Hoe goed is jouw ITomgeving

(1)

omgeving beveiligd?

(2)

Hoe goed is jouw IT-omgeving beveiligd?

Evalueer gratis jouw beveiliging aan de hand van 25 vragen.

Security is belangrijk. Je IT-omgeving dien je niet alleen te beschermen tegen aanvallen van buitenaf (hackers, virussen, malware, ransomware, …) maar ook tegen blunders van je eigen medewerkers- en jezelf. Een onachtzaamheid of

menselijke fout kan jouw hele beveiliging onderuithalen.

Een slecht beveiligde infrastructuur verhoogt de kans op één van die dreigingen enorm. Het is dan ook erg belangrijk dat je de sterke en zwakke punten kent van je IT-omgeving. Als bedrijf zou je op deze 25 vragen het juiste antwoord

moeten kunnen geven. Is dat niet het geval, of weet je niet eens hoe jouw

bedrijf hiermee omgaat? Deze checklist helpt je meteen om komaf te maken

met de vraagtekens en bedreigingen. En merk je dat er todo's uit je opzoekwerk

komen, schakel ons gerust in voor advies!

(3)

Nee Ja

1. Kunnen medewerkers met hun eigen toestel (smartphone, com- puter, …) op het bedrijfsnetwerk zonder beperkingen?

Ons advies:

Stel beperkingen in op de toegang tot het bedrijfsnetwerk. Het is bijvoorbeeld niet nodig dat je medewerker buiten de kan- tooruren kan inloggen (tenzij hij zich in een andere tijdzone bevindt). Verplicht ook het gebruik van een VPN en verbied het gebruik van onbeveiligde Wifi-verbindingen in cafés bijvoorbeeld.

2. Kunnen medewerkers met hun bedrijfstoestellen (smartphone, computer,…) op het bedrijfsnetwerk zonder beperkingen?

Ons advies:

Stel beperkingen in op de toegang. Het gebruik van een beveiligde inlogprocedure blijft belangrijk: beveiliging met een wachtwoord voor een vaste computer, en met 2FA (tweestapsverificatie) voor smartphone en laptop. Werk je met Microsoft 365, wijs dan rollen toe aan je werknemers; zo baken je af tot welke documenten bepaalde categorieën werknemers toegang hebben.

3. Worden de mobiele toestellen (smartphone, tablets) van je medewerkers beheerd via een device management systeem?

Ons advies:

Een device management systeem wordt vooral bij grotere bedrijven gebruikt, maar is ook aangeraden voor kmo's. Deze software kan je IT-afdeling namelijk gebruiken om de mobiele toestellen van je medewerkers te monitoren, beheren en beveiligen. Mobile Device Management (MDM) is trouwens slechts één facet van Enterprise Mobility Management (EMM), dat niet alleen naar de toestellen zelf kijkt maar ook naar het beheer van de applicaties en content. Ook deze software bevordert het veilig werken met mobiele toestellen.

4. Kunnen je bedrijfstoestellen vanop afstand beheerd worden?

(b.v. het wissen van een laptop of smartphone)

Ons advies:

Wanneer een (bedrijfs)toestel gestolen wordt of verloren gaat, en het onvoldoende beveiligd is met een passcode, dan heeft de dief of vinder toegang tot jouw bedrijfsgegevens. Indien het OS van het toestel niet de mogelijkheid biedt voor beheer op afstand, installeer dan extra software die dit wel doet. Lees: op afstand een Windows laptop wissen, op afstand een iPhone, iPad wissen, op afstand een Android-toestel wissen.

Nee

Ja

Nee Ja

(4)

Nee Ja

Nee

5. Zijn alle bedrijfstoestellen uitgerust met een antivirus?

Ja

Ons advies:

Een antivirus is nog altijd een belangrijk onderdeel van je beveiliging. Eén verstrooide medewerker die een besmette link aanklikt kan heel wat ellende veroorzaken! Het Windows-besturingssysteem bevat al een geïntegreerde antivirus, maar de meeste (betalende) antivirusprogramma's bieden toch een sterkere beveiliging. Zorg er wel voor dat de antivirus automatische updates ontvangt!

6. Schakel je op de bedrijfstoestellen de automatische updates uit, om eerst te kunnen uittesten of die geen conflict geven met je bedrijfstoepassingen?

Ons advies:

Schakel automatische updates in op alle laptops en desktopcomputers van je computerpark. Sommige smartphones en tablets krijgen geen updates meer, ofwel omdat de fabrikant die niet uitrolt, ofwel omdat de toestellen zo oud zijn dat updates niet meer mogelijk zijn. Laat het niet zo ver komen, en investeer liever in een nieuw toestel, want een hack of datalek zou je veel meer kunnen kosten!

7. Zijn de harde schijven van de bedrijfstoestellen geëncrypteerd?

Ons advies:

Een versleutelde harde schijf maakt het moeilijker voor vreemden om in je bestanden te kijken. Een eerste maal je data ver- sleutelen neemt wel wat tijd, maar daarna zal je even performant werken met de bestanden. Vooral voor mobiele toestellen is encryptie aangeraden, om te voorkomen dat je gegevens in de verkeerde handen vallen.

8. Laat jij je werknemers vrij om zelf al dan niet hun toestel automa- tisch te vergrendelen?

Ons advies:

Natuurlijk is het gemakkelijker voor je medewerkers dat zij zich na een periode van inactiviteit niet telkens opnieuw moeten aanmelden op hun vaste of mobiele toestel. Maar het is ook veel gevaarlijker voor jouw bedrijfsgegevens. Werk daarom met een lock policy. Verplicht je medewerkers dat zij voor hun mobiele toestel een vergrendeling toepassen die met een passcode, gelaatsherkenning of andere biometrisch gegeven ontgrendeld wordt. Voor desktops en laptops kan je via Group Policy (Windows 10 of Mac) de vergrendeling vastleggen.

Ja

Nee

Ja

Nee

(5)

Nee Ja

Nee

9. Zijn er specifieke regels rond wachtwoorden binnen je onder-

Ja

neming? (bijvoorbeeld de lengte, speciale tekens, wijziging om de zoveel tijd…)

Ons advies:

Verplicht je werknemers om een sterk wachtwoord te gebruiken. Hanteer minimum 8 tekens, maar meer is nog beter.

Verplicht ook minstens één speciaal teken, het gebruik van hoofd- en kleine letters dooreen, en een cijfer. Je werknemer verplichten om regelmatig van wachtwoord te veranderen wordt niet meer aangeraden. Je werknemer komt dan in de ver- leiding om hetzelfde wachtwoord voor verschillende diensten te gaan gebruiken.

10. Laat je je werknemers vrij om al dan niet een passwordmanager te gebruiken?

Ons advies:

Hoe sterker het wachtwoord, hoe moeilijker voor je werknemer om het te onthouden- en hoe sneller hij de kantjes ervan af gaat lopen. Een passwordmanager brengt de redding: je werknemer moet slechts één sterk wachtwoord onthouden, en de tool zal vanuit zijn database de nodige wachtwoorden voor de verschillende accounts ophalen. Passwordmanagers zijn verkrijgbaar als add-on voor de browser en als app voor het mobiele toestel. Een passwordmanager verplichten is een wijze beslissing.

11. Kunnen jouw werknemers cruciale log-ins uitvoeren zonder two-factor authentication?

Ons advies:

Tweestapsverificatie of two-factor authentication (2FA) voegt een extra stap toe aan het inlogproces. Buiten gebruikers- naam en wachtwoord wordt er ook een eenmalige, tijdelijke code aangemaakt die via sms of app naar je medewerker verstuurd wordt. Gebruik zeker voor cruciale logins 2FA, en adviseer je werknemers om er gebruik van te maken op elke plek waar het aangeboden wordt, zoals sociale media, mail, enz.

12. Maken je medewerkers gebruik van SSO (single-sign-on) of Microsoft Hello om in te loggen?

Ons advies:

SSO en Windows Hello zijn alternatieve manieren om je werknemers te laten inloggen. Met een SSO-oplossing hoeft je medewerker slechts één keer in te loggen op de software zelf, waarna die automatisch alle credentials invult voor de verschillende diensten die je werknemer daarna opent. Microsoft Hello van zijn kant is een specifiek protocol voor Windows-

Ja

Nee

ja

(6)

Nee Ja

Nee

13. Is de toegang tot bedrijfsgegevens beperkt op basis van nale-

Ja

vingsregels? (Bijvoorbeeld moeten je werknemers gebruik maken

van een VPN-verbinding om thuis connectie te maken met het bedrijfsnetwerk)

Ons advies:

Werk een duidelijk beleid uit waarin de regels uitgelegd worden die je werknemers moeten volgen om in te loggen op het bedrijfsnetwerk, en maak duidelijke afspraken over telewerken. Het gebruik van een VPN (een beschermde tunnel tussen de computer thuis en het bedrijfsnetwerk) is aan te raden, en inloggen vanop een onbeveiligde wifiverbinding bijvoorbeeld kan je verbieden.

14. Is er een duidelijk kader, wie administrator rechten heeft en wie niet? (Bijvoorbeeld bij de toegang tot Git server, issues tracker, cloud omgeving).

Ons advies:

Bepaal samen met je HR- en IT-afdeling een duidelijk kader dat vastlegt welke rol en rechten bij welke functie horen. In Microsoft 365 kan je die rollen haarfijn bepalen. Maak echter ook gewone gebruikers accounts aan voor die medewerkers en druk hen op het hart enkel in te loggen als admin voor taken waarin dit vereist is. Dat verlaagt de kansen op fouten uit verstrooidheid.

15. Heb je alarmen ingesteld voor ongebruikelijke handelingen met bedrijfsdata? (Bijvoorbeeld opvragen van bedrijfsdata van een vreemde locatie)

Ons advies:

Het is een extra bescherming tegen data-inbreuk om via de logs van het dataverkeer in het oog te houden of er zich onge- wone manipulaties voordoen. Hiervoor kan je beroep doen op software die je hiervan automatisch verwittigt via een alert.

Bij Microsoft 365 kan je deze alerts zelf netjes instellen in het security & compliance center. Let wel op dat je niet te ver gaat in het volgen van je werknemers - denk aan hun privacy!

16. Log je belangrijke acties van medewerkers zoals wanneer iemand rechten aanpast?

Ons advies:

Logs rond rechtenbeheer van een bepaalde software worden meestal automatisch aangemaakt in die applicatie. Zij kunnen Ja

Ja

(7)

Nee Ja

Nee

17. Heb je een duidelijk beleid hoe je toegang afneemt wanneer een

Ja

collega ontslagen wordt (exit policy)?

Ons advies:

Werk een duidelijke procedure uit, samen met je HR-afdeling, over wat gebeuren moet wanneer een werknemer ontslag neemt of krijgt. De informatie moet vanuit de HR-afdeling tijdig doorgegeven worden, en de maatregelen die de IT-afdeling neemt moeten alle terreinen omvatten: toegang tot bedrijfsnetwerk afschaffen, herverdeling van de taken en de documenten waaraan de persoon werkt, enz. Je kan bijvoorbeeld ook bepalen dat de mailbox blijft bestaan, zonder toegang voor de ex-werknemer uiteraard, maar dat die een groeps-box wordt zodat de mails toegankelijk blijven.

18. Vertrouw je erop dat je werknemers zich zelf informeren over de gevaren die schuilen in het openen van bijlages of klikken op links in verdachte e-mails?

Ons advies:

Hou je werknemers alert! Organiseer regelmatig workshops waarin de nieuwste dreigingen besproken worden. Overloop enkele recente security-incidenten die de wereldpers haalden, en waar, zoals zo vaak, een onvoorzichtigheid de oorzaak was van het euvel. En vergeet niet dat ook het manatement van je bedrijf regelmatig op de gevaren gewezen moet worden!

19. Worden jouw medewerkers geïnformeerd over de risico's ver- bonden aan social engineering of valse facturen?

Ons advies:

Niet alleen virussen en malware vormen een bedreiging, maar ook phishing. Leg je medewerkers uit dat discretie erg belangrijk is, ook op de sociale netwerken. Hackers gaan daar immers op zoek naar persoonlijke gegevens om zich dan als een vriend of collega voor te doen bij een gerichte phishing aanval (spear-phishing). Druk je medewerkers op het hart: bij twijfel, neem de telefoon en bel zelf naar de persoon waarvan een mail of Whatsapp-boodschap afkomstig zou zijn. Krijgt je medewerker plots het verzoek om een leverancier te betalen op een andere bankrekening? Ook daar is het advies: bel dat bedrijf op - niet naar het nummer vermeld op die factuur, maar naar het nummer in de eigen contactgegevens.

20. Neemt jouw onderneming systematisch back-ups van cruciale data?

Ons advies:

Back-ups beschermen je tegen verlies en/ of diefstal van data. Regelmatig back-ups maken blijft de boodschap - maar controleer ook of de back-ups van voldoende kwaliteit zijn. Je kan best over een back-up strategie van je bedrijf in zijn

Ja

Nee

Ja

(8)

Nee Ja

Nee

21. Bewaar je back-ups veilig op je eigen bedrijf?

Ja

Ons advies:

Bewaar de back-ups niet op je bedrijf zelf. Bij een calamiteit zoals brand is de kans groot dat dan ook je back-up verloren gaat. Offsite back-ups beschermen ook tegen cyberaanvallen zoals ransomware. Als jouw bedrijfsvoering geblokkeerd wordt door hackers, dan is een externe back-up soms het enige wat uit hun klauwen kan blijven. Een back-up in de cloud is aan te raden. Bij Combell worden de back-ups bewaard op servers in een hypermodern datacenter, dat extra beveiligd is, zowel fysiek als digitaal.

22. Heb je geavanceerde beveiligingssystemen geactiveerd zoals intrusie-detectie of event-log-managers met ingebouwde databescherming?

Ons advies:

Wil je volledig zeker zijn, maak dan gebruik van geavanceerde software of diensten die mogelijke gevaren tijdig opspo- ren. Een intrusion detection system (IDS) is een toestel of applicatie die het netwerk monitort naar kwaadwillige activiteit of inbreuken op het veiligheidsbeleid. Die inbreuken worden dan centraal verzameld via een security information event management systeem (SIEM). Met een Event Log Manager kan je de SIEM data analyseren.

23. Heb je een werkdocument om te reageren bij DDoS-aanvallen, hacking of een crash van een bedrijfskritische server?

Ons advies:

Net zoals je evacuatieplannen hebt om voorbereid te zijn op een brand in je bedrijf, dien je een werkdocument of draaiboek te hebben dat duidelijk stelt hoe er gereageerd moet worden bij een digitale calamiteit. Een belangrijke rol speelt niet alleen je eigen IT-afdeling, maar ook het hostingbedrijf van je website of applicatie. Maak duidelijke afspraken: vraag welke bevei- ligingsmaatregelen dat bedrijf neemt, en welke waarborgen het kan bieden in een Service Level Agreement (SLA) om je applicatie of website zo snel mogelijk terug in de lucht te brengen. Combell bijvoorbeeld biedt standaard een gewaarborgde 99,999% uptime!

24. Reken je erop dat de filters in de individuele mailprogramma's van je medewerkers afdoende werken zonder beveiligingsoplossin-

gen voor e-mailverkeer op niveau van jouw onderneming? (Bijvoorbeeld anti-spam)

Ons advies:

Nee

Ja

Nee

(9)

Nee

25. Is voor jou de beveiliging van de fysieke toegang tot je bedrijfs-

Ja

kantoor met bijvoorbeeld een badgesysteem, alarm, … minder belangrijk?

Ons advies:

Dreigingen voor de veiligheid van je bedrijfsgegevens spelen zich niet enkel op het digitaal vlak af met hackers of datalek- ken - ook fysiek dient je kantoor goed beveiligd te zijn. Inbrekers kunnen veel schade aanrichten aan je apparatuur maar een alarm zal hen op zijn minst afschrikken. Met toegangscontrole via badges bepaal je per kantoor of afdeling in je gebouw welke personeelsleden toegang hebben. Zo houd je onbevoegden buiten.

Nee

(10)

Combell ontwerpt, bouwt en beheert hostingdiensten met diepgaande kennis van de modernste technologieën. Bij ons kan je terecht voor oplossingen die beschermen tegen alle mogelijke dreigingen. Meer dan 250 experten staan klaar voor jou en je bedrijf. Of het nu gaat van simpele standaard webhosting, tot managed hosting op maat: voor elk beveiligingsrisico hebben wij een gepaste oplossing. Voor kleine vragen én grote projecten.

Wij weten hoe belangrijk je digitale aanwezigheid is voor jouw bedrijf, en zetten dan ook alles in op veiligheid. Het Combell Shield, standaard inbegrepen bij elke webhosting, beveiligt je hosting op verschillende niveaus. Zo ben je beschermd tegen allerlei mogelijke malware, van SQL-injecties en brute force attacks, tot DDoS- aanvallen en rootkits. Jouw website, applicatie en bestanden staan veilig in onze Tier 3+ datacenters, die 24/7 bewaakt worden en onderworpen zijn aan strenge

toegangscontrole. En voor bedrijfskritische processen en bestanden denken wij met je mee voor een optimale beveiliging.

Combell biedt 24x7 ondersteuning in de eigen taal, direct contact met de engineers die jouw diensten beheren, en harde garanties op serviceniveaus. Ons paradepaardje zijn onze Managed Services, die je volledig ontzorgen, van Managed Hosting tot gespecialiseerde diensten zoals Managed Kubernetes & container services. Wij

nemen technische taken van je over, en helpen je om je bedrijfsrisico's tot een absoluut minimum te beperken. In een Service Level Agreement leggen wij waarborgen vast voor verzekerde dienstverlening zoals een 99,999% uptime - zo slaap je op beide oren.

Hoe goed is jouw ITomgeving

omgeving beveiligd?