Cyberbeveiliging voor vzw's en kleine bedrijven: de prioriteiten die tellen

Een kleine vereniging of een bedrijf met vijf mensen heeft geen beveiligingscentrum nodig dat dag en nacht draait. Het moet wel veel eenvoudigere vragen kunnen beantwoorden: waar staan de back-ups, wie heeft toegang, wat moet als eerste weer werken en wie bel je als er iets misloopt?

Cyberbeveiliging wordt beheersbaar wanneer je ze herleidt tot die concrete beslissingen. Het doel is niet alles op dezelfde manier te beschermen, maar te voorkomen dat een gewoon incident de werking wekenlang stillegt.

Begin bij wat absoluut moet blijven werken

Breng een gewone werkdag in kaart. Hoe ontvang je aanvragen? Waar staan de dossiers? Hoe betaal je leveranciers? Wie kan op de website publiceren? Welke gegevens zouden onmogelijk te reconstrueren zijn?

Rangschik de diensten daarna:

• essentieel in de eerste uren;
• nodig binnen twee dagen;
• kan een week wachten.

Die lijst stuurt de back-ups, de rechten en het herstelplan. Zonder die lijst geeft men soms veel uit om een bijkomstige tool te beschermen en ontdekt men te laat dat niemand weet hoe de boekhouding moet worden hersteld.

Back-ups: de enige maatregel die meerdere mislukkingen herstelt

Een back-up helpt na een defect, een onbedoelde verwijdering, een diefstal of ransomware. Hij verdient dus de eerste plaats.

De `3-2-1`-regel is een goed ijkpunt:

• drie kopieën van de gegevens, inclusief het origineel;
• twee soorten dragers of omgevingen;
• één kopie buiten de locatie.

Voeg daar een essentiële bescherming aan toe: minstens één kopie moet offline zijn of niet te wijzigen met de gewone accounts. Een back-up die permanent verbonden is met dezelfde rechten, kan samen met de gegevens worden versleuteld.

Een hersteltest telt meer dan de melding ‘back-up geslaagd’. Kies twee keer per jaar een map, herstel die op een aparte locatie en controleer of ze opent. Test één keer per jaar een volledige belangrijke dienst.

Noteer hoelang het werkelijk duurt. Zo weet je of de hersteltijd die je belooft overeenstemt met wat de werking nodig heeft.

Persoonsgebonden accounts, ook in een team van drie

Een gedeelde account lijkt praktisch: iedereen kent het wachtwoord en het werk gaat door. Hij creëert echter drie problemen. Je weet niet wie een handeling heeft uitgevoerd, het wachtwoord circuleert, en wanneer iemand vertrekt, moet het geheim overal worden gewijzigd.

Elk lid moet een eigen account hebben. Beheerdersrechten zijn voorbehouden voor de taken die ze vereisen. De account die dagelijks wordt gebruikt om e-mails te lezen, zou niet de hele infrastructuur mogen kunnen wijzigen.

Activeer een tweede factor in de eerste plaats voor:

• e-mail;
• de bank;
• domein en hosting;
• de boekhouding;
• gedeelde opslag;
• de sociale media van de organisatie.

Voor de meest gevoelige accounts beschermt een passkey of fysieke sleutel beter tegen phishing.

Komen, veranderen en vertrekken voorbereiden

Toegangen stapelen zich in de loop der jaren op: een vroegere vrijwilliger, een dienstverlener, een stagiair, een testaccount. Niemand verwijdert ze, omdat niemand een volledige lijst heeft.

Een eenvoudige procedure past in een tabel:

• persoon;
• dienst;
• rechtenniveau;
• verantwoordelijke die toestemming gaf;
• datum van de laatste controle.

Bij aankomst worden toegangen toegekend volgens de rol. Bij een verandering worden ze aangepast. Bij vertrek verwijdert een checklist de accounts, wordt het materiaal teruggevraagd, worden de documenten overgedragen en worden de geheimen gewijzigd die echt gedeeld waren.

Controleer die tabel om de zes maanden. Weinig spectaculair en uiterst doeltreffend.

Niet alle updates zijn gelijk

Schakel automatische updates in voor computers, telefoons, browsers en gangbare apps. Wijs voor de website, de router, de NAS of bedrijfssoftware een persoon en een planning aan.

Houd een korte inventaris bij:

• productnaam;
• versie of model;
• verantwoordelijke persoon of dienstverlener;
• einddatum van de ondersteuning;
• laatst gecontroleerde update.

Een toestel dat geen patches meer krijgt, is niet gewoon ‘oud’. Het is een aanvaard risico. Die beslissing moet gekend, gebudgetteerd en in de tijd beperkt zijn.

Kritieke patches voor diensten die vanaf het internet bereikbaar zijn, mogen niet wachten tot de volgende maandelijkse vergadering. Spreek met de dienstverlener een termijn af en een manier om je te verwittigen.

E-mail en betalingen beschermen met een procedure

Kleine organisaties zijn vaak het doelwit van valse facturen en CEO-fraude. Technologie alleen kent de gebruikelijke relatie met de leverancier niet.

Schrijf twee regels uit:

1. elke wijziging van bankgegevens wordt telefonisch bevestigd bij een al gekend contact;
2. elke ongebruikelijke of dringende betaling krijgt een tweede goedkeuring.

De regel geldt ook wanneer de e-mail van het juiste adres komt: de mailbox van de leverancier kan gecompromitteerd zijn.

Geef mensen ook het recht om te vertragen. Een medewerker mag niet bang zijn de leiding te storen door een verzoek te controleren.

Bewustmaking die niemand vernedert

Eén keer per jaar een presentatie over phishing sturen, verandert weinig aan gedrag. Gebruik korte situaties uit het echte werk: een gewijzigde leveranciersrekening, een dringend verzoek via WhatsApp, een vals gedeeld document.

Leg vooral uit wat je moet doen na een fout. Het meldingskanaal moet gekend zijn en het principe dat er geen sanctie volgt, moet uitdrukkelijk zijn. Iemand die binnen tien minuten verwittigt, geeft het team de kans de account in te trekken of de betaling te blokkeren.

Publiceer na een oefening niet de lijst van wie heeft geklikt. Zoek uit waarom het scenario geloofwaardig was en wat de procedure had moeten voorkomen.

Het crisisplan moet op één pagina passen

Bewaar een afgedrukte of offline kopie met:

• de verantwoordelijken en hun vervangers;
• de contactgegevens van de dienstverlener, de bank en de verzekeraar;
• de plaats van de back-ups;
• de drie diensten die eerst moeten worden hersteld;
• de eerste handelingen: isoleren, bewaren, bellen, communiceren;
• de persoon die mag beslissen om iets af te sluiten.

Het plan mag geen wachtwoorden bevatten. Het moet aangeven waar de noodtoegangen worden bewaard.

Test het met een scenario van dertig minuten: ‘e-mail en gedeelde bestanden zijn maandag om 8 uur onbeschikbaar’. Je ontdekt snel welke nummers ontbreken en welke afhankelijkheden onzichtbaar waren.

Website en clouddiensten

Hosting ‘in de cloud’ betekent niet dat alles volgens jouw behoeften wordt geback-upt. Ga na wie de back-ups maakt, hoelang ze worden bewaard, hoe je een herstel aanvraagt en of eerdere versies beschermd zijn tegen verwijdering door een gecompromitteerde beheerder.

Bewaar voor de website apart:

• de bestanden;
• de database;
• de DNS- en domeininstellingen;
• de nodige certificaten en geheimen;
• een lijst van versies en afhankelijkheden;
• een geteste herstelprocedure.

De dienstverlener moet je gegevens kunnen exporteren. Als de enige manier om je werking terug te krijgen erin bestaat klant te blijven, ben je niet echt eigenaar van je continuïteitsplan.

Persoonsgegevens en verplichtingen

Wanneer een inbreuk persoonsgegevens betreft, kan de AVG een melding aan de Gegevensbeschermingsautoriteit binnen 72 uur verplichten als het incident een risico voor personen inhoudt. Bij een hoog risico moeten de betrokkenen mogelijk ook worden geïnformeerd.

Beslis niet alleen in alle haast. Houd de contactgegevens klaar van de functionaris voor gegevensbescherming, de juridisch adviseur of de bevoegde dienstverlener. Houd een chronologie bij van feiten en beslissingen.

Organisaties die onder NIS2 vallen, hebben bijkomende verplichtingen op het vlak van beveiliging en melding. Ga je situatie vóór een incident na, zeker als je actief bent in een essentiële sector of leverancier bent van een betrokken organisatie.

Een realistisch programma over dertig dagen

### Week 1

Maak een lijst van de essentiële diensten en van de mensen met beheerderstoegang. Activeer de tweede factor voor e-mail en hosting.

### Week 2

Controleer de back-ups en herstel een map. Maak een offline of onwijzigbare kopie.

### Week 3

Werk de toestellen bij die vanaf het internet bereikbaar zijn, verwijder oude accounts en bevestig de contactgegevens van de dienstverlener.

### Week 4

Druk de crisispagina af en organiseer een oefening van dertig minuten. Zet de gevonden problemen om in drie acties, elk met een verantwoordelijke en een datum.

Dit programma lost niet alles op. Het vermindert wel de meest voorkomende oorzaken van langdurige onderbreking, zonder spectaculaire aankoop.

Officiële bronnen

• Safeonweb@work — advies voor organisaties
• Centrum voor Cybersecurity België
• Gegevensbeschermingsautoriteit
• Europese Commissie — NIS2-richtlijn