IT-checklist voor het MKB: de check van 30 minuten die je maandelijks doet

De meeste ondernemers kijken pas naar hun IT als er al iets mis is. Een bestand gaat niet open, een laptop start niet meer, of een factuur blijkt betaald op de rekening van een oplichter. Op dat moment repareren kost altijd meer dan voorkomen had gekost. Een vaste checklist van dertig minuten voorkomt dat het zover komt.

Het vervelende is dat bijna niets van dat soort ellende uit het niets komt. De back-up die faalt op het moment dat je hem nodig hebt, faalde al weken. Het account dat een aanvaller gebruikte, was van iemand die vorig jaar uit dienst ging. De update die het lek had gedicht, stond al maanden klaar.

Een half uur per maand is meestal genoeg om dat soort dingen op te merken. Geen technisch werk, geen dashboards: gewoon zes plekken openslaan en kijken of wat je ziet klopt met wat je verwacht. Dit is de kleine broer van je jaarlijkse IT-review — vaker, korter en zonder voorbereiding.

Waarom maandelijks kijken de moeite waard is

Verouderde software is nog altijd een van de meest gebruikte ingangen bij aanvallen op het MKB. Niet omdat er iets ingenieus wordt gedaan, maar omdat er een bekend lek openstaat waarvoor de oplossing allang beschikbaar was. Niemand had hem geïnstalleerd. Datzelfde patroon zie je bij back-ups die stilletjes stoppen en bij accounts die blijven bestaan na een vertrek.

Stuk voor stuk zijn het dingen die je in een paar minuten ziet als je er even naar kijkt, en die maanden onopgemerkt blijven als je dat niet doet.

De check

1. Updates

Kijk of Windows-updates daadwerkelijk worden geïnstalleerd, of dat er machines week na week op “opnieuw opstarten vereist” blijven staan. Doe hetzelfde voor telefoons en voor de software die je het meest gebruikt: browser, boekhoudpakket, ontwerpprogramma. Klikt iedereen structureel op “later herinneren”, dan is dat het probleem dat je oplost — niet de update zelf. Achtergrond: waarom patchmanagement er zo toe doet.

2. Back-ups

Open je back-uptool en bekijk de laatste runs. Je wilt recente, geslaagde back-ups zien, geen rij foutmeldingen. Kijk daarna wanneer er voor het laatst een bestand is teruggezet. Is er nooit iets hersteld, dan weet je niet of het werkt — je hoopt het alleen. Zie ook best practices voor back-ups en je herstelplan.

3. Wie heeft toegang

Pak de lijst met gebruikers in Microsoft 365 of Google Workspace en lees hem regel voor regel. Elke naam moet iemand zijn die nog bij je werkt. Let op vertrokken medewerkers, zzp’ers die klaar zijn, en gedeelde logins als “kantoor” of “info” die door meerdere mensen gebruikt worden. Zet uit wat je niet nodig hebt. Vergeet daarbij de losse SaaS-tools niet: dat zijn de zombie-accounts die nergens in je hoofdsysteem staan.

4. Tweestapsverificatie

Controleer of MFA aan staat, en of het voor iedereen aan staat — niet alleen voor de mensen die het als eerste hebben ingesteld. Kijk vooral naar beheerdersaccounts en naar iedereen die met geld werkt. Microsoft rapporteert dat tweestapsverificatie de overgrote meerderheid van accountovernames tegenhoudt; het is nog steeds de goedkoopste maatregel met het grootste effect. Welke vorm het veiligst is, lees je in welke MFA is het veiligst.

5. Apparaten

Kijk wat er verbonden is met je systemen. Staat er een laptop of telefoon tussen die je niet herkent, zoek dan uit van wie hij is. Controleer meteen of laptops versleuteld zijn en of elk toestel met zakelijke mail erop een toegangscode of vingerafdruk heeft. Hoe je dat structureel regelt, staat in de mobiel geoptimaliseerde werkplek.

6. Abonnementen en licenties

Open je facturatiepagina en lees wat je betaalt. Bedrijven betalen met grote regelmaat voor licenties van vertrokken medewerkers, of voor twee tools die hetzelfde doen. Het is ook de manier waarop je software ontdekt waar iemand zich op heeft ingeschreven zonder het te melden. Zie licenties opschonen en cloudkosten onder controle.

Maak er een routine van

Zet hem in de agenda op een vaste dag — de eerste maandag van de maand bijvoorbeeld — en geef hem steeds aan dezelfde persoon. Dat ben jij, of degene die de administratie doet.

Houd een lopend notitieblok bij van wat je hebt gecontroleerd en wat je tegenkwam. Na een paar maanden zie je of hetzelfde probleem blijft terugkomen. Als dat zo is, moet het structureel worden opgelost in plaats van elke keer weggewerkt.

Nog een tip: dat half uur werkt alleen als je onderweg niets repareert. Schrijf op wat je vindt en pak het daarna aan. Anders ben je na vijftien minuten nog steeds bezig met de eerste laptop.

Een praktijkscenario

Een handelsbedrijf met 21 medewerkers begint met de check op de eerste maandag van de maand. De eerste ronde duurt 50 minuten, want er valt van alles op: vier accounts van vertrokken mensen die nog actief zijn, een back-up die al zes weken faalt op de server met de artikelfoto’s, en negen licenties te veel.

De accounts gaan diezelfde week uit, de back-up blijkt een schijf vol te hebben — een kwestie van een uur voor de IT-partner — en de licenties leveren zo’n 90 euro per maand op.

De tweede ronde duurt 20 minuten. De derde 15. Dat is de bedoeling: de eerste keer is opruimen, daarna is het bijhouden.

Wie lost wat op

Het meeste is klein en doe je zelf: een laptop die opnieuw opgestart moet worden, een licentie opzeggen, een account uitzetten.

De rest stuur je door naar je IT-partner: back-ups die blijven falen, MFA dat bij iemand niet aan wil, een apparaat dat niemand herkent, of updates die elke maand op dezelfde machine mislukken. Dat zijn signalen van een groter probleem eronder.

Wat deze check níét is

Het is geen monitoring. Een goede IT-partner heeft tools die de hele dag meekijken en dingen signaleren die je met een maandelijkse blik nooit ziet — zie continue monitoring.

De check dekt juist wat die tools niet kunnen weten. Jij weet wie er vorige maand is vertrokken, welk abonnement je hebt goedgekeurd en van wie die extra laptop is. Dat is precies het stuk dat anders niemand doet.

Veelgestelde vragen

Hoe vaak moet een MKB-bedrijf zijn IT controleren?

Voor deze lijst is één keer per maand genoeg. Back-ups mag je vaker bekijken als een dag werk kwijtraken je echt pijn zou doen; dat is het onderdeel dat het stilst faalt.

Wie zou de check moeten doen?

Jij, of degene die de bedrijfsadministratie doet. Het grootste deel van de lijst vraagt geen technische kennis — alleen iemand die weet wie er werkt en waar het bedrijf voor betaalt.

Wat als ik niet weet waar ik dit allemaal moet vinden?

Laat je IT-partner het één keer met je doorlopen en noteer waar elk onderdeel staat. Veel partijen sturen bovendien een maandrapport waarin het meeste al staat.

Is dit niet gewoon het werk van mijn IT-partner?

Zij doen de monitoring, het patchen en het oplossen. De check is het deel dat afhangt van kennis over je bedrijf: wie er weg is, welk abonnement niemand heeft goedgekeurd, van wie dat toestel is. Die informatie heeft je IT-partner niet vanzelf.

Als ik maar tien minuten heb, wat doe ik dan?

Back-ups en updates. Zonder werkende back-up kun je alles kwijtraken, en verouderde software is nog steeds een van de meest gebruikte ingangen voor aanvallers.

Geldt dit ook als alles in de cloud draait?

Ja. Clouddiensten hebben nog steeds bijgewerkte apparaten nodig, werkende back-ups, MFA en een gebruikerslijst die klopt met wie er echt werkt.

Wat zijn veelgemaakte fouten bij IT-beheer in het MKB?

De meeste bedrijven gaan pas kijken als er iets stukgaat. Daardoor blijven updates liggen, houden vertrokken medewerkers toegang tot systemen en merkt niemand dat een back-up al maanden niet meer draait. Ook phishing wordt onderschat: één klik en een aanvaller zit in de mail. Dat zijn geen dure risico’s om op te lossen, maar wel dure incidenten als je ze laat liggen. Leg vast wie waarvoor verantwoordelijk is, dan weet je bij een incident direct wie je belt.

Wat is de eerste stap als je nog geen checklist hebt?

Begin klein en maak er concrete stappen van. Zet de zes punten hierboven in een document, zet er een datum bij en loop ze stap voor stap door. Je hoeft geen beveiliging op bankniveau; de belangrijkste winst zit in updates, back-ups en tweestapsverificatie. Neem er de eerste keer wat meer tijd voor, daarna is een half uur per maand genoeg. Belangrijk is dat je het volhoudt. Merk je dat er structurele risico’s blijven liggen, dan zijn dat de punten waarvoor je oplossingen met je IT-partner bespreekt.

Wil je deze check niet zelf doen, of wil je hem een keer samen doorlopen? Wij helpen MKB-bedrijven in Utrecht en omgeving met beheer, updates en back-ups die aantoonbaar werken. Bel 030-7115791 of mail info@okayict.nl.