen als je telefoon morgen gestolen wordt.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 3.6: Apparaten en sessies bekijken, intrekken of op afstand wissen
• Nextcloud handleiding 3.10: Telefoon kwijt of 2FA kwijt: zo kom je weer binnen
• WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
• NCSC, mobiele apparatuur: https://www.ncsc.nl/mobiele-apparatuur
• Microsoft, Apparaatversleuteling in Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, toegangscodes en gegevensbeveiliging (Engels): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web