Veilig thuiswerken: de stap na de basischecklist

De meeste MKB-bedrijven hebben de basis van veilig thuiswerken inmiddels op orde. Laptops zijn versleuteld, iedereen logt in met een tweede factor, er staat een virusscanner op en het wifi-wachtwoord thuis is niet meer het standaardwachtwoord van de router. Dat is winst, en het was ook nodig.

Maar hybride werken is geen tijdelijke maatregel meer, en de aanvallen zijn meegegroeid. Werknemers loggen in vanaf keukentafels, vakantieadressen en telefoons, gebruiken tools die nooit langs de IT zijn gekomen, en delen bestanden via links die jaren blijven werken. De basischecklist dekt dat niet meer af.

Dit artikel gaat over de stap daarna. Niet over dure enterprisepakketten, maar over maatregelen die in een bedrijf van tien tot vijftig mensen realistisch zijn. Heb je de basis nog niet staan, begin dan met onze checklist voor veilig thuiswerken en het beveiligen van je thuisnetwerk.

Van muur naar identiteit: wat er veranderd is

Beveiliging draaide vroeger om een grens: binnen het kantoornetwerk was je vertrouwd, daarbuiten niet. Met thuiswerken en clouddiensten bestaat die grens niet meer. Je gegevens staan bij Microsoft of Google, je medewerkers zitten overal, en je leveranciers loggen in op jouw systemen.

Wat er nog wél als grens functioneert, is de identiteit: wie logt in, vanaf welk apparaat, en klopt dat met wat je van die persoon verwacht? Dat is de kern van zero trust — niets automatisch vertrouwen, alles per situatie beoordelen. Een concept dat vaak groter wordt gemaakt dan het is; lees ook de valkuilen bij zero trust.

Veilig thuiswerken: zes stappen voorbij de basis

1. Stel voorwaarden aan wie er binnenkomt

MFA is de deur op slot. De volgende stap is bepalen wanneer die deur opengaat. Met voorwaardelijke toegang (in Microsoft 365 heet dat conditional access) leg je regels vast: beheerdersacties alleen vanaf een beheerd apparaat, aanmeldingen vanuit landen waar je niet werkt blokkeren, en extra verificatie bij afwijkend gedrag.

Dit is de maatregel met de beste verhouding tussen moeite en effect. Meer erover in de voordelen van conditional access.

2. Vervang de virusscanner door gedragsdetectie

Klassieke antivirus herkent bekende bestanden. Moderne aanvallen gebruiken legitieme systeemtools, draaien alleen in het geheugen of veranderen bij elke besmetting van vorm. EDR (endpoint detection and response) kijkt daarom naar gedrag: waarom start dit Office-document ineens een PowerShell-opdracht?

Voor een MKB-bedrijf betekent dit meestal: upgraden naar het pakket dat je al hebt (in veel Microsoft 365-licenties zit Defender for Endpoint of Business) en zorgen dat iemand de meldingen daadwerkelijk leest. Zie malware die je virusscanner niet ziet en de gids over endpointbeveiliging.

3. Kijk kritisch naar je VPN

Een VPN zet iemand die inlogt in feite in je hele netwerk. Dat is precies wat je niet wilt als een account wordt overgenomen. De moderne aanpak geeft toegang per toepassing in plaats van per netwerk: ZTNA of, breder, SASE.

Nuchter blijven is hier belangrijk. Voor veel MKB-bedrijven is de winst niet een nieuw platform, maar het afschaffen van de VPN doordat alles al in de cloud draait. Loopt er nog verkeer over een VPN naar een oude server, vraag je dan af waarom die server er nog staat.

4. Automatiseer je updates — ook thuis

Een laptop die drie maanden niet op kantoor is geweest, is een laptop met drie maanden achterstand. Regel dat updates via een beheeroplossing worden uitgerold ongeacht waar het apparaat staat, met een rapportage die laat zien wie achterloopt. Vergeet browsers, pdf-lezers en de firmware van thuisrouters niet. Meer in kwetsbaarheden en patchmanagement.

5. Zet grenzen op je gegevens, niet alleen op je apparaten

De meeste datalekken bij thuiswerken zijn geen hack, maar een vergissing: een klantenbestand naar een privémailadres, een deellink die openbaar staat, een bijlage naar de verkeerde ontvanger. Met classificatie en preventiebeleid (bijvoorbeeld via Microsoft Purview) kun je regels instellen: bestanden met bepaalde gegevens niet extern delen, of eerst een waarschuwing tonen.

Begin klein — één regel voor je gevoeligste categorie is beter dan een compleet beleid dat niemand begrijpt. Zie ook bestanden veilig opslaan en versturen.

6. Verzamel je logs op één plek

Als iets misgaat, wil je kunnen terugkijken. Aanmeldpogingen, blokkades, nieuwe apparaten, wijzigingen in beheerrechten: die informatie is er, maar staat verspreid. Breng het samen en stel meldingen in voor de handvol gebeurtenissen die er echt toe doen.

Een volwaardig SIEM is voor de meeste MKB-bedrijven overdreven, maar de ingebouwde logging van je cloudomgeving benutten is dat niet. Lees event logging in de praktijk en waarom continue monitoring nodig is.

Praktijkscenario: de link die bleef openstaan

Een adviesbureau met achttien medewerkers werkt volledig hybride. Een adviseur deelt een projectmap met een externe partij via een link die voor iedereen toegankelijk is — sneller dan wachten op een account. Het project loopt af, de link blijft bestaan.

Anderhalf jaar later duikt een offerte uit die map op bij een concurrent. Wat er precies is gebeurd, wordt nooit helemaal duidelijk, want er is geen logging bewaard. Dat laatste is het echte probleem: zonder zicht weet je niet of dit één keer misging of vaker.

De oplossing was niet ingewikkeld. Deellinks standaard laten verlopen na dertig dagen, links buiten de organisatie alleen op naam, en een kwartaalrapportage van openstaande externe deelacties. Kosten: een middag instellen.

Mensen blijven de bepalende factor

Techniek dekt veel af, maar niet het moment waarop iemand thuis, met een kind aan de arm, een keurige mail van de directeur beantwoordt. Korte trainingen werken beter dan een jaarlijkse sessie van twee uur: tien minuten per kwartaal, met echte voorbeelden uit je eigen sector.

Belangrijker nog is de meldcultuur. Iemand die denkt dat hij op iets verkeerds heeft geklikt, moet dat binnen een minuut durven melden zonder gedoe. Elke drempel daar kost je uren later. Maak duidelijk bij wie ze terechtkunnen en bedank mensen die zich melden — ook als het loos alarm was.

Zo pak je het aan

Kwartaal 1: zet voorwaardelijke toegang aan voor beheerders en gevoelige toepassingen. Controleer of al je apparaten onder beheer vallen en updates automatisch binnenkrijgen.

Kwartaal 2: stap over van klassieke antivirus naar gedragsgebaseerde detectie, en spreek af wie de meldingen bekijkt en binnen welke tijd.

Kwartaal 3: ruim deellinks en externe toegang op. Stel vervaldatums in en maak er een terugkerende controle van.

Kwartaal 4: richt logging en meldingen in, test een herstelscenario en neem alles mee in je jaarlijkse IT-review.

Werk je met veel privéapparaten, leg dan ook je afspraken vast in een actueel BYOD-beleid en bekijk hoe je een mobiele werkplek beheersbaar houdt.

Veelgestelde vragen

Is zero trust haalbaar voor een klein bedrijf?

Als project van een jaar: nee. Als denkwijze: ja. Begin bij identiteit en apparaatbeheer, en pas per toepassing regels toe. Je hoeft geen nieuw platform te kopen om de belangrijkste principes toe te passen.

Wat hoort er in de basis van veilig thuiswerken?

Vier dingen: sterke, unieke wachtwoorden in een wachtwoordmanager, tweefactorauthenticatie op elk account, versleutelde apparaten met software die automatisch up-to-date blijft, en een thuisnetwerk waarvan het routerwachtwoord is gewijzigd. Dat beschermt tegen de meest voorkomende risico’s en is voor elk bedrijf haalbaar. Loop het regelmatig na — de kans is groot dat er in een jaar tijd apparaten en accounts bij zijn gekomen die niemand meer bewust beheert. Staat die basis, dan zijn de zes stappen hierboven de volgende laag.

Hebben we nog een VPN nodig?

Alleen als er nog systemen zijn die niet via de cloud bereikbaar zijn. Draait alles in Microsoft 365 of Google Workspace, dan voegt een VPN weinig toe en vergroot het je risico eerder dan dat het dit verkleint.

Mag ik als werkgever meekijken op thuiswerkplekken?

Beperkt. Beveiligingsmaatregelen op zakelijke apparaten mogen, maar de AVG stelt grenzen aan het monitoren van medewerkers. Wees transparant over wat je logt en waarom, en leg het vast. Bij privéapparaten geldt dat nog sterker.

Wat als we hier geen tijd voor hebben?

Dan is uitbesteden de realistische route. Het meeste werk zit in de eerste inrichting; daarna is het onderhoud. Belangrijk is dat iemand aanspreekbaar is op de meldingen — een systeem dat niemand leest, beschermt niet.

Benieuwd hoe jullie thuiswerkopstelling er nu voor staat? We lopen graag een keer met je door wat er al goed staat en welke twee of drie stappen het meeste opleveren.