Veilig thuiswerken met een werklaptop: waar het misgaat zonder dat er gehackt wordt

Bij veilig thuiswerken met een werklaptop zien beveiligingsincidenten er zelden uit als een aanval. Ze zien eruit als de deurbel die gaat terwijl je laptop openstaat. Als je zoon die even wat wil opzoeken en jouw scherm het dichtstbij is. Als de laptop die op de achterbank ligt omdat je nog snel boodschappen doet.

Geen van die momenten voelt als een risico. Ze duren tien seconden en er gebeurt in negenennegentig van de honderd gevallen niets. Maar dit zijn wel de momenten waarop zakelijke laptops in de problemen komen, veel vaker dan door iets ingewikkelds.

Dit artikel gaat daarom niet over techniek. Het gaat over het apparaat zelf en over het huishouden eromheen.

Waar dit artikel over gaat, en waar niet

Over de technische kant van thuiswerken hebben we al het nodige geschreven. Voor de basischecklist ga je naar veilig thuiswerken: de beveiligingschecklist. Voor het thuisnetwerk en de router: thuisnetwerk beveiligen. En wil je een stap verder — voorwaardelijke toegang, gedragsdetectie, logs op één plek — dan is thuiswerken beveiligen: de volgende stap het artikel.

Hieronder gaat het over het stuk dat daar meestal tussenuit valt: de laptop als fysiek voorwerp in een huis vol andere mensen — de kant van de thuiswerkplek waar geen instelling voor bestaat.

Waarom thuis een ander soort omgeving is

Een zakelijke laptop wordt niet minder veilig zodra hij de deur uitgaat en medewerkers vanuit huis werken. De omgeving eromheen verandert wel, op drie manieren.

Het apparaat beweegt en staat vaker alleen. Op kantoor blijft een laptop grofweg op één bureau staan, tussen collega’s. Thuis verhuist hij van de eettafel naar de bank naar het aanrecht, en staat hij tussendoor open in een lege kamer.

Werk en privé lopen door elkaar. Op kantoor gebruikt niemand anders jouw laptop. Thuis is dat een volstrekt normale gedachte: even printen, even een formulier invullen, even een spelletje voor de kinderen.

Er is geen omgeving die je corrigeert. Op kantoor zie je collega’s hun scherm vergrendelen en doe je dat vanzelf ook. Thuis is er niemand die het voordoet, en dus zakt het weg.

De acht dingen die er thuis echt toe doen

1. Vergrendelen als je wegloopt, ook voor even

Dit is de saaiste maatregel van allemaal en de meest overgeslagen. Zet automatisch vergrendelen op een korte tijd — vijf minuten is prima thuis — en leer de sneltoets aan: de Windows-toets plus L. Dat kost een halve seconde.

Het punt is niet dat iemand in je huis kwaad wil. Het punt is dat een openstaand scherm met je zakelijke mail erop een dossier is dat op tafel ligt.

2. Berg hem op als je klaar bent

Aan het eind van de dag gaat de laptop ergens naartoe waar hij niet in het zicht ligt. Niet op de bank, niet op het aanrecht, en vooral: niet in de auto. Een laptop uit een auto is nog altijd een van de vaakst gestelde vragen bij verzekeraars, en de kans dat het “even” is duurt langer dan je denkt.

Schijfversleuteling maakt hier het verschil tussen “we zijn een laptop kwijt” en “we zijn gegevens kwijt”. Controleer of die aanstaat — bij Windows heet dat BitLocker, bij een Mac FileVault. Wat te doen als het toch misgaat staat in telefoon of laptop kwijt.

3. Laat er niemand anders op werken

Dit voelt onvriendelijk en het is de belangrijkste huisregel die er is. Het gaat niet om wantrouwen. Het gaat erom dat iemand die de omgeving niet kent, andere dingen aanklikt: een download van een onbekende site, een browserextensie die iets belooft, een inlog op een account waarvan de wachtwoorden ineens worden opgeslagen.

De oplossing is meestal simpel: zorg dat er in huis iets anders beschikbaar is. Een goedkope tweede laptop of tablet voorkomt dit gesprek volledig.

4. Houd werk in de werkomgeving

Het gebeurt zonder kwade bedoeling: een bestand in de persoonlijke opslagdienst zetten omdat het sneller is, een document naar het privé-mailadres sturen om er ’s avonds aan te werken, een back-up van de laptop naar een privéschijf.

Vanaf dat moment staan bedrijfsgegevens op een plek waar je ze niet meer kunt terugvinden, niet kunt terugzetten en bij vertrek niet kunt weghalen. Spreek af waar werk hoort te staan en zorg dat die plek ook thuis makkelijk werkt — anders wint de omweg.

5. Zet de updates door, ook op de laptop die in de tas ligt

Automatisch bijwerken is één ding, opnieuw opstarten is een tweede. Een laptop die drie weken in de slaapstand zit, is een laptop die drie weken achterloopt. Herstart minstens wekelijks, en druk de melding niet elke keer weg.

Belangrijker nog: een apparaat dat helemaal geen beveiligingsupdates meer krijgt, is geen werkapparaat. Zie wanneer je een laptop of telefoon moet vervangen.

6. Beperk wat je zelf installeert

Elke extra applicatie is iets dat bijgewerkt moet worden en iets dat mis kan gaan. Dat geldt dubbel voor browserextensies, die vaak meer rechten hebben dan mensen doorhebben — zie de gevaren van browserextensies.

Als je iets nodig hebt dat er niet is, vraag het aan. Een medewerker die vraagt en een antwoord krijgt, installeert de rest niet zelf.

7. Wees extra alert op berichten die haast maken

Thuis is er geen collega om even iets aan te vragen, en dat is precies waar berichten met haast op mikken. Een factuur die vandaag moet, een leidinggevende die vanaf zijn “nieuwe nummer” appt, een pakket dat niet bezorgd kan worden.

De vaste regel: controleer via een ander kanaal dat je zelf kiest. Bel het nummer dat je al had, niet het nummer in het bericht. Zie het appje van de directeur.

8. Zorg dat de webcam-omgeving klopt

Een praktisch punt dat vaak vergeten wordt: in videogesprekken staat je huis in beeld, en soms je scherm. Deel je scherm bewust — een venster, niet je hele bureaublad — en let op wat er in de achtergrond ligt. Bij een gesprek met een klant over hun dossier is dat geen detail.

Wat je als werkgever wél en niet kunt regelen

Hier zit een grens die het waard is om te benoemen. Over het apparaat van de zaak ga je: je mag eisen stellen aan versleuteling, updates, vergrendeling en wie erop werkt, en je mag toegang tot bedrijfsgegevens afhankelijk maken van of het apparaat goed beveiligd is en aan die eisen voldoet.

Over het huis van je medewerker ga je niet. Je kunt niet controleren of de router is bijgewerkt of wie er langsloopt. Wat je wél kunt: de router-eisen als advies meegeven, en je beveiliging zo inrichten dat een onveilig thuisnetwerk niet meteen een probleem is. Dat betekent in de praktijk: toegang op basis van het account en de staat van het apparaat, niet op basis van welk netwerk iemand toevallig gebruikt.

Wil je meekijken op wat een medewerker doet, dan gelden er strengere regels — dat is monitoring, en die vraagt om vooraf vastgelegd beleid, transparantie en vaak instemming van de ondernemingsraad. Wij zijn geen juristen, maar dit is het soort ding dat je regelt voordat het nodig is. Zie medewerkers monitoren en IT-beleid voor het MKB.

Een voorbeeld uit de praktijk

Bij een installatiebedrijf met 27 medewerkers ging het mis zonder dat er iemand gehackt werd. Een projectleider werkte twee dagen per week thuis. Zijn dochter gebruikte af en toe zijn laptop voor school, want dat was de snelste in huis.

Er kwam een browserextensie op die reclame beloofde weg te halen. Die extensie las mee met wat er in de browser gebeurde, inclusief het klantportaal waar hij dagelijks in werkte. Het viel op doordat een klant belde over een offerte die hij nooit had aangevraagd.

De schade viel mee, maar het opruimen kostte drie dagen: laptop opnieuw ingericht, wachtwoorden gewijzigd, en uitzoeken welke gegevens er precies langs waren gekomen. De maatregel achteraf was geen software. Het was een tweedehands laptop van 200 euro voor thuis, plus de afspraak dat de werklaptop van de zaak is.

Zo pak je het aan

Zet dit op één A4 en loop het één keer met alle medewerkers door. Meer heb je niet nodig:

Op het apparaat: automatisch vergrendelen na vijf minuten, schijfversleuteling aan, updates aan met een wekelijkse herstart, geen installaties buiten de afgesproken lijst.

In huis: alleen de medewerker werkt op het apparaat, opbergen na werktijd, nooit in de auto laten liggen.

Met de gegevens: werk staat in de werkomgeving, niet in persoonlijke opslag of privémail.

Bij twijfel: een bericht met haast controleer je via een kanaal dat je zelf kiest, en er is één plek waar je dat kunt melden zonder gedoe.

Controleer daarna één keer per jaar of het nog klopt — met name of alle thuisapparaten nog updates krijgen en of er geen apparaten meetellen van mensen die er niet meer werken.

Veelgestelde vragen

Mag ik verbieden dat gezinsleden de werklaptop gebruiken?

Ja. Het apparaat is eigendom van het bedrijf en je mag vastleggen wie er gebruik van maakt. Zet het wel op papier en leg uit waarom, en maak het praktisch haalbaar — een verbod zonder alternatief in huis wordt gewoon overtreden.

Is een VPN thuis nog nodig?

Minder dan vroeger. Als je omgeving in de cloud draait en je toegang regelt op basis van account en apparaat, voegt een VPN vaak weinig toe. Werk je nog met een server op kantoor waar mensen bij moeten, dan blijft het nodig. Meer daarover in thuiswerken beveiligen: de volgende stap.

Wat als iemand zijn eigen laptop wil gebruiken?

Dat kan, maar dan gelden er voorwaarden en die leg je vooraf vast: welke gegevens mogen erop, wat je mag verlangen aan updates en versleuteling, en wat er bij vertrek gebeurt. Zie BYOD soepel en veilig.

Onze mensen werken ook in de trein en in koffiezaken. Geldt dit dan ook?

Grotendeels wel, en daar komt zichtbaarheid bij: meekijkende schermen en luide telefoongesprekken. Daarover schreven we apparaten veilig houden onderweg.

Hoe zorg ik dat dit blijft hangen?

Door het klein te houden en het te herhalen. Eén A4, één keer per jaar kort doornemen, en het meenemen bij nieuwe medewerkers. Een jaarlijkse herhaling werkt beter dan een lange sessie die niemand onthoudt — zie hoe vaak security-training.

Onze laptops zijn goed beveiligd. Is de thuiswerkplek daarmee ook veilig?

Voor een groot deel wel. Een goed beveiligd apparaat — versleuteling aan, updates door, toegang met multifactor-authenticatie — dekt het meeste af, ook als medewerkers vanuit huis werken. Wat het niet dekt is het gedrag eromheen: wie er nog meer op werkt, waar de laptop ’s avonds ligt, en welke e-mail iemand vertrouwt als er geen collega naast zit. Die dingen regel je met afspraken, niet met techniek. Wat je wél op afstand kunt afdwingen staat hierboven, onder “Wat je als werkgever wél en niet kunt regelen”.

Wil je de afspraken rond thuiswerkapparatuur op één A4 hebben, en technisch afdwingen wat je kunt afdwingen? We zetten het samen op, inclusief de controle op apparaten die niet meer bijgewerkt worden. Bel 030-7115791 of mail naar info@okayict.nl.