Thuiswerken: doet jouw organisatie het veilig?

Informatie behoort tot de meest waardevolle bezittingen van een organisatie. Logisch dat je je zorgen maakt over de veiligheid van de bedrijfsdata. Zeker nu steeds meer organisaties de structuur inrichten op het thuiswerken, want dat thuiswerken een blijvertje is, is voor iedereen wel duidelijk. Waar je als bedrijf investeert in de beveiliging van je systemen, heb je een stuk minder controle over de thuiswerksituatie van je collega’s. Hoe zorg je er dan toch voor dat de bedrijfsdata veilig blijft? In deze blog helpen we je op weg.

Een goed beveiligd thuiskantoor

Nu steeds meer mensen thuiswerken is het van groot belang om goed na te denken over de IT-beveiliging van het thuiswerkkantoor. De bedrijfsdata gaat namelijk over het wifi netwerk van je collega’s en meestal is dit netwerk lang niet zo goed beveiligd als op de zaak. Heb je thuis bezoek en vraagt iemand om de wifi code? Dan is het gebruikelijk om deze te geven. Ook sturen mensen al snel bedrijfsinformatie door naar privéapparaten – zonder slechte bedoelingen, maar veilig is het vaak niet. Veel mensen hebben het wachtwoord van hun modem of router zelfs nog nooit veranderd.

Forse stijging cybercriminaliteit

Stel je als werkgever geen specifieke thuiswerkregels op om de veiligheid van bedrijfsdata te garanderen? Dan kan dat behoorlijk ellendige gevolgen hebben. Cybercriminaliteit is in het afgelopen jaar namelijk fors gestegen. Het Openbaar Ministerie zag een toename in cybercriminaliteit van 127% ten opzichte van 2019. Ook steeg de gemiddelde betaling van losgeld door ransomware met 31% ten opzichte van het kwartaal daarvoor. Ransomware is gijzelsoftware die computers blokkeert of bestanden versleutelt en pas weer vrijgeeft als er losgeld betaald wordt. Hoog tijd om serieus na te denken over de IT-beveiliging van het thuiswerkkantoor.

Veilig werken met gegevens en data, hoe doe je dat?

Om ervoor te zorgen dat je collega’s ook thuis goed met bedrijfsdata omgaan, raden we sowieso aan om via een VPN-verbinding toegang te geven tot de systemen binnen je organisatie. Daarnaast is het verstandig om je collega’s een aantal richtlijnen te geven. Veilig thuiswerken stopt namelijk niet bij een goed wachtwoord, hoewel dit ook zeker van belang is. Denk bij richtlijnen aan:

• Gebruik voor werk alleen de laptop of pc van de zaak, geen apparaten die je ook voor privé gebruikt.

• Stuur geen zakelijke e-mails of documenten door naar je privé e-mailadres.

• Creëer het liefst overal een ander (veilig) wachtwoord voor.

• Maak gebruik van de tools die door de organisatie beschikbaar zijn gesteld.

• Zet je virusbescherming aan.

• Verlaat je je werkplek? Vergrendel dan je laptop of pc – ook thuis.

• Kijk uit voor phishing e-mails. Deze zijn vaak moeilijk van echte e-mails te onderscheiden, maar je kunt ze bijvoorbeeld herkennen aan een verdachte link naar een website waar je gegevens in moet vullen (zoals je DigiD of paspoortnummer).

Omgaan met klantgegevens op een veilige manier

Door bovenstaande richtlijnen toe te passen, kan er thuis al een stuk veiliger gewerkt worden. Werken je collega’s met klantgegevens? Dan moet het thuiswerkkantoor voldoen aan de voorschriften van de Algemene verordening gegevensbescherming (AVG). Gegevens die hieronder vallen zijn bijvoorbeeld: naam, adres, telefoonnummer, accountgegevens, IP-adressen en nationaliteiten. Om vanuit de thuiswerkplek veilig met deze data om te gaan zijn nog een aantal extra maatregelen nodig:

• de thuiswerkplek bevindt zich in een afsluitbare, aparte ruimte;

• alleen noodzakelijke documenten afdrukken;

• fysieke documenten opslaan in een afsluitbare kast en vernietigen zodra deze niet meer nodig zijn;

• geen open netwerken en wifi verbindingen gebruiken;

• gegevens opslaan op interne systemen en servers;

• bij schending van de gegevensbescherming, meld dit zo snel mogelijk.

Wat kan de organisatie zelf doen aan veiligheid?

We hebben nu een aantal richtlijnen benoemd waarmee je collega’s de veiligheid van bedrijfsdata beter kunnen beschermen. Daarnaast kun je als bedrijf nog een aantal stappen zetten om de situatie verder te verbeteren. Wij raden aan om de IT-infrastructuur in te richten met een zero-trust security-framework. Dit houdt in dat je ervan uitgaat dat er, ondanks alle beveiligingsmaatregelen, altijd cybercriminelen op het bedrijfsnetwerk actief zijn. Denk hierbij aan de volgende stappen:

1. Valideer apparaten

Valideer ieder apparaat dat toegang heeft tot het netwerk. Is het een zakelijk apparaat of privé? Zo voorkom je dat er apparaten toegang krijgen tot bedrijfsgegevens die mogelijk een bedreiging vormen.

2. Inloggen op systemen

Vertrouw niet alleen op gebruikersnamen en wachtwoorden, maar gebruik veilige en nieuwe technologie voor het inloggen op systemen. Voor het inloggen buiten het bedrijfsnetwerk adviseren wij multifactor authenticatie aan te houden als de veilige norm. Door meerdere factoren te combineren wordt de beveiliging bij toegangscontrole aangescherpt. Gebruikers voeren na het wachtwoord een eenmalige code in die via SMS verzonden wordt of met een authenticator app op de telefoon. Natuurlijk kan het ook binnen het bedrijfsnetwerk veiliger met nieuwe technieken, zoals digitale certificaten en vingerafdruk- of gezichtsherkenning. Bovendien is dit ook fijner en efficiënter voor je collega’s, want je zadelt ze minder op met het bedenken en onthouden van complexe wachtwoorden.

3. Toegang van applicaties

Verleen alleen toegang tot bedrijfsgegevens aan vertrouwde applicaties en applicaties in eigen beheer. Is een applicatie niet langer nodig of vertrouwd? Zorg dan dat de toegang tot bedrijfsgegevens meteen ingetrokken wordt.

4. Verifieer de netwerken

Verifieer via welke netwerken gewerkt wordt en stel regels op voor onveilige open wifi netwerken, zoals cafés en lunchrooms. Wordt er met gevoelige gegevens gewerkt? Dan moet een vertrouwd netwerk de regel zijn.

5. Bescherming tegen phishing

Maak van bescherming tegen phishing een topprioriteit. Dit kan door bewustwording te creëren bij je collega’s, maar ook door het inzetten van middelen met machine learning, zodat bedreigingen proactief gedetecteerd en verdachte links geblokkeerd worden – nog voordat je collega’s tijd hebben om erop te klikken.