Wat is cyberhygiëne?

Cyberhygiëne is de verzameling kleine, terugkerende handelingen die je digitale omgeving gezond houden: updates installeren, sterke wachtwoorden gebruiken, accounts van vertrokken collega’s opruimen, rechten opschonen en je back-up controleren.

Waarom het telt: het overgrote deel van de incidenten bij MKB-bedrijven begint niet bij een geavanceerde hack, maar bij een vergeten update, een hergebruikt wachtwoord of een account dat maanden na een vertrek nog openstond. Basishygiëne haalt dus de meeste risico’s weg voor relatief weinig geld.

Maak er een korte, saaie lijst van en wijs iemand aan die hem afvinkt. Denk aan: patches op laptops en servers, MFA op álle accounts, een maandelijkse check op wie waar bij kan, een hersteltest van de back-up, en een overzicht van software die geen updates meer krijgt. Vastleggen dat het gedaan is, is net zo belangrijk als het doen.

Waarom cyberhygiëne juist voor het MKB telt

Grote organisaties hebben een securityteam dat de hele dag naar meldingen kijkt. In het MKB doet iemand het erbij, en dat is precies waarom cyberhygiëne daar zo veel oplevert: het zijn maatregelen die weinig kosten, weinig kennis vragen en toch het grootste deel van de risico’s wegnemen. Aanvallers zoeken zelden de moeilijke weg. Ze zoeken het systeem dat een half jaar geen update kreeg, het account zonder MFA, of het wachtwoord dat ook ergens anders is gebruikt.

Cyberhygiëne is daarmee geen project met een einddatum, maar een ritme. Net als bij persoonlijke hygiëne gaat het niet om die ene grote schoonmaak, maar om regelmatig dezelfde handelingen doen. Wie de basis op orde heeft, voorkomt de incidenten die je in de praktijk het vaakst ziet — en houdt tijd en geld over voor de dingen die echt specialistisch zijn.

De basismaatregelen op een rij

Dit is de kern. Niet spannend, wel effectief.

• Updates en patches. Laptops, servers, telefoons, firewall, netwerkapparatuur en de software erop. Zet automatisch bijwerken aan waar het kan en plan de rest in.
• Sterke wachtwoorden en MFA. Een wachtwoordmanager voor de organisatie, en tweestapsverificatie op álle accounts — ook op beheerdersaccounts en op externe toegang.
• Toegang die klopt. Iedereen krijgt de rechten die bij zijn werk horen en niet meer. Vertrekt iemand, dan gaat het account dezelfde dag dicht.
• Back-ups die je hebt getest. Een back-up die je nooit hebt teruggezet, is een aanname. Doe minstens een keer per jaar een echte hersteltest.
• Je netwerk op orde. Bezoekers op een apart gastnetwerk, beheerinterfaces niet open naar internet, en waar mogelijk gescheiden zones voor systemen die niets met elkaar te maken hebben.
• Minder aanvalsoppervlak. Software die niemand gebruikt, verwijder je. Diensten die niemand nodig heeft, zet je uit. Wat er niet is, kan ook niet misbruikt worden.
• Mensen die weten waar ze op letten. Een korte, herhaalde uitleg over phishing en betaalverzoeken werkt beter dan één lange sessie per jaar.

Waar het in de praktijk misgaat

De maatregelen hierboven kent bijna iedereen. Toch lopen organisaties er stelselmatig op vast, meestal op dezelfde plekken. Updates worden uitgesteld omdat een systeem niet stil mag liggen, en dat uitstel wordt permanent. Een stagiair of tijdelijke kracht krijgt bij binnenkomst ruime rechten “om alvast te kunnen werken”, en die rechten blijven staan. Back-ups draaien netjes, maar niemand heeft ooit geprobeerd er iets uit terug te halen. En een leverancier die vorig jaar één keer moest meekijken, heeft nog altijd toegang.

Er is ook een tegenkant: te ver dichttimmeren werkt averechts. Als de veilige route te omslachtig is, gaan mensen eromheen — met een privé-clouddienst, een tool die ze zelf hebben aangeschaft of bestanden via WhatsApp. Goede cyberhygiëne zoekt dus de maatregel die veilig én werkbaar is, en legt uit waarom hij er is.

Vastleggen dat het gebeurt

Wat je niet vastlegt, kun je niet aantonen — niet aan jezelf, niet aan een klant en niet aan een verzekeraar of auditor. Maak daarom een korte lijst met wie wat wanneer doet, en houd bij dat het is gedaan. Een maandrapport met “patches gedraaid, drie accounts opgeruimd, hersteltest geslaagd” is genoeg; het gaat om de aantoonbaarheid, niet om de opmaak.

Dat wordt ook steeds vaker gevraagd. Met NIS2 krijgen veel organisaties te maken met eisen over basismaatregelen en over de beveiliging van hun keten, ook als ze zelf niet rechtstreeks onder de wet vallen maar wel leveren aan iemand die dat wel doet. Voor kleinere bedrijven bestaat er inmiddels een keurmerk voor digitale basisveiligheid dat precies op dit niveau zit: de basis aantoonbaar op orde, zonder de zwaarte van een volledige ISO 27001-certificering. Wie zijn cyberhygiëne al bijhoudt, heeft het meeste werk daarvoor al gedaan.

Veelgestelde vragen

Wat is het verschil tussen cyberhygiëne en cybersecurity?

Cybersecurity is het hele vakgebied, inclusief monitoring, incidentrespons en specialistische tooling. Cyberhygiëne is de basislaag daarvan: de terugkerende handelingen die iedere organisatie hoort te doen. Zonder die basis heeft geavanceerde security weinig zin, want de aanvaller neemt gewoon de makkelijke ingang.

Hoe vaak moet ik deze dingen controleren?

Updates en accountwijzigingen zijn doorlopend werk. Een rechtencontrole en een check op openstaande externe toegang doe je maandelijks tot per kwartaal. Een hersteltest van de back-up minstens jaarlijks, en na elke grote wijziging in je systemen.

Waar begin ik als er nog niets geregeld is?

Begin bij MFA op alle accounts en bij het opruimen van accounts van vertrokken medewerkers. Dat zijn de twee maatregelen die in verhouding het meeste risico wegnemen. Daarna volgen updates en een geteste back-up.

Is cyberhygiëne genoeg om veilig te zijn?

Het haalt het grootste deel van de veelvoorkomende risico’s weg, maar het is een bodem, geen dak. Verwerk je gevoelige gegevens of ben je afhankelijk van één systeem, dan komen daar stappen bovenop: monitoring, een periodieke security-audit en afspraken met je leveranciers.

Meer lezen: Wat is een patch? · Wat is MFA (multifactor-authenticatie)?