Veilig thuiswerken: wat het MKB regelt voor de werklaptop en het thuisnetwerk

Waarom thuiswerken een ander risico is

Op kantoor vangen het netwerk en de mensen om u heen veel op. Thuis staat de laptop er alleen voor. Een aanvaller hoeft niet in uw kantoor in te breken als hij via een slecht beveiligde router, een besmette pc van een huisgenoot of een gestolen wachtwoord ook binnenkomt. Het goede nieuws: Microsoft 365 en uw bestanden staan in de cloud, dus het kantoornetwerk is niet meer de enige toegangspoort. Wie de laptop en het account goed regelt, heeft het grootste deel al gedaan.

Begin bij de laptop, niet bij het thuisnetwerk

U heeft weinig invloed op de router bij een medewerker thuis, maar wel op de werklaptop. Regel daarom deze punten voor elk apparaat, ook als het nooit op kantoor komt:

• Beheerd op afstand: de laptop staat in uw beheer, bijvoorbeeld via Microsoft Intune, zodat instellingen en software overal hetzelfde zijn.
• Updates die echt doorlopen: Windows en de belangrijkste programma’s worden automatisch bijgewerkt, en iemand controleert of dat lukt. Hoe u dat opzet, leest u in Windows-updates en patchbeheer.
• Versleuteling: zet BitLocker aan, zodat een gestolen laptop uit de auto of de trein geen datalek wordt.
• Geen beheerdersrechten: een gebruiker die zelf alles mag installeren, installeert ook iets verkeerds. Zie lokale beheerdersrechten op laptops.
• Antivirus en monitoring: beveiligingssoftware die meldingen naar uw IT-partner stuurt, niet alleen naar een pop-up die de medewerker wegklikt.

Het account is de echte voordeur

De meeste inbraken bij het MKB beginnen met een gestolen wachtwoord, niet met een gehackte router. Zet daarom MFA aan voor iedereen, ook voor de directie. Met voorwaardelijke toegang kunt u daarnaast instellen dat Microsoft 365 alleen werkt vanaf laptops die beheerd zijn en aan uw eisen voldoen. Logt iemand in vanaf een onbekende privé-pc, dan krijgt die geen toegang tot de mail en bestanden. Een wachtwoordmanager helpt om voor elke dienst een ander wachtwoord te gebruiken.

Het thuisnetwerk: drie eenvoudige stappen

U hoeft geen zakelijke firewall bij elke medewerker neer te zetten. Vraag thuiswerkers wel om deze drie dingen:

1. Router bijwerken: controleer of de router nog updates krijgt. Een router van de internetprovider wordt vaak automatisch bijgewerkt; een oude, zelf gekochte router soms helemaal niet meer.
2. Wachtwoorden wijzigen: verander het standaard beheerwachtwoord van de router en gebruik een sterk wifi-wachtwoord met WPA2 of WPA3.
3. Scheiden waar het kan: zet slimme apparaten, spelcomputers en bezoekers op een gastnetwerk, en de werklaptop op het hoofdnetwerk. Het idee is hetzelfde als bij gastwifi op kantoor, alleen kleiner.

Een VPN is voor de meeste kleine bedrijven niet meer nodig om bij Microsoft 365 te komen, want die verbindingen zijn al versleuteld. Een VPN heeft alleen zin als medewerkers bij iets op kantoor moeten, zoals een oude server of een printer.

Afspraken die net zo belangrijk zijn als techniek

Techniek vangt veel op, maar een paar afspraken maken het verschil:

• Werk gebeurt op de werklaptop, niet op de gezinscomputer. Wilt u wel mail op de privételefoon toestaan, regel dat dan met zakelijke apps op privételefoons.
• Bestanden staan in OneDrive, SharePoint of Teams, niet op het bureaublad of een USB-stick.
• De laptop gaat op slot als iemand wegloopt, ook thuis, en huisgenoten gebruiken hem niet.
• Videobellen over vertrouwelijke zaken doet u niet op een terras of in de trein waar anderen meeluisteren.
• Er is één nummer of adres waar medewerkers melden dat er iets vreemds gebeurt, of dat hun laptop kwijt of gestolen is.

Een korte controle voor uw thuiswerkers

Stel deze vijf vragen: staan alle werklaptops in beheer, krijgen ze aantoonbaar updates, is BitLocker overal aan, kan niemand inloggen zonder MFA, en weet elke medewerker waar een probleem gemeld wordt? Is het antwoord ergens nee of “weet ik niet”, dan is dat het eerste punt om aan te pakken. De router thuis komt daarna.

Wat Floor ICT doet

Floor ICT beheert werkplekken op afstand, dus het maakt voor ons niet uit of een laptop op kantoor of thuis staat. In elk pakket houden we Windows-updates, monitoring en inventaris bij en helpen we op afstand. Vanaf Advanced komen daar antivirus en ransomwarebescherming bij, en in Elite ook een beheerde back-up van werkplekken en extra beveiliging op de werkplek. We richten MFA en de toegangsregels in Microsoft 365 met u in en zetten een korte instructie voor thuiswerkers klaar. U beslist welke apparaten en locaties toegang krijgen, of privételefoons mogen en wat u van medewerkers vraagt voor hun thuisnetwerk.