Slimme apparaten op kantoor beveiligen: de risico’s die niemand beheert

De meeste bedrijven weten precies welke laptops en telefoons er rondgaan. Die staan op een lijst, hebben een beheerprogramma en krijgen updates. Maar loop eens door je kantoor en tel mee: de slimme thermostaat, het scherm in de vergaderruimte, de badgelezer bij de deur, de camera boven de achteringang, de netwerkprinter, de speaker waar mensen hun laptop mee verbinden, misschien zelfs de koffiemachine met wifi. Slimme apparaten op kantoor beveiligen begint bij precies dat rondje: weten wat er eigenlijk aan je netwerk hangt.

Al die apparaten hangen aan hetzelfde netwerk als je bestanden en je administratie. Ze zijn ooit door een installateur of een enthousiaste collega aangesloten, en daarna heeft niemand er meer naar omgekeken. Geen updates, vaak nog het wachtwoord uit de doos, en meestal onbeperkt toegang tot alles wat er verder op het netwerk staat.

Dit is het probleem met slimme apparaten op kantoor: niet dat ze onveilig zijn, maar dat niemand ze als IT beschouwt. In dit artikel gaat het daarom niet over het bewust uitrollen van een IoT-project — dat lees je bij IoT uitrollen op je bedrijfsnetwerk — maar over de apparaten die er al hangen zonder dat iemand ze beheert.

Waarom juist deze apparaten kwetsbaar zijn

Een slim apparaat — Internet of Things (IoT) in vakjargon — is een kleine computer met een netwerkverbinding. Het verschil met een laptop is dat het meestal geen scherm heeft waarop je een waarschuwing ziet, geen virusscanner draait en soms jarenlang geen update van zijn firmware krijgt. Fabrikanten stoppen bovendien vaak eerder met ondersteuning dan je zou verwachten.

De kwetsbaarheden zijn bij dit soort apparaten steeds dezelfde: een standaardwachtwoord dat nooit is veranderd, verouderde firmware, gebrek aan encryptie in het verkeer en onvoldoende beheer zodra alles eenmaal hangt. Geen van die risico’s valt op zolang alles gewoon doet wat het moet doen.

Voor een aanvaller is dat interessant. Niet omdat er iets waardevols op een thermostaat staat, maar omdat het een rustig plekje is om binnen te komen en vandaaruit verder te kijken. Een apparaat dat niemand controleert, valt ook niet op als het zich vreemd gaat gedragen.

Stap 1: maak eerst een lijst

Je kunt niets beveiligen waarvan je niet weet dat het bestaat. Begin dus letterlijk met een rondje door het pand. Noteer per apparaat: wat het is, waar het hangt, wie het gebruikt, welk merk en model, en wie het ooit heeft geïnstalleerd.

Vul dat aan vanaf de andere kant: kijk in je router of firewall welke apparaten er verbonden zijn. Bijna altijd staan daar dingen tussen die niemand kan thuisbrengen. Juist die zijn interessant. Een oude testcamera, een tablet van een vertrokken collega, een apparaat van een leverancier dat er tijdelijk zou hangen.

Stap 2: verander de standaardwachtwoorden

Veel slimme apparaten worden geleverd met een standaardwachtwoord dat per model hetzelfde is en online gewoon op te zoeken. Dat is de meest gebruikte manier om binnen te komen, en tegelijk de makkelijkste om te dichten.

Geef elk apparaat een uniek, lang wachtwoord en bewaar dat in een wachtwoordmanager waar je collega’s bij kunnen. Een wachtwoord dat alleen de installateur kent, is over twee jaar net zo goed een probleem.

Stap 3: zet ze op een apart netwerk

De belangrijkste maatregel is ook een van de eenvoudigste: laat slimme apparaten niet op hetzelfde netwerk staan als je werkplekken en servers. Met een apart wifi-netwerk of een VLAN geef je ze wel internet, maar geen toegang tot je bestanden.

Voor kleinere kantoren volstaat een gastnetwerk vaak al — zie slimme apparaten op een gastnetwerk. Heb je meer apparaten of gevoelige systemen, dan is echte segmentatie de betere keuze. Het effect is hetzelfde: als er iets misgaat op één apparaat, blijft de schade daar.

Stap 4: controleer of ze nog updates krijgen

Zoek per apparaat op tot wanneer de fabrikant ondersteuning biedt. Zet automatische updates aan waar dat kan, en plan anders een vaste controle in. Apparaten die geen updates meer krijgen, horen vervangen te worden of in ieder geval volledig afgeschermd van internet.

Sinds augustus 2025 gelden er via de radioapparatuurrichtlijn strengere cybersecurity-eisen voor apparaten die in de EU op de markt komen, en de Cyber Resilience Act voegt daar de komende jaren onder meer een meldplicht en een ondersteuningsperiode aan toe. Bij nieuwe aanschaf kun je daar naar vragen — zie wat de Cyber Resilience Act betekent. Voor de apparaten die er al hangen, moet je het zelf uitzoeken.

Stap 5: beperk wat elk apparaat mag

Een vergaderzaalscherm hoeft geen toegang tot je boekhouding. Een badgelezer hoeft niet uit zichzelf het internet op. Zet functies uit die je niet gebruikt, vooral toegang op afstand en cloudkoppelingen die je niet nodig hebt.

Printers verdienen hier aparte aandacht: die bewaren documenten, hebben vaak een webinterface en staan bij veel bedrijven volledig open. Meer daarover in printers beveiligen tegen cybercriminaliteit en je draadloze printer beveiligen.

Stap 6: houd in de gaten wat er gebeurt

Je hoeft geen securitycentrum in te richten. Wat wel helpt: weten wat normaal is. Een badgelezer die plotseling grote hoeveelheden data naar buiten stuurt, of een camera die verbinding maakt met een land waar je geen klanten hebt, is een signaal.

Veel moderne firewalls kunnen hier zonder veel werk op waarschuwen. Wat er verder bij komt kijken, lees je bij event logging en signalen dat een slim apparaat gehackt is.

Stap 7: spreek af wie iets mag aansluiten

Dit is de stap die het verschil maakt op de lange termijn. Zonder afspraak groeit je lijst vanzelf weer aan met apparaten die niemand kent. Eén regel volstaat: nieuwe apparaten met een netwerkverbinding worden gemeld voordat ze worden aangesloten.

Bij die melding stel je drie vragen. Heeft het echt netwerktoegang nodig? Slaat het gegevens op, en zo ja welke? Krijgt het nog updates van de fabrikant? Kan het apparaat geen van drieën goed beantwoorden, dan hangt het op het gastnetwerk of helemaal niet.

Een praktijkscenario

Een adviesbureau met zestien medewerkers liet de firewall vervangen. Bij het inventariseren van het netwerk kwamen 31 verbonden apparaten naar boven, terwijl men er ongeveer twintig verwachtte. Onbekend waren onder meer twee camera’s van de vorige huurder, een slimme tv in de vergaderruimte met verlopen ondersteuning, en een netwerkstekkerdoos die iemand had meegenomen om de serverkast op afstand te kunnen resetten.

Geen van die apparaten was gehackt, voor zover te zien. Maar alle drie stonden ze op hetzelfde netwerk als de bestandsserver, met het standaardwachtwoord er nog op. De oplossing kostte een dagdeel: een apart netwerk voor alles wat geen werkplek is, nieuwe wachtwoorden, en twee apparaten die eruit gingen. Het lastigste deel was niet technisch — het was uitzoeken waar dat ene apparaat eigenlijk voor diende.

Zo pak je het aan

1. Loop het pand rond en maak een lijst van alles wat verbinding maakt.
2. Vergelijk die lijst met wat je router of firewall laat zien.
3. Verander alle standaardwachtwoorden en leg ze veilig vast.
4. Zet alles wat geen werkplek is op een apart netwerk of gastnetwerk.
5. Controleer per apparaat of het nog updates krijgt; vervang of scherm af wat dat niet doet.
6. Schakel ongebruikte functies en toegang op afstand uit.
7. Spreek af dat nieuwe apparaten eerst gemeld worden, en herhaal de ronde elk half jaar.

Veelgestelde vragen

Is een gastnetwerk genoeg, of heb ik echte segmentatie nodig?

Voor een klein kantoor met een handvol slimme apparaten is een gastnetwerk een prima eerste stap: het houdt ze weg van je werkplekken. Zodra apparaten onderling moeten praten of je gevoelige systemen draait, is een VLAN met eigen regels de betere oplossing.

Wat doe ik met een apparaat dat geen updates meer krijgt?

Bij voorkeur vervangen. Kan dat niet meteen, haal het dan van internet af en zet het op een apart netwerksegment zonder toegang tot je bestanden. Zet het ook op je vervangingslijst, zodat het niet blijft hangen.

Hoe weet ik of een slim apparaat gegevens naar buiten stuurt?

De meeste zakelijke firewalls kunnen per apparaat laten zien waar verbinding mee wordt gemaakt. Kijk vooral naar apparaten die verbinding maken op momenten dat er niemand is, of met bestemmingen die niets met je bedrijf te maken hebben.

Welke slimme apparaten op kantoor vormen het grootste risico?

In de praktijk zijn dat de IoT-apparaten die informatie verwerken of zelf naar buiten praten: printers en scanners, camera’s, badgelezers en slimme thermostaten. Ze staan zelden op iemands lijst en krijgen weinig aandacht van gebruikers en beheerders — juist daar probeert een aanvaller toegang te krijgen. De beveiliging valt of staat met een apart netwerk, een eigen wachtwoord en updates die niet alleen beschikbaar zijn maar ook echt binnenkomen.

Moeten we dan maar helemaal geen slimme apparaten gebruiken?

Dat is niet nodig en meestal ook niet wenselijk — ze leveren echt gemak op, zoals je ziet in smart-office-trends. Het verschil zit in bewust aansluiten in plaats van er per ongeluk mee volstromen.

Wil je weten wat er precies aan jouw netwerk hangt? We brengen het in kaart, scheiden werkplekken van slimme apparaten en zorgen dat updates en wachtwoorden geregeld blijven. Neem gerust contact op — een inventarisatie is zo gedaan.