Informatiebeveiliging: de maatregelen die het meeste risico wegnemen

Stel: een groothandel met dertig medewerkers zet na een lang weekend de computers aan en ziet op elk scherm hetzelfde bericht. De bestanden zijn versleuteld, voor de sleutel moet worden betaald. Achteraf blijkt de aanvaller weken eerder binnengekomen via het mailaccount van een binnendienstmedewerker, met een wachtwoord dat ook bij een webwinkel was gelekt. Geen spectaculaire hack. Een open deur.

Zulke deuren zijn bekend en met een beperkt aantal maatregelen te sluiten, bij een installatiebedrijf met twintig man net zo goed als bij een afdeling van een concern. Hieronder staan ze op volgorde van effect, met daarna de organisatiekant.

Wat er bij bedrijven misgaat

Volgens het CBS had 4 procent van de bedrijven in 2024 ten minste een cyberincident door een aanval van buitenaf; bij bedrijven met 250 of meer werknemers was dat 16 procent (bron: CBS, mei 2026). Het CBS telt alleen incidenten waarvan het bedrijf echt gevolgen ondervond, zoals uitval door ransomware (gijzelsoftware die bestanden versleutelt en losgeld vraagt).

Wat er misgaat, is zelden ingewikkeld. Iemand logt in met een buitgemaakt wachtwoord. Een bekend lek is niet gedicht. Of een medewerker betaalt een vervalste factuur na een overtuigende mail. Toch zijn de maatregelen tegen die routes lang niet overal ingevoerd: in het mkb gebruikt 61 procent multifactorauthenticatie en maakt 29 procent een risicoanalyse (bron: CBS via NCSC, februari 2026). Een eerste indruk geeft de CyberVeilig Check van het NCSC, een korte zelfscan met actielijst.

Acht basismaatregelen, in volgorde van effect

Bovenaan staat wat met weinig werk een veelgebruikte ingang sluit of herstel mogelijk maakt. Ze sluiten aan op de basisprincipes van het NCSC en op Cyber Essentials, het Britse overheidsschema voor basisbeveiliging.

1. 01

   Tweestapsverificatie op alles wat van buiten bereikbaar is

   Tweestapsverificatie, ook MFA genoemd (inloggen met een tweede stap, zoals een code of bevestiging op uw telefoon), zorgt dat een gestolen wachtwoord alleen niet genoeg is. Begin bij e-mail, clouddiensten, toegang op afstand en beheerportalen. Het Amerikaanse CISA noemt inloggen via FIDO, zoals een passkey of fysieke sleutel, de enige breed beschikbare vorm die bestand is tegen phishing (bron: CISA, november 2026).

2. 02

   Updates binnen dagen, niet binnen maanden

   Een update (patch) dicht een bekend lek. Zet automatische updates aan en regel apart de updates van firewall, router en VPN (de beveiligde verbinding van buiten naar het bedrijfsnetwerk), want die hangen direct aan internet. Cyber Essentials vraagt updates voor ernstige lekken binnen 14 dagen te installeren en software zonder ondersteuning te verwijderen (bron: Brits NCSC, april 2026).

3. 03

   Een back-up die een aanvaller niet kan bereiken

   Ransomware versleutelt alles wat bereikbaar is, ook een back-up op een gekoppelde schijf. Het NCSC adviseert de 3-2-1-methode (drie versies, op twee soorten media, waarvan een op een andere locatie), back-ups los te koppelen van het netwerk en herstel periodiek te testen (bron: NCSC, november 2026). Vergeet clouddiensten niet; zie back-up en uitwijk.

4. 04

   Beheerrechten beperken

   Beheerrechten (de bevoegdheid om software te installeren en instellingen te wijzigen) zijn wat een aanvaller zoekt. Geef medewerkers alleen toegang tot wat ze voor hun werk nodig hebben en laat beheerders beheertaken met een apart account doen (bron: NCSC, november 2026; Brits NCSC, april 2026).

5. 05

   Een wachtwoordmanager voor iedereen

   Een wachtwoordmanager bedenkt per account een sterk wachtwoord en bewaart het versleuteld. Daarmee verdwijnt het hergebruik dat de groothandel de kop kostte. Kies een zakelijke variant, zodat u bij vertrek toegang intrekt en gedeelde wachtwoorden gecontroleerd deelt.

6. 06

   Alert op phishing, met een vaste betaalregel

   Phishing (een nepbericht dat u laat klikken, inloggen of betalen) omzeilt veel techniek. Het NCSC noemt haast een belangrijke rode vlag en raadt aan bij twijfel zelf contact te zoeken via de gewone website of een bekend nummer (bron: NCSC, november 2026). Maak terugbellen verplicht bij elke rekeningwijziging en maak melden makkelijk, ook na een klik.

7. 07

   Apparaten centraal beheren en versleutelen

   Met apparaatbeheer (software waarmee u laptops en telefoons centraal instelt, bijwerkt en op afstand wist) houdt u grip. Het NCSC adviseert laptops, mobiele apparaten en USB-sticks met bedrijfsinformatie te versleutelen (bron: NCSC, november 2026). Een verloren laptop is dan vooral een kostenpost.

8. 08

   Logging aan en lang genoeg bewaren

   Logging (automatisch vastleggen wie wanneer inlogde en wat er veranderde) voorkomt niets, maar zonder logboek weet u na een incident niet wat er gebeurde. Het Britse NCSC adviseert de belangrijkste logs minstens zes maanden te bewaren en te beschermen tegen aanpassing (bron: Brits NCSC, mei 2021).

De organisatiekant: wie houdt het overeind

Techniek zonder eigenaar veroudert. Een jaar later staat tweestapsverificatie voor een paar accounts "tijdelijk" uit en is de back-up nooit teruggezet. Vier vaste afspraken voorkomen dat.

• Eigenaar: één persoon in directie of management met mandaat en budget. Het NCSC ziet risicomanagement als periodiek werk met de directie als voortrekker (bron: NCSC, november 2026). In een concern is dat vaak een CISO (eindverantwoordelijke voor informatiebeveiliging), in een installatiebedrijf de directeur zelf.
• Beleid: een kort document met de geldende afspraken over toegang, wachtwoorden, apparaten en wat iemand doet die iets verdachts ziet.
• Leveranciers: een lijst van partijen met toegang tot uw systemen of gegevens, met contractafspraken over onder meer de rollen bij een groot incident en wat er met data gebeurt bij beëindiging of faillissement (bron: RDI, juli 2026). Zie ook IT-partner kiezen.
• Toetsen: controleer periodiek, bijvoorbeeld jaarlijks, of de maatregelen werken (bron: NCSC, november 2026) en bespreek de uitkomst in de directie.

Valt uw organisatie onder de Cyberbeveiligingswet, of vraagt een grote klant ernaar, dan worden deze afspraken een wettelijke plicht of een contracteis. Lees daarover de Cyberbeveiligingswet en uw klanten.

Normenkaders voor grotere organisaties

Met een eigen IT-afdeling, of klanten die aantoonbare beveiliging eisen, is een normenkader de volgende stap. Zo'n kader beschrijft een ISMS: een managementsysteem dat risico's bepaalt, maatregelen neemt, controleert en verbetert. In de meeste sectoren is ISO 27001 niet verplicht (bron: NCSC, november 2026).

Een vuistregel: zolang geen klant, verzekeraar of wet om een certificaat vraagt, haalt een bedrijf met twintig man meer uit de acht basismaatregelen en een jaarlijkse toets. Bij gevoelige klantgegevens of klanten onder de Cyberbeveiligingswet loont een kader wel.

Als het toch misgaat

Geen maatregel geeft volledige zekerheid. Leg daarom vooraf vast wie u belt, welke systemen eerst weer aangaan en wie met klanten praat, en bewaar die bellijst op papier. Het draaiboek staat in gehackt of ransomware: wat u direct doet. Van alle bedrijven is 19 procent verzekerd voor cyberincidenten (bron: CBS, mei 2026). Meer ICT-onderwerpen vindt u in de kennisbank ICT en data.

Quickscan en plan voor de eerste negentig dagen

Hieronder vindt u een quickscan van dertig vragen om met uw IT-partner door te lopen, met per vraag waarom hij telt en welke prioriteit hij heeft, plus een plan voor de eerste negentig dagen.