ICT-checklist voor het MKB: 25 punten om zelf te controleren

• Er wordt dagelijks automatisch een back-up gemaakt van alle bedrijfsdata, ook van Microsoft 365 (mail, OneDrive, SharePoint en Teams).

  Microsoft bewaart verwijderde gegevens maar beperkt, dus een eigen back-up is uw vangnet bij per ongeluk verwijderen, een vertrokken medewerker of ransomware.

• Minstens één kopie van de back-up staat los van uw netwerk of kan niet worden aangepast (offline of immutable).

  Ransomware probeert ook bereikbare back-ups te versleutelen; een afgescheiden kopie blijft dan bruikbaar om mee te herstellen.

• In de afgelopen drie maanden is een terugzettest gedaan en u weet hoe lang volledig herstel duurt.

  Een back-up is pas iets waard als vaststaat dat terugzetten werkt en binnen een tijd lukt die uw bedrijf kan missen.

Meer hierover: Back-up en disaster recovery

• Windows- en macOS-updates worden automatisch geïnstalleerd op alle werkplekken, en iemand controleert dat dit ook echt gebeurt.

  Aanvallers maken graag gebruik van bekende lekken waarvoor de fabrikant al een update heeft uitgebracht.

• Ook overige software (browsers, pdf-lezers, boekhoud- en branchepakketten) wordt bijgewerkt.

  Een volledig bijgewerkt besturingssysteem helpt weinig als een verouderd programma er alsnog een deur openzet.

• Router, firewall, NAS, printers en wifi-apparatuur draaien op actuele firmware.

  Netwerkapparatuur hangt vaak direct aan internet en wordt na installatie jarenlang vergeten.

Meer hierover: ICT-beheer (patchmanagement)

• Multi-factor authenticatie (MFA) staat aan voor alle accounts met toegang tot e-mail en clouddiensten, ook voor beheerders.

  Met alleen een buitgemaakt wachtwoord komt een aanvaller dan niet binnen.

• Iedere medewerker heeft een eigen account; er worden geen inloggegevens gedeeld.

  Met persoonlijke accounts ziet u wie wat heeft gedaan en kunt u toegang per persoon intrekken.

• Medewerkers gebruiken een wachtwoordmanager en hergebruiken geen wachtwoorden.

  Als een andere website wordt gehackt, proberen criminelen dezelfde combinatie van e-mailadres en wachtwoord ook op uw zakelijke accounts.

• Accounts van vertrokken medewerkers worden direct geblokkeerd en beheerrechten liggen alleen bij wie ze echt nodig heeft.

  Vergeten accounts en overbodige beheerrechten zijn een onopvallende en daardoor aantrekkelijke ingang.

Meer hierover: Multi-factor authenticatie

• SPF, DKIM en DMARC zijn ingesteld voor uw e-maildomein.

  Deze instellingen maken het voor criminelen lastiger om e-mail te versturen die van uw domein lijkt te komen.

• Medewerkers weten hoe ze phishing herkennen en bij wie ze een verdacht bericht melden.

  Een snelle melding voorkomt dat één klik uitgroeit tot een incident; het NCSC heeft een overzicht van kenmerken van phishing.

• Wijzigingen in rekeningnummers of spoedbetalingen worden altijd telefonisch geverifieerd via een bekend nummer.

  Bij factuur- en CEO-fraude ziet de e-mail er vaak echt uit; een telefoontje naar een nummer dat u al kende valt niet te vervalsen.

Meer hierover: Security awareness training, Microsoft 365

• Er staat een beheerde firewall tussen uw netwerk en internet en standaardwachtwoorden van router en apparatuur zijn gewijzigd.

  Een fabrieksinstelling of standaardwachtwoord is voor een aanvaller eenvoudig op te zoeken.

• Gasten en privé-apparaten gebruiken een apart wifi-netwerk dat gescheiden is van het bedrijfsnetwerk.

  Zo komt een besmette telefoon of laptop van een bezoeker niet bij uw bestanden, printers of server.

• Werken op afstand gaat via VPN of beveiligde clouddiensten; er staan geen poorten zoals extern bureaublad (RDP) direct open naar internet.

  Open beheerpoorten worden voortdurend automatisch gescand en zijn een bekende route voor ransomware.

Meer hierover: Firewall en netwerkbeveiliging

• Alle laptops en pc's hebben actuele endpoint-beveiliging die centraal wordt bewaakt.

  Centrale bewaking betekent dat een melding bij iemand terechtkomt, in plaats van ongezien in een hoekje van het scherm.

• Laptops zijn versleuteld met BitLocker (Windows) of FileVault (macOS).

  Een verloren of gestolen laptop levert dan geen leesbare bedrijfsgegevens op.

• Er is een actueel overzicht van alle apparaten, inclusief telefoons, en zakelijke telefoons zijn op afstand te vergrendelen of te wissen.

  Wat u niet in beeld heeft, kunt u niet bijwerken, beveiligen of terughalen als een medewerker vertrekt.

Meer hierover: ESET endpoint-beveiliging, Security monitoring

• U heeft een overzicht van alle licenties en abonnementen met verlengdata, en betaalt niet voor ongebruikte licenties.

  Dit voorkomt onnodige kosten en onaangename verrassingen als een contract stilzwijgend wordt verlengd of juist afloopt.

• Er is geen software of besturingssysteem meer in gebruik waarvoor de fabrikant geen beveiligingsupdates meer uitbrengt.

  Zonder updates blijven nieuw ontdekte lekken voorgoed open.

Meer hierover: Microsoft 365-licenties

• Er is een kort noodplan, ook op papier, met wie u belt bij een storing of hack: ICT-partner, bank, verzekeraar en belangrijke leveranciers.

  Tijdens een incident zijn digitale documenten en contactlijsten mogelijk onbereikbaar.

• Beheerderswachtwoorden en herstelcodes liggen veilig vastgelegd en zijn bereikbaar als de vaste beheerder er niet is.

  Uw bedrijf mag niet stilvallen omdat één persoon ziek, op vakantie of vertrokken is.

Meer hierover: IT-advies

• U heeft verwerkersovereenkomsten met leveranciers die persoonsgegevens verwerken, en een vaste procedure en register voor datalekken.

  Volgens de Autoriteit Persoonsgegevens kunt u verplicht zijn een datalek binnen 72 uur te melden, en dat haalt u alleen als de stappen vooraf helder zijn.

• U heeft nagegaan of uw organisatie onder de Cyberbeveiligingswet (NIS2) valt, of dat klanten die eronder vallen eisen aan u gaan stellen.

  De Cyberbeveiligingswet is volgens het NCSC op 15 augustus 2026 in werking getreden, en ook toeleveranciers krijgen te maken met de beveiligingseisen van hun afnemers.

Meer hierover: Compliance (AVG en NIS2)