Security voor Systemen en Software - Principes

Je systemen zijn je eerste verdedigingslinie

De software die je gebruikt, de apparaten waarop je werkt en het netwerk waarmee je verbonden bent - samen vormen ze de basis van je gegevensbeveiliging. Als die basis zwak is, helpen papieren beleidsregels weinig.

De GDPR vereist “passende technische maatregelen”. Hieronder vallen de principes die je moet toepassen op je systemen en software.

Principe 1: Houd alles up-to-date

De meerderheid van succesvolle cyberaanvallen maakt gebruik van bekende kwetsbaarheden waarvoor al een update beschikbaar was. Het installeren van updates is de meest effectieve beveiligingsmaatregel die je kunt nemen.

• Besturingssysteem - schakel automatische updates in op alle werkstations en servers
• Browsers - gebruik altijd de nieuwste versie
• Bedrijfssoftware - plan regelmatige updates voor je CRM, boekhouding en andere tools
• Firmware - vergeet je router, printer en andere netwerkapparaten niet
• Plugins en extensies - verouderde WordPress-plugins of browserextensies zijn een veelgebruikt aanvalspad

Principe 2: Least privilege

Geef gebruikers alleen de toegang die ze nodig hebben voor hun werk, niet meer. Dit beperkt de schade als een account wordt gehackt.

• Niet iedereen hoeft admin te zijn
• Maak aparte accounts voor dagelijks gebruik en beheer
• Verwijder rechten zodra ze niet meer nodig zijn
• Gebruik groepen of rollen om rechten consistent toe te wijzen

Principe 3: Segmenteer je netwerk

Houd verschillende soorten verkeer gescheiden:

• Gastennetwerk apart van je bedrijfsnetwerk - bezoekers en klanten hoeven niet bij je interne systemen te kunnen
• IoT-apparaten op een apart netwerk - slimme apparaten zijn vaak slecht beveiligd
• Gevoelige systemen extra afgeschermd - je HR-systeem of financiele administratie hoeft niet bereikbaar te zijn vanaf elk apparaat

Principe 4: Encryptie

Versleutel gegevens zowel in opslag als tijdens verzending:

• In transit - gebruik HTTPS voor je website, VPN voor thuiswerkers, TLS voor e-mail
• At rest - schakel schijfversleuteling in op laptops en externe opslagmedia (BitLocker op Windows, FileVault op macOS)
• Back-ups - versleutel ook je back-ups, zeker als ze buiten je bedrijf worden bewaard

Principe 5: Logging en monitoring

Als er iets misgaat, wil je kunnen achterhalen wat er is gebeurd:

• Schakel logboeken in op je belangrijkste systemen
• Bewaar logs voldoende lang om incidenten te kunnen onderzoeken (minimaal 3 maanden)
• Controleer periodiek op ongebruikelijke activiteiten
• Zorg dat logs niet door een aanvaller kunnen worden gewist

Principe 6: Back-up en herstel

Een back-up die je niet kunt herstellen is geen back-up:

• Maak dagelijks back-ups van bedrijfskritische gegevens
• Bewaar minimaal een back-up offline of op een andere locatie
• Test regelmatig of je back-ups daadwerkelijk te herstellen zijn
• Documenteer je herstelprocedure zodat je in een crisissituatie niet hoeft te improviseren

Pas toe wat bij je past

Niet elk bedrijf heeft dezelfde beveiligingsbehoeften. Een webshop met klantgegevens heeft andere prioriteiten dan een adviesbureau. Maar de bovenstaande principes gelden universeel. Begin met de basis en bouw van daaruit verder.