Geen pleidooi om thuiswerken maar af te schaffen. Gewoon een eerlijk antwoord op wat je minimaal geregeld moet hebben.

[list] In het kort

• Thuiswerken is niet automatisch onveiliger dan kantoor — het risico zit in wat er wél en niet geregeld is, niet in de locatie zelf.
• Het technische minimum: versleutelde toegang tot je systemen, MFA, en een apparaat dat aan dezelfde basiseisen voldoet als op kantoor.
• Werken vanaf een privé-laptop is vooral een probleem omdat je er geen grip op hebt: geen updates, geen beveiliging die jullie beheren.
• Een thuis-wifi-netwerk hoeft geen zwakke schakel te zijn, zolang de verbinding naar je bedrijfssystemen zelf goed beveiligd is.
• Een gedeelde laptop binnen een gezin is een reëel risico — niet omdat gezinsleden kwaad willen, maar omdat het apparaat dan niet meer alleen voor werk wordt gebruikt.

Thuiswerken voelt vaak losser dan werken op kantoor. Dat gevoel is het probleem niet — het probleem is als die losheid zich vertaalt naar minder beveiliging.

[question] Is thuiswerken automatisch een groter risico dan werken op kantoor?

Niet automatisch. Het risico zit niet in de locatie, maar in het verschil in controle: op kantoor staat alles op hetzelfde, door jullie beheerde netwerk. Thuis werkt iemand via een netwerk waar jullie part noch deel aan hebben. Zolang de verbinding naar je bedrijfssystemen net zo goed is afgeschermd als op kantoor, is het verschil in risico klein.

[key] Wat is het minimum dat je technisch geregeld moet hebben voor veilig thuiswerken?

Drie dingen: een versleutelde verbinding naar je bedrijfssystemen (via VPN of ZTNA — zie "VPN of ZTNA: wat is het verschil?" voor de diepere uitleg), MFA op elk account dat vanaf afstand bereikbaar is, en een werkapparaat dat aan dezelfde basiseisen voldoet als een apparaat op kantoor: actuele updates, beveiligingssoftware, en geen toegang voor anderen.

Zonder deze drie is thuiswerken niet per se rampzalig, maar wel een stuk kwetsbaarder dan nodig.

[wrench] Verandert er iets voor mensen die vanuit huis bij productiesystemen moeten kunnen?

Ja, en daar mag extra aandacht naartoe. Toegang tot productiesystemen op afstand is gevoeliger dan toegang tot bijvoorbeeld mail: als daar iets misgaat, raakt het mogelijk de vloer, niet alleen een los account. Voor deze groep is het extra belangrijk om toegang zo specifiek mogelijk te maken — niet "het hele netwerk", maar precies het systeem dat nodig is.

[warning] Is een privé-laptop gebruiken voor werk een probleem, en waarom precies?

Het belangrijkste probleem is grip, niet het apparaat zelf. Op een privé-laptop weet je niet zeker of updates op tijd worden geïnstalleerd, welke andere software erop staat, of wie er nog meer toegang toe heeft. Op een zakelijk beheerd apparaat is dat allemaal geregeld en gecontroleerd. Een privé-laptop kán prima beveiligd zijn, maar daar heb je als bedrijf geen zicht op — en dat is precies het risico.

[cog] Hoe zorg ik dat een thuis-wifi-netwerk geen zwakke schakel wordt?

Door niet te vertrouwen op de beveiliging van het thuisnetwerk zelf, maar op de verbinding die je apparaat maakt naar je bedrijfssystemen. Met een goed versleutelde verbinding (VPN of ZTNA) maakt het in de praktijk weinig uit hoe het thuisnetwerk zelf is ingericht — het verkeer naar je bedrijf loopt via een beveiligd kanaal, ongeacht wat er verder op dat thuisnetwerk gebeurt.

[question] Wat als een gezinslid van een medewerker dezelfde laptop gebruikt?

Dan is dat apparaat niet meer uitsluitend voor werk, en daarmee niet meer volledig onder controle van je bedrijf. Een kind dat op dezelfde laptop een spelletje download, of een partner die er even iets op opzoekt, kan onbedoeld iets binnenhalen dat vervolgens ook bij je werkbestanden kan komen. De oplossing is niet wantrouwen naar de medewerker, maar een duidelijke afspraak: een werkapparaat is voor werk, en een eigen account of apparaat voor de rest van het gezin.

[clock] Tot slot

Veilig thuiswerken vraagt niet om wantrouwen naar wie thuis werkt, maar om dezelfde basis als op kantoor: een versleutelde verbinding, MFA, een beheerd apparaat, en heldere afspraken over wie het gebruikt. Regel je dat, dan maakt de locatie nauwelijks nog verschil.

Weet je zeker dat thuiswerken bij jullie goed is afgeschermd?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →

Vraag een Cyber Threat Assessment aan →