USB-opslag blokkeren via Intune: wanneer het MKB sticks en schijven afsluit

Waarom USB-opslag nog steeds een open deur is

De meeste MKB-bedrijven hebben de afgelopen jaren veel geregeld: multifactorauthenticatie, versleutelde laptops, bestanden in OneDrive en SharePoint. De USB-poort is vaak het enige stukje dat nog openstaat zoals in 2010. Wie een stick insteekt, kan in een paar seconden een complete klantmap, de salarisadministratie of een export uit het CRM-systeem meenemen.

Meestal gebeurt dat zonder kwade opzet. Een medewerker zet een presentatie op een stick voor een klant, neemt werk mee naar huis, of krijgt een stick van een leverancier op een beurs. Die stick raakt kwijt in de trein, of hij brengt zelf schadelijke software mee. In beide gevallen weet u achteraf niet welke data waar is gebleven.

Wat u ermee wint

Een duidelijke regel voor USB-opslag maakt drie dingen beter. Bedrijfsdata blijft op plekken die u beheert en kunt terughalen, zoals OneDrive, SharePoint en Teams. Een verloren stick is geen meldplichtig datalek meer, omdat er geen onversleutelde kopie op stond. En u kunt bij vragen van klanten, verzekeraars of uit de keten, zoals rond NIS2, concreet laten zien hoe u met verwisselbare media omgaat.

Het belangrijkste misverstand: “dan werkt mijn muis niet meer.” Dat klopt niet. De blokkade richt zich op opslagapparaten. Toetsenborden, muizen, headsets, webcams, printers en dockingstations blijven gewoon werken.

Drie niveaus: blokkeren, alleen-lezen of goedgekeurde sticks

U hoeft niet te kiezen tussen alles of niets. In Microsoft Intune zijn er grofweg drie smaken:

• volledig blokkeren: laptops lezen en schrijven niets meer van verwisselbare opslag; geschikt voor administratie, verkoop binnendienst en de meeste kantoorfuncties;
• alleen-lezen: medewerkers kunnen bestanden van een stick openen, maar niets wegschrijven; handig als klanten of leveranciers nog met sticks aanleveren;
• alleen goedgekeurde of versleutelde sticks: schrijven mag alleen naar sticks die met BitLocker To Go zijn versleuteld, of naar specifieke apparaten die u vooraf op een lijst zet; voor technici, monteurs of marketing die echt met externe media werken.

Met Microsoft Defender for Business, onderdeel van Microsoft 365 Business Premium, kunt u apparaatbeheer nog fijner instellen: per groep medewerkers, per type apparaat en met een logboek van wat er is geprobeerd.

Wat u deze maand regelt

Houd de eerste stap klein genoeg om echt uit te voeren:

• zet USB-opslag eerst op meten in plaats van blokkeren, zodat u twee tot vier weken ziet wie welke sticks en schijven gebruikt;
• bespreek de uitkomst per afdeling: wat kan via OneDrive, SharePoint of een gedeelde Teams-map, en wat echt niet;
• bepaal per groep het niveau: blokkeren, alleen-lezen of alleen goedgekeurde, versleutelde sticks;
• zorg voor een alternatief voordat u blokkeert, bijvoorbeeld een veilige deellink voor klanten in plaats van een stick;
• spreek een uitzonderingsroute af: wie vraagt aan, wie keurt goed, en hoe lang geldt het.

Wat u niet op dag één doet: de blokkade voor het hele bedrijf aanzetten op vrijdagmiddag, zonder dat medewerkers weten waarom en wat het alternatief is. Kondig het aan, leg uit waarom, en begin met een pilotgroep.

Samenhang met lokale beheerdersrechten en apparaatnaleving

Een USB-beleid werkt alleen als medewerkers het niet zelf kunnen omzeilen. Daarom hoort het bij het weghalen van lokale beheerdersrechten: wie beheerder is op de eigen laptop, kan instellingen terugdraaien. Neem het beleid ook op in apparaatnaleving, zodat alleen laptops die aan de afspraken voldoen bij bedrijfsdata kunnen.

Techniek is de helft. In bewustwordingstraining hoort ook de onbekende stick die op de parkeerplaats ligt: niet insteken, wel inleveren.

Hoe Floor ICT dit uitrolt — en wat u beslist

Floor ICT zet in Microsoft Intune eerst een meetbeleid klaar, bespreekt met u wat er gebruikt wordt, en richt daarna per groep het juiste niveau in. Waar sticks nodig blijven, richten we BitLocker To Go of een lijst met goedgekeurde apparaten in. Uitzonderingen lopen via het ticketportaal, zodat er een spoor is van wie wat mag en tot wanneer.

U beslist welke functies uitzonderingen krijgen, of klanten nog met sticks mogen aanleveren, en hoe medewerkers het nieuws horen. Techniek zonder uitleg levert frustratie op; uitleg zonder techniek blijft een voornemen.