Gelaagde beveiliging: vijf lagen die vaak half af blijven (en hoe je ze controleert)

De meeste MKB-bedrijven hebben hun beveiliging niet slecht geregeld. Ze hebben hem alleen nooit in één keer ontworpen. Er kwam een virusscanner omdat dat hoorde. Later kwam er tweestapsverificatie bij, omdat een klant erom vroeg. Toen een spamfilter, na dat ene nepbericht. En ergens onderweg is er een back-up ingericht die sindsdien draait.

Op papier ziet dat er compleet uit. In de praktijk is het een verzameling losse onderdelen die niet met elkaar zijn afgestemd. Sommige dingen zitten er dubbel in. Andere dingen zitten er helemaal niet in, en dat merkt niemand — want een gat geeft geen melding.

Het vervelende is dat die gaten niet opvallen tijdens gewone werkdagen. Ze vallen op het moment dat er iets doorheen glipt. Dit artikel gaat over vijf lagen waar het in gegroeide opstellingen het vaakst misgaat, en vooral over hoe je per laag controleert of het écht werkt in plaats van dat het “geregeld” is.

Wat je hier eigenlijk wilt, is gelaagde beveiliging: meerdere maatregelen die elkaar opvangen, zodat één gat niet meteen je hele organisatie openzet. Die gelaagde aanpak werkt alleen als elke laag ook echt doet wat je denkt dat hij doet — en dat is precies wat hieronder per laag wordt gecontroleerd.

Het verschil tussen "geregeld" en "aantoonbaar"

Vraag een willekeurige ondernemer of updates goed staan, en het antwoord is bijna altijd ja. Vraag daarna wat er op dit moment openstaat, en het wordt stil. Dat is geen slordigheid, dat is het verschil tussen een instelling aanzetten en kunnen laten zien wat eruit komt.

Dat verschil is precies waar aanvallers van profiteren. Een maatregel die aanstaat maar niemand controleert, is in de praktijk een aanname. En aannames stapelen: als je vijf lagen hebt en je controleert er geen enkele, heb je geen vijf lagen maar vijf hoopvolle vermoedens.

Een handige denkwijze komt uit het NIST-raamwerk, dat beveiliging opdeelt in weten wat je hebt, beschermen, opmerken, reageren en herstellen. We leggen dat raamwerk uit in NIST CSF 2.0 uitgelegd. Wat je in de praktijk ziet: bijna elk MKB-bedrijf is redelijk sterk in beschermen, en zwak in opmerken en reageren. De maatregelen zitten aan de voorkant, de blinde vlekken aan de achterkant.

Laag 1: inloggen dat ook standhoudt als iemand je gericht aanvalt

Tweestapsverificatie aanzetten is de bekendste maatregel die er is. Toch is dit nog steeds de laag waar de meeste gaten in zitten, en dat komt door twee dingen: hij staat niet overal aan, en de gekozen methode is niet altijd bestand tegen een goed nagemaakte inlogpagina.

Codes per sms zijn daar het duidelijkste voorbeeld van. Ze zijn beter dan niets, maar ze zijn te onderscheppen en te ontfutselen. We schreven daar apart over in waarom sms-codes niet meer genoeg zijn.

Zo controleer je deze laag: vraag om een overzicht van alle accounts zonder tweestapsverificatie. Niet “staat het aan”, maar “wie valt erbuiten”. In dat lijstje zitten meestal de uitzonderingen die ooit tijdelijk waren: de directeur die er last van had, het gedeelde info-account, en de koppeling van het boekhoudpakket. Kijk daarnaast of oude inlogmethodes echt uit staan — die zijn ooit uitgezet voor nieuwe accounts, maar bleven aan voor bestaande.

Praktisch stappenplan staat in MFA uitrollen in het MKB; over de keuze tussen methodes lees je meer in welke MFA is het veiligst.

Laag 2: welke apparaten je eigenlijk vertrouwt

Bijna elk bedrijf beheert zijn laptops op de een of andere manier. Veel minder bedrijven hebben opgeschreven wat een apparaat moet hebben voordat het bij bedrijfsgegevens mag, en wat er gebeurt als een apparaat daar niet aan voldoet.

Het gat zit meestal niet bij de laptops van de zaak. Het zit bij de telefoon waarop de zakelijke mail staat, de privélaptop van de medewerker die af en toe thuis inlogt, en het apparaat van de externe boekhouder. Die apparaten worden nergens geteld en dus ook nergens gecontroleerd.

Zo controleer je deze laag: log in op je e-mailomgeving en bekijk de lijst met apparaten die op dit moment toegang hebben. Bijna altijd staan daar apparaten tussen die je niet herkent, of die van iemand zijn die al weg is. Dat is meteen je werklijst. Leg daarna een minimum vast — bijgewerkt besturingssysteem, versleutelde schijf, schermvergrendeling — en zorg dat toegang stopt als een apparaat daar niet aan voldoet, in plaats van dat er een herinnering wordt gestuurd.

Voor de eigen-apparaten-kant: BYOD soepel en veilig.

Laag 3: e-mail die fouten opvangt in plaats van ze te verwachten

E-mail is nog steeds de voordeur. Als je verdediging daar volledig leunt op medewerkers die alert blijven, reken je op perfecte aandacht op een drukke dinsdagmiddag. Dat werkt gemiddeld goed en incidenteel niet, en dat ene incident is genoeg.

Wat er vaak ontbreekt zijn de vangrails eromheen: afzenders van buiten die zichtbaar gemarkeerd worden, domeinen die net iets anders geschreven zijn dan die van je klant, links en bijlagen die vooraf gecontroleerd worden, en het instellen van SPF, DKIM en DMARC zodat anderen niet uit jouw naam kunnen mailen.

Zo controleer je deze laag: stuur jezelf een testbericht vanaf een extern adres en kijk of het als extern herkenbaar is. Controleer of je DMARC-instelling daadwerkelijk op afwijzen staat en niet nog op “alleen rapporteren” — dat laatste is een tussenstap die bij veel bedrijven de eindstand is geworden. Vraag ook hoe iemand een verdacht bericht meldt. Als het antwoord “dan appt hij mij even” is, heb je geen proces.

Meer hierover in zakelijke e-mail beveiligen in zes stappen en e-mailauthenticatie met DMARC.

Laag 4: updates waarvan je weet wat er níet gelukt is

“Updates worden automatisch geïnstalleerd” betekent in de praktijk meestal “updates worden aangeboden”. Er is een verschil tussen een update die klaarstaat en een update die is doorgevoerd, en dat verschil zit in apparaten die niet opnieuw zijn opgestart, laptops die weken in een tas hebben gelegen, en software die buiten het beheer om is geïnstalleerd.

De grootste blinde vlek zit bij alles wat niet het besturingssysteem is: de pdf-lezer, de browserextensies, het ontwerpprogramma, de firmware van de router en de netwerkschijf. Daar wordt zelden op gestuurd, terwijl daar wel de bekende lekken zitten.

Zo controleer je deze laag: vraag maandelijks één overzicht op met drie kolommen — wat is bijgewerkt, wat is mislukt, en wat staat er bewust open. Die derde kolom is de belangrijkste. Uitzonderingen zijn prima, zolang ze een reden en een einddatum hebben. Zonder dat lijstje groeit het aantal uitzonderingen stilletjes door tot het de norm is.

Zie ook kwetsbaarheden en patchmanagement en waarom een kwetsbaarhedenscan onmisbaar is.

Laag 5: merken dat er iets gebeurt, en weten wat je dan doet

Dit is de laag die het vaakst helemaal ontbreekt. Bijna elke omgeving maakt meldingen. Veel minder omgevingen hebben iemand die ze leest, en nog minder bedrijven hebben afgesproken wat er moet gebeuren bij welke melding.

Het gevolg zie je terug in incidenten die pas ontdekt worden doordat een medewerker iets raars opmerkt. Tegen die tijd is er al dagen iets aan de hand. Meldingen zonder opvolging zijn geen beveiliging, het zijn logboeken achteraf.

Zo controleer je deze laag: stel één vraag — als er vannacht om 03:00 iemand vanuit het buitenland inlogt op een beheerdersaccount, wie krijgt daar dan bericht van, en wat doet die persoon? Als daar geen concreet antwoord op komt, is dit je zwakste laag. Ongeacht wat er verder allemaal aanstaat.

Meer daarover in continue monitoring en het stappenplan bij een cyberaanval.

Een voorbeeld uit de praktijk

Een groothandel met 24 medewerkers liet zijn beveiliging doorlichten na een bijna-incident. Op papier stond alles goed: tweestapsverificatie aan, virusscanner op alle laptops, dagelijkse back-up, spamfilter.

Wat er uit de controle kwam: vier accounts zonder tweestapsverificatie, waaronder het gedeelde bestellingen-account waar drie mensen mee inlogden. Zeventien apparaten met toegang tot de zakelijke mail, waarvan er zes niet te herleiden waren naar een huidige medewerker. DMARC stond op alleen rapporteren, ingesteld in 2023 en nooit afgemaakt. En de meldingen van de virusscanner gingen naar een mailbox die niemand meer las sinds de vorige kantoormanager weg was.

Er was niets kapot. Alles stond aan. Het was alleen nooit gecontroleerd. Het opruimen kostte ongeveer twee dagen werk en nul euro aan nieuwe licenties.

Zo pak je het aan

Je hoeft dit niet in één keer te doen, en je hoeft er ook niets nieuws voor te kopen. Werk in deze volgorde:

Week 1 — inloggen. Vraag de lijst met accounts zonder tweestapsverificatie op en werk hem weg. Begin bij beheerdersaccounts en accounts die van buiten bereikbaar zijn.

Week 2 — apparaten. Haal de lijst met apparaten die toegang hebben op en gooi eruit wat je niet herkent. Leg het minimum vast waaraan een apparaat moet voldoen.

Week 3 — e-mail. Controleer de externe-afzendermarkering en maak DMARC af. Spreek af waar een verdacht bericht naartoe gaat.

Week 4 — updates. Vraag het eerste maandoverzicht op, inclusief de mislukte updates en de uitzonderingen met einddatum.

Week 5 — meldingen. Bepaal welke meldingen bij wie terechtkomen en wat er dan gebeurt. Test het met één echte melding.

Na vijf weken heb je geen nieuwe software, maar wel vijf lagen waarvan je kunt laten zien dat ze werken. Dat is een wezenlijk ander uitgangspunt dan waar de meeste bedrijven vandaag staan. Meer over het idee van elkaar aanvullende lagen lees je in defense-in-depth, en wat je hierin van je IT-partij mag verwachten staat in acht beveiligingsmaatregelen die je IT-partij moet regelen.

Veelgestelde vragen

Wat betekent gelaagde beveiliging in de praktijk?

Dat je niet op één maatregel leunt. Een virusscanner op de laptops, filters op je e-mail, tweestapsverificatie bij het inloggen, back-ups die je hebt teruggezet en medewerkers die weten waar ze op moeten letten: elke laag vangt andere bedreigingen op. Faalt er één, dan staat de volgende er nog. Die gelaagde aanpak is vooral belangrijk omdat cyberaanvallen zelden via één route binnenkomen — er zit bijna altijd een menselijke handeling aan het begin en pas daarna gaat het richting je data en applicaties.

Welke laag beschermt tegen ransomware?

Geen enkele in zijn eentje. Voorkomen zit in e-mail, updates en inloggen. De schade beperken zit in back-ups die je op een apart netwerk bewaart en die je een keer hebt teruggezet, zodat je weet dat het werkt. Voor klanten en toezichthouders is dat laatste vaak het punt waarop je iets moet kunnen laten zien.

Welke laag pak ik als eerste aan als ik maar tijd heb voor één ding?

Inloggen. Gestolen inloggegevens zijn nog steeds de meest gebruikte manier om binnen te komen, en het dichten van de uitzonderingen kost meestal een halve dag. Begin bij accounts met beheerrechten en bij alles wat van buiten het kantoor bereikbaar is.

Hoe vaak moet ik deze controle herhalen?

Een keer per jaar volledig, en per kwartaal kort voor de dingen die snel verlopen: accounts zonder tweestapsverificatie, apparaten met toegang, en de openstaande uitzonderingen op updates. Die drie lijstjes lopen namelijk vanzelf weer vol.

Wij hebben een IT-partij. Is dit dan niet hun werk?

Het uitvoeren wel, het controleren deels. Vraag om de overzichten in plaats van om een bevestiging — de lijst met accounts zonder tweestapsverificatie, de apparatenlijst en het maandoverzicht van updates. Een goede IT-partij levert die zonder morren, omdat ze die zelf ook gebruikt.

Is dit niet te veel voor een bedrijf van vijftien man?

De controles zelf zijn klein: het zijn overzichten opvragen en lezen. Wat tijd kost is het opruimen dat eruit komt, en dat is eenmalig. Daarna is het bijhouden een kwestie van een half uur per kwartaal.

Waarom staat een firewall niet in dit rijtje?

Omdat die er bij vrijwel iedereen al is en zelden de zwakke plek vormt. De vijf lagen hierboven zijn juist gekozen omdat ze in gegroeide opstellingen het vaakst half af zijn blijven staan.

Wil je weten hoe jouw vijf lagen ervoor staan? We lopen ze met je door, leveren de overzichten waar dit artikel om vraagt en zetten er een concrete volgorde onder. Bel 030-7115791 of mail naar info@okayict.nl.