Privé en werk op hetzelfde apparaat: het risico buiten je beveiliging

De meeste incidenten bij mkb-bedrijven beginnen niet met een geraffineerde inbraak. Ze beginnen met een klik in een privé-mailbox, een wachtwoord dat ergens anders ook in gebruik was, of een bestand dat even naar een bekende clouddienst is geschoven omdat dat sneller ging dan de officiële route.

Geen van die drie dingen is roekeloos. Het zijn gewone handelingen op een gewone werkdag. Maar ze hebben iets gemeen: ze leggen een verbinding tussen iemands privé-digitale leven en jouw bedrijfssystemen. En die verbinding valt buiten vrijwel alles wat je aan beveiliging hebt ingericht.

Dit artikel gaat over die vermenging: privé en werk op hetzelfde apparaat en in dezelfde browser. Over het apparaat als voorwerp in een huis vol andere mensen schreven we eerder in de werklaptop thuis, en over de menselijke factor in bredere zin in de mens als grootste cyberrisico. Hier kijken we naar wat er gebeurt als beide werelden dezelfde browser delen — en wat je daar praktisch aan doet.

Waarom dit buiten je beveiliging valt

Je hebt waarschijnlijk het nodige geregeld: spamfilters op de zakelijke mail, updates die automatisch draaien, beveiligingssoftware op de laptops, tweestapsverificatie op de belangrijkste accounts.

Al die maatregelen gaan over de zakelijke kant. Een privé-mailbox die in hetzelfde browservenster openstaat, gaat er niet doorheen. Een sociaal netwerk waar iemand in de pauze inlogt evenmin. En een wachtwoord dat drie jaar geleden bij een webshop is uitgelekt, staat nergens in jouw systemen — maar kan wel op jouw omgeving worden uitgeprobeerd.

Systemen hard maken werkt dus tot de rand van die systemen. Daarbuiten beweegt het risico mee met de mens.

Drie routes waarlangs het misgaat

Phishing komt liever binnen via privé-kanalen

Privé-inboxen, chat-apps en tijdlijnen zijn een dankbaar terrein voor oplichting. Ze zijn lastiger te filteren, makkelijker na te maken, en ze zitten vol berichten die ergens op inspelen: een pakket dat niet bezorgd is, een betaalverzoek, een aanbieding die afloopt.

Deelt dat kanaal een apparaat of een browser met je bedrijfssystemen, dan is de grens in één klik overschreden. Wat er daarna technisch gebeurt — van een besmet bestand tot een overgenomen sessie — hangt af van hoe het apparaat is ingericht. Dat maakt phishing zo effectief: het richt zich niet op een technische zwakte, maar op een moment waarop iemand druk is.

Hergebruik van wachtwoorden maakt van een privé-lek een bedrijfsincident

Dit is de meest directe verbinding tussen privé en werk. Als een wachtwoord uit een privé-account uitlekt, wordt dat automatisch geprobeerd op andere diensten — inclusief zakelijke. Daar is geen mens bij nodig; dat gebeurt geautomatiseerd, in bulk, en het werkt vaker dan je zou willen.

De onderbreking van die keten is bekend: unieke wachtwoorden per dienst (zie hoe wachtwoordmanagers je accounts beschermen) en tweestapsverificatie op alles wat ertoe doet (welke MFA is het veiligst). Een uitgelekt wachtwoord komt dan nergens.

Eigen tools zijn een gemakskwestie, geen ongehoorzaamheid

Wie een bestand naar een eigen clouddienst zet of een AI-hulpje gebruikt dat niet is goedgekeurd, is meestal niet bezig met het omzeilen van beleid. Er zit een gat tussen wat iemand moet doen en wat het bedrijf daarvoor aanbiedt, en dat gat wordt praktisch opgevuld.

Het probleem is niet de intentie maar de plek waar de data belandt: buiten alles wat je kunt zien, controleren of terugzetten. Hoe je daar zonder verbodenlijst mee omgaat, staat in niet-goedgekeurde cloud-apps en voor AI specifiek in shadow AI op de werkvloer.

Waarom alles dichtzetten niet werkt

De eerste reflex is begrijpelijk: blokkeer privé-mail, beperk het browsen, zet het apparaat op slot.

In de praktijk stopt dat het gedrag zelden. Het verplaatst het. Mensen pakken hun eigen telefoon, sturen een document naar hun privé-adres om het thuis af te maken, of gebruiken een tool op een apparaat waar jij niets van weet. Het risico verdwijnt niet, het gaat naar een plek waar je het niet meer ziet — en waar je ook niet meer kunt helpen als er iets misgaat.

Daar komt bij dat vergaande controle op individuele medewerkers in Nederland niet vrijblijvend is. Gericht meekijken met wat één persoon doet, is monitoring: dat vraagt een gerechtvaardigd belang, vooraf vastgelegd beleid, transparantie richting medewerkers en vaak instemming van de ondernemingsraad. Wij zijn geen juristen, dus laat dat toetsen — maar het is een reden te meer om te sturen op inrichting in plaats van op toezicht. Zie ook de voor- en nadelen van medewerkers monitoren.

Wat wél helpt

Scheid de contexten, niet de mensen

De eenvoudigste maatregel is ook de meest onderschatte: aparte browserprofielen voor werk en privé. Een profiel voor het werkaccount met de zakelijke bladwijzers, extensies en aanmeldingen, en een tweede voor al het andere.

Dat kost vijf minuten per laptop en levert direct wat op. Cookies, aanmeldsessies en opgeslagen gegevens zitten dan niet meer door elkaar, wat het lastiger maakt dat een probleem in het ene profiel doorwerkt in het andere. Bijkomend voordeel: mensen zien zelf welk venster “werk” is, wat de aandacht scherper maakt dan welke instructie ook.

Spreek er ook één regel bij af: bedrijfsaccounts gebruik je alleen in het werkprofiel, en het werkmailadres gebruik je niet om je ergens privé aan te melden.

Dit speelt niet alleen op de zakelijke laptop. Zodra medewerkers ook op privé-apparaten bij bedrijfsdata kunnen, de eigen telefoon of de laptop thuis, heet dat BYOD: Bring Your Own Device. Dat hoeft geen probleem te zijn, zolang je organisatie er bewust voor kiest en er technische maatregelen bij horen. Met Mobile Device Management (MDM) hou je beheer over welke laptops en smartphones toegang krijgen tot gevoelige bedrijfsdata, en kun je bij verlies of diefstal de zakelijke gegevens wissen zonder aan iemands privéfoto’s te komen. Zonder zoiets is het gebruik van privé-apparaten een risico dat je niet ziet en niet kunt terugdraaien.

Ga ervan uit dat er een keer iets uitlekt

Ontwerp voor de dag dat een wachtwoord toch ergens ligt. Tweestapsverificatie op alle zakelijke accounts, bij voorkeur phishing-bestendig, en unieke wachtwoorden overal. Dan is een uitgelekt privé-wachtwoord geen incident meer maar een voetnoot.

Hoort daarbij: de mogelijkheid om sessies in te trekken als er iets vreemds gebeurt, en de gewoonte om aanmeldingen vanaf onbekende apparaten op te merken. Wat je doet als het toch raak is, staat in gegevens gelekt: 8 stappen.

Maak de veilige route de makkelijkste route

Als het delen van een groot bestand via de goedgekeurde weg drie klikken kost in plaats van tien, verdwijnt de behoefte aan een eigen oplossing vanzelf. Datzelfde geldt voor samenwerken met externen, voor grote bijlagen en voor het snel opzoeken van iets met AI.

Dat is geen securitymaatregel in de klassieke zin, maar het scheelt in de praktijk meer dan een extra regel in het handboek. Neem het mee in je vaste ronde bewustwording (hoe vaak security-training) en in de bredere cultuur van cyberbewustzijn.

Een voorbeeld uit de praktijk

Bij een adviesbureau met 19 medewerkers gebruikte een medewerker één browserprofiel voor alles: zakelijke mail, het klantportaal, privé-mail en een webwinkelaccount. Via een bericht in de privé-inbox belandde hij op een nagemaakte inlogpagina van een bezorgdienst en vulde daar het wachtwoord in dat hij ook zakelijk gebruikte.

Op het werkaccount stond tweestapsverificatie aan, dus de aanmelding strandde. Op een ouder projectportaal — ingericht door een leverancier, zonder tweede stap — niet. Daar werd twee dagen meegekeken voordat een collega een vreemde download opmerkte.

De aanpassingen achteraf waren klein: gescheiden browserprofielen op alle laptops, een wachtwoordmanager voor iedereen, en een ronde langs alle externe portalen om te kijken waar geen tweede stap aanstond. Dat laatste leverde er nog drie op.

Veelgestelde vragen

Moeten we privé-gebruik dan gewoon toestaan?

Enige vermenging is in de praktijk onvermijdelijk, dus het is verstandiger daar rekening mee te houden dan het te verbieden. Wat je wél vastlegt: geen gezinsleden op het werkapparaat, geen bedrijfsgegevens in privé-accounts, en het werkmailadres alleen voor werk. De rest los je op met inrichting.

Helpt een aparte browser ook, in plaats van een profiel?

Ja, dat werkt net zo goed en is voor sommige mensen zelfs duidelijker: de ene browser is werk, de andere privé. Het gaat om de scheiding van sessies en opgeslagen gegevens, niet om welk merk browser je kiest.

Wat als iemand alles op zijn eigen telefoon doet?

Dan gelden dezelfde principes, maar regel je de toegang op accountniveau in plaats van op apparaatniveau: welke bedrijfsgegevens mogen daarheen, onder welke voorwaarden, en kun je die toegang intrekken als het toestel kwijtraakt? Dat is het onderwerp van BYOD soepel en veilig.

Wat is BYOD en moeten wij daar iets mee?

BYOD staat voor Bring Your Own Device: medewerkers gebruiken hun eigen apparaat voor werk. Vrijwel elk bedrijf doet het al, meestal zonder het zo te noemen. De vraag is dus niet of je het toestaat, maar of het geregeld is: welke privé-apparaten bij welke bedrijfsdata mogen, en met welke technische maatregelen je dat afdwingt. Zonder die keuze kiest de praktijk voor je.

Wat pakken we als eerste op?

Tweestapsverificatie op alle zakelijke accounts, en daarna een wachtwoordmanager zodat unieke wachtwoorden realistisch worden. Die twee halen de belangrijkste verbinding tussen privé-lekken en je bedrijfsomgeving weg. Gescheiden browserprofielen zijn daarna een kwestie van een halve dag.

Wil je weten waar privé en werk bij jullie door elkaar lopen? We kijken graag mee en zetten de basis neer die het meeste oplevert, zonder dat je team er last van heeft. Bel 030-7115791 of mail info@okayict.nl.