Waarom de meterkast een zwakke plek is
Een router of firewall is de voordeur van uw netwerk. Een NAS bevat vaak precies de bestanden die u niet kwijt wilt. Toch krijgen deze apparaten zelden dezelfde aandacht als laptops. Ze staan niet in Intune, sturen geen meldingen en niemand logt er wekelijks op in. Fabrikanten brengen regelmatig firmware-updates uit om lekken te dichten, maar die komen alleen op het apparaat als iemand ze installeert of automatisch bijwerken heeft aangezet. Aanvallers scannen internet continu op apparaten met bekende kwetsbaarheden. Een vergeten router of NAS is voor hen een makkelijke ingang, ook bij kleine bedrijven die “niet interessant” denken te zijn.
Stap 1: weet wat er staat
Begin met een eenvoudige lijst. Noteer per apparaat:
- Type en model: router of modem van de provider, firewall, switches, wifi-accesspoints, NAS, en eventueel een losse VPN-server.
- Firmwareversie en laatste update: zichtbaar in de beheerpagina van het apparaat.
- Wie beheert het: uw provider, een oude leverancier, een collega of uw IT-partner, en waar de beheergegevens staan.
- Ondersteuning: brengt de fabrikant nog updates uit voor dit model, of is het al “end of life”?
Vaak blijkt bij deze inventarisatie dat niemand het beheerwachtwoord nog weet, of dat het bij een vertrokken leverancier ligt. Dat is hetzelfde probleem als bij wie de sleutels van uw domeinnaam heeft: regel het nu, niet tijdens een storing.
Stap 2: firmware bijwerken met een vast ritme
Veel moderne routers, firewalls en NAS-systemen kunnen zichzelf bijwerken. Zet dat aan, bij voorkeur met een update-venster buiten werktijd. Waar automatisch bijwerken niet kan of niet verstandig is, bijvoorbeeld bij een firewall waar het hele kantoor op leunt, plant u een vast moment, bijvoorbeeld maandelijks. Kritieke beveiligingsupdates installeert u sneller. Maak vóór een update een export van de configuratie, zodat u kunt terugvallen als er iets misgaat. Zo wordt netwerkapparatuur gewoon een onderdeel van patchbeheer, naast Windows en de apps.
Stap 3: wachtwoorden en beheertoegang op orde
- Vervang standaardwachtwoorden door lange, unieke wachtwoorden, opgeslagen in een gedeelde kluis van een wachtwoordmanager.
- Gebruik MFA op het cloudportaal van de firewall of NAS als de fabrikant dat ondersteunt.
- Sluit beheer via internet af: de beheerpagina hoort alleen vanaf het interne netwerk of via een beveiligde VPN bereikbaar te zijn.
- Zet ongebruikte diensten uit, zoals UPnP, oude VPN-protocollen of het delen van mappen via internet op de NAS.
Scheid daarnaast gasten en privéapparaten van het bedrijfsnetwerk, zoals beschreven in gastwifi en bedrijfsnetwerk scheiden. En zorg dat de NAS niet uw enige kopie is: een NAS die versleuteld raakt, neemt de bestanden mee. Lees daarover meer in back-ups en ransomware.
Stap 4: oude apparatuur op tijd vervangen
Een apparaat waarvoor de fabrikant geen updates meer uitbrengt, blijft kwetsbaar, hoe goed het verder ook werkt. Kijk op de supportpagina van de fabrikant tot wanneer uw model updates krijgt en zet die datum in uw planning. Vervang zo’n apparaat ruim op tijd, net zoals u een laptop vervangt die geen Windows-updates meer krijgt. Verzekeraars vragen hier ook steeds vaker naar; zie de vragenlijst van de cyberverzekering.
Hoe Floor ICT dit aanpakt
Floor ICT brengt alle netwerkapparatuur in kaart, legt beheergegevens veilig vast en controleert welke apparaten nog ondersteund worden. We zetten automatische updates aan waar dat verstandig is, plannen updates voor firewalls en andere kritieke apparaten, sluiten beheer via internet af en vervangen standaardwachtwoorden. Apparaten die het einde van hun ondersteuning naderen, nemen we op in de vervangingsplanning, zodat de meterkast geen blinde vlek blijft naast uw laptops en Microsoft 365.