Geen lijst met tien dingen die je allemaal tegelijk zou moeten doen. Gewoon een eerlijk antwoord op: waar begin ik nou echt?

[question] Waar begin ik als ik eerlijk gezegd nog helemaal niets geregeld heb?

Niet bij het duurste of meest ingewikkelde onderdeel, maar bij de maatregel die het grootste risico met het minste gedoe wegneemt. Voor de meeste bedrijven is dat tweestapsverificatie (MFA) op je belangrijkste accounts: mail, cloudopslag en de systemen waar gevoelige informatie in staat. Dat is geen groot project, het is in korte tijd in te richten, en het voorkomt een groot deel van de incidenten die met een gestolen wachtwoord beginnen.

[warning] Is het erg als we tot nu toe puur op geluk hebben gedraaid?

Het is geen schande, en je bent er niet alleen in. Veel bedrijven groeien organisch, en beveiliging komt er dan vaak pas bij als er tijd voor is, wat in de praktijk betekent: nooit, tot het een keer misgaat. Het wordt pas een probleem als je dit weet en er niets mee doet.

[key] Wat is de eerste, meest logische maatregel, vóór alle andere?

Tweestapsverificatie. Bij ons is dit zelfs een harde regel: niets zonder MFA. De reden is simpel, een gestolen of geraden wachtwoord is bij verreweg de meeste incidenten de manier waarop iemand binnenkomt. Met MFA is een wachtwoord alleen niet meer genoeg, en val je meteen een groot deel van die incidenten weg.

Dit is bewust niet de duurste of meest indrukwekkende maatregel. Het is de maatregel die het snelste het meeste risico wegneemt.

[check] Kan ik dit zelf oppakken, of heb ik daar meteen hulp bij nodig?

Voor een enkel account kun je dit vaak zelf instellen. Voor een heel bedrijf met meerdere medewerkers, meerdere systemen, en zorgen dat niemand een uitzondering wordt, is het praktischer om dit gestructureerd te laten inrichten, zodat je zeker weet dat het overal staat, niet alleen bij de mensen die er zelf aan dachten.

[cog] Raakt die eerste stap onze dagelijkse manier van werken?

Nauwelijks. MFA betekent in de praktijk: naast je wachtwoord een tweede, snelle bevestiging (bijvoorbeeld via een app op je telefoon). Dat kost een paar seconden bij het inloggen, en went binnen een paar dagen. Het is geen ingrijpende verandering in hoe je werkt.

[question] Waar zie ik zelf, zonder hulp, of iets dringend is of kan wachten?

Een paar simpele signalen: heb je nog geen MFA op mail en belangrijke systemen, dan is dat altijd dringend, ongeacht je bedrijfsgrootte. Werkt iedereen nog met wachtwoorden die nooit wijzigen of makkelijk te raden zijn? Ook dringend. Heb je dat allemaal wel op orde, dan kun je rustiger kijken naar de volgende stappen, zoals netwerkbeveiliging of back-up.

[clock] Wat is het risico als ik dit nog een jaar voor me uit schuif?

Het risico neemt niet lineair toe, maar het groeit wel met meer medewerkers, meer systemen, meer accounts die kwetsbaar zijn zolang er geen MFA op staat. Een jaar uitstellen kost je niet per se geld, maar wel een jaar waarin je op geluk vertrouwt in plaats van op een basismaatregel die relatief simpel te regelen is.

[clock] Tot slot

De beste eerste stap is niet de meest indrukwekkende, het is de stap die het snelste het meeste risico wegneemt: tweestapsverificatie op je belangrijkste accounts. Geen groot project, geen bangmakerij, gewoon de logische plek om te beginnen als je nog niets hebt geregeld.

Meer lezen: "Wat is het beste wachtwoordbeleid voor een mkb-bedrijf?"

Nog niets geregeld en wil je weten waar je precies staat?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →