Netwerkbeveiliging voor bedrijven: 7 maatregelen die je bedrijfsnetwerk echt beschermen

In veel kmo's ziet het netwerk er zo uit: de modem-router van de internetprovider, een switch eronder, een paar access points, en één wifinetwerk waar de laptops, de printer, de camera's, de kassa en de smartphone van de bezoeker allemaal op zitten. Het werkt. Niemand heeft er ooit een probleem mee gehad. Tot iemand dat wel heeft.

Netwerkbeveiliging is het deel van je IT-beveiliging dat bepaalt wat er gebeurt als er toch iets binnenraakt. Een goed beveiligd netwerk houdt niet alleen indringers buiten, het zorgt er ook voor dat één besmette laptop niet meteen bij je boekhouding, je server en je back-ups kan.

Waarom je netwerk de voordeur is

Een aanvaller die een kmo binnenwil, zoekt de makkelijkste weg. Dat is zelden een spectaculaire hack, en bijna altijd iets dat al lang openstaat:

• Een poort die naar buiten openstaat, bijvoorbeeld voor bureaublad op afstand (RDP) of voor de camera-app, en die vanaf het hele internet bereikbaar is.
• Een toestel dat nooit een update krijgt: de router zelf, een oude NAS, een printer of een camera met de fabriekswachtwoorden.
• Eén plat netwerk, waardoor wie op de gastenwifi of op één laptop binnenraakt, meteen alles ziet.
• Gestolen inloggegevens voor de VPN of de webmail, zonder tweede factor.

Het eerste en het laatste zijn de klassieke ingangen voor ransomware. Het middelste punt bepaalt hoe groot de schade wordt. Daarom gaan de maatregelen hieronder zowel over buitenhouden als over afremmen.

1. Een echte firewall in plaats van de router van je provider

De modem-router die je van je internetprovider krijgt, is gebouwd voor een gezin. Hij doet wat hij moet doen: verkeer doorlaten en het internet ingaand grotendeels tegenhouden. Maar voor een bedrijf mist hij vaak wat er echt toe doet.

Dat betekent niet dat de router van de provider weg moet. Vaak blijft hij staan als modem, en neemt een zakelijke firewall erachter het echte werk over. Wat telt, is dat er één toestel is dat bewust is ingesteld voor jouw bedrijf, en dat iemand de regels kent.

Een firewall is ook geen kwestie van plaatsen en vergeten. Regels die ooit voor een tijdelijke leverancier zijn opengezet, blijven anders jaren openstaan. Hoe wij een firewall voor je bedrijf installeren en beheren, staat op onze pagina over cybersecurity.

2. Segmentatie: kantoor, gasten, camera's en kassa apart

Dit is de maatregel met de grootste winst, en de maatregel die in kleine bedrijven het vaakst ontbreekt.

Segmenteren betekent dat je het netwerk opdeelt in afzonderlijke delen, meestal met VLAN's, en op de firewall vastlegt welk deel met welk ander deel mag praten. Een typische indeling voor een kmo:

Het effect is eenvoudig uit te leggen: raakt een camera met een oud lek besmet, dan kan die camera nergens heen. Klikt een medewerker op de verkeerde bijlage, dan komt de aanvaller op het kantoornetwerk uit, maar niet automatisch bij de back-ups.

Camera's verdienen hier een aparte vermelding. Ze draaien vaak jaren op dezelfde firmware, en ze zijn soms rechtstreeks vanaf het internet bereikbaar voor de app op je telefoon. Bij een installatie van camerabewaking hoort daarom een eigen netwerk voor de camera's, en geen open poort naar buiten.

Voor winkels en horecazaken komt daar de kassa bij, en een gastenwifi die klanten echt gebruiken. Wat dat per sector betekent, lees je bij IT voor retail en IT voor horeca.

3. Wifi veilig instellen

Wifi is het deel van je netwerk dat tot buiten je muren reikt. Drie dingen maken het verschil.

Een moderne versleuteling. Gebruik WPA3 waar je toestellen het aankunnen, of minstens WPA2 met AES. Oudere standaarden zoals WEP of WPA (zonder 2) horen in een bedrijf niet meer thuis.

Geen gedeeld wachtwoord voor iedereen. Het klassieke probleem: één wifiwachtwoord dat al jaren hetzelfde is, dat op een post-it in de keuken hangt en dat ook ex-medewerkers nog kennen. Op het bedrijfsnetwerk kan dat beter met WPA2- of WPA3-Enterprise: elke medewerker meldt zich aan met zijn eigen account, en wie vertrekt, verliest automatisch de toegang.

Een gastennetwerk dat echt gescheiden is. Een gastennetwerk is pas een gastennetwerk als het op een eigen segment zit en alleen naar het internet kan. Een tweede netwerknaam met een ander wachtwoord op hetzelfde netwerk is cosmetica.

4. Toegang van buitenaf: VPN, MFA en geen open poorten

Thuiswerk, een boekhouder die op afstand inlogt, een leverancier die de machine in het magazijn onderhoudt: in elk bedrijf moet er wel iets van buitenaf naar binnen. De vraag is langs welke deur.

• Zet geen diensten rechtstreeks open naar het internet. Bureaublad op afstand, een NAS-beheerpagina of een camerarecorder hoort niet vanaf het hele internet bereikbaar te zijn.
• Laat toegang van buitenaf via een VPN lopen, of via een toepassing die daarvoor gebouwd is, en koppel die aan de gewone gebruikersaccounts. Dan verdwijnt de toegang ook als iemand vertrekt.
• Zet multifactor-authenticatie op de VPN en op elk account dat van buitenaf bereikbaar is. Een gestolen wachtwoord alleen mag niet volstaan.
• Geef leveranciers tijdelijke toegang, alleen tot het toestel dat ze moeten onderhouden, en sluit die toegang daarna weer af.
• Zet UPnP uit op de router. Daarmee kunnen toestellen zelf poorten openzetten, zonder dat iemand het merkt.

Een veilige VPN is niet automatisch een snelle. Klagen thuiswerkers over haperende verbindingen, dan kan dat aan hun thuisnetwerk liggen, maar net zo goed aan een VPN die al het verkeer via kantoor stuurt. Hoe je dat uit elkaar houdt, lees je in trage VPN of haperende wifi bij thuiswerkers: wat je als werkgever kan doen.

5. Netwerkapparatuur bijwerken en afschermen

Iedereen weet dat laptops updates nodig hebben. Dat de firewall, de switches, de access points en de NAS ook updates nodig hebben, wordt vaker vergeten. Toch zijn net die toestellen interessant voor een aanvaller: ze staan altijd aan, ze zien al het verkeer, en niemand kijkt ernaar.

Wat erbij hoort:

• Firmware-updates op een vast ritme, en dringende beveiligingsupdates zodra ze uitkomen.
• Geen fabriekswachtwoorden. Elk toestel krijgt een eigen, sterk beheerwachtwoord, bewaard in een wachtwoordkluis.
• De beheerpagina's alleen bereikbaar vanuit het interne netwerk, of beter nog vanuit een apart beheersegment, en nooit vanaf het internet.
• Toestellen vervangen die geen updates meer krijgen. Een router of NAS waarvoor de fabrikant geen beveiligingsupdates meer uitbrengt, blijft een open lek, hoe goed hij verder ook werkt.

6. Monitoring en logging: wie kijkt er mee?

Een firewall die verdachte pogingen blokkeert, schrijft dat in een logboek. De vraag is of iemand dat logboek ooit leest.

Monitoring hoeft voor een kmo geen meldkamer te zijn die dag en nacht bemand is. Maar er moet iemand zijn die merkt dat er om drie uur 's nachts grote hoeveelheden data naar buiten gaan, dat iemand honderden keren probeert in te loggen op de VPN, of dat een access point al een week offline is. Concreet:

• Logboeken van de firewall en de VPN bewaren, en niet alleen op het toestel zelf, zodat ze er nog zijn na een herstart of een aanval.
• Meldingen bij afwijkingen, zoals mislukte aanmeldingen, nieuwe toestellen op het netwerk of verkeer naar bekende kwaadaardige adressen.
• Afspreken wie de meldingen opvolgt, en wanneer. Op kantooruren, of ook daarbuiten.

Hoe ver je daarin gaat, en wat je zelf doet of uit handen geeft, is een afweging die we uitgebreid bespreken in cybersecurity uitbesteden: wat een partner overneemt en wat bij jou blijft.

7. Documentatie en een plan voor als het misgaat

De laatste maatregel klinkt het minst spannend, maar bepaalt hoe snel je weer draait na een incident.

• Een actueel netwerkschema: welke toestellen er zijn, welke segmenten, welke regels op de firewall, en waarom.
• Een back-up van de configuratie van je firewall en switches, zodat een defect of gewist toestel snel te vervangen is.
• Een lijst van wie toegang heeft, tot welke beheerpagina's en met welke rechten.
• Een eenvoudig draaiboek: wie bel je als er iets mis is, wie mag het netwerk loskoppelen, en wie beslist over melden.

Dat laatste punt is geen detail. Valt je bedrijf onder NIS2, dan moet je een significant incident snel melden, en dat lukt alleen als vooraf vaststaat wie wat doet. Of je eronder valt, ook onrechtstreeks via je klanten, lees je in NIS2 voor kmo's uitgelegd.

Checklist: 10 vragen om je eigen netwerk te toetsen

Loop deze vragen door met wie je netwerk beheert. Elk "nee" of "geen idee" is een punt om aan te pakken.

1. Staat er een firewall die voor je bedrijf is ingesteld, en weet iemand welke regels erop staan?
2. Zitten gasten, camera's en de kassa op een ander netwerk dan de laptops van je medewerkers?
3. Gebruikt je wifi WPA2 of WPA3, en is het wachtwoord veranderd sinds de laatste medewerker vertrok?
4. Staat er vanaf het internet niets rechtstreeks open, zoals bureaublad op afstand of een NAS-beheerpagina?
5. Werkt toegang van buitenaf alleen via een VPN met multifactor-authenticatie?
6. Krijgen de firewall, switches, access points en NAS regelmatig firmware-updates?
7. Zijn alle fabriekswachtwoorden op netwerkapparatuur vervangen?
8. Bekijkt iemand de logboeken of meldingen van de firewall, en weet je wie?
9. Is er een actueel netwerkschema en een back-up van de configuratie?
10. Weet iedereen wat er moet gebeuren, en wie er beslist, als er een incident is?

Zelf doen of laten beheren?

Een paar van deze maatregelen kun je zelf nakijken: het wifiwachtwoord, de fabriekswachtwoorden, de vraag of er poorten openstaan. Segmentatie, firewallregels, een VPN met MFA en monitoring vragen meer kennis, en vooral iemand die het daarna blijft opvolgen. Daar gaat het in de praktijk het vaakst mis: niet bij de installatie, maar in de jaren erna.

Hoe wij bedrijfsnetwerken aanleggen, segmenteren en op afstand opvolgen, lees je bij netwerkbeheer voor kmo's. Voor de bredere beveiliging, van endpoint-bescherming tot NIS2, kijk je bij cybersecurity voor bedrijven. En omdat een netwerk nooit de enige verdedigingslijn is: zorg dat je back-ups los van je netwerk staan, zodat ransomware ze niet mee kan versleutelen.

Conclusie

Netwerkbeveiliging voor een bedrijf draait niet om dure toestellen, maar om een paar bewuste keuzes: een firewall die voor jou is ingesteld, netwerken die van elkaar gescheiden zijn, wifi en toegang van buitenaf die per persoon geregeld zijn, apparatuur die bijgewerkt wordt, en iemand die meekijkt. Dat zijn geen eenmalige klussen. Het zijn dingen die blijven lopen, en daarom moet er iemand verantwoordelijk voor zijn.