Een medewerker klikt op een valse link voor het resetten van een wachtwoord op een vrijdag om 17.00 uur. Op maandagochtend is de bestandenserver versleuteld door ransomware, is de e-maildienst buiten werking en weet niemand of de laatste back-up werkt.
Dit scenario raakt bedrijven van alle groottes, en de reactie beperkt zich niet tot het installeren van antivirussoftware. Het versterken van de digitale beveiliging van uw bedrijf in 2024 vereist specifieke technische keuzes, een geteste organisatie en echte discipline op het gebied van toegang.
Passkeys en phishing-resistente authenticatie
Phishing blijft de belangrijkste toegangspoort voor significante aanvallen op Franse bedrijven. Campagnes beperken zich niet meer tot e-mails: SMS, telefoongesprekken en valse inlogportalen op mobiel vergroten de blootstellingsoppervlakken. Gezien deze situatie is de eenvoudige combinatie van gebruikersnaam en wachtwoord niet meer voldoende, zelfs niet met een tweede factor via SMS.
Passkeys veranderen de spelregels. Gebaseerd op asymmetrische cryptografie, elimineren ze het overdraagbare wachtwoord en maken ze klassieke phishing ineffectief. We onderscheiden twee categorieën afhankelijk van het gewenste niveau van zekerheid.
- Gesynchroniseerde passkeys repliceren zich tussen de apparaten van hetzelfde ecosysteem (Apple, Google, wachtwoordbeheerder). Handig voor dagelijks gebruik, zijn ze geschikt voor standaard bedrijfsapplicaties.
- Apparaatgebonden passkeys blijven opgeslagen op een hardwaretoken of een geïntegreerde beveiligingsmodule. Ze bieden een hoger niveau van zekerheid voor kritieke toegang: beheerdersconsole, VPN, gevoelige databases.
- De keuze tussen de twee hangt af van het risico dat aan elke bron is verbonden. Het combineren van beide binnen dezelfde organisatie is niet alleen mogelijk, maar ook aan te raden.
Wat betreft de implementatie, beginnen we met de privilege-accounts (systeembeheerders, financiële verantwoordelijken) en breiden we geleidelijk uit. De ervaringen variëren wat betreft de adoptiegemak afhankelijk van de leeftijdsgroepen en digitale gewoonten, maar de leercurve blijft kort zodra er interne begeleiding is.
Om de uitdagingen van de bescherming van informatiesystemen verder te verkennen, bieden de beschikbare bronnen op de beveiligingssectie van Open Syd een beter inzicht in de oplossingen die geschikt zijn voor KMO’s.
Logging en bewijs: wat de autoriteiten verwachten na een incident
Veel bedrijven investeren in preventie en verwaarlozen volledig de traceerbaarheid. De Franse autoriteiten, met de CNIL voorop, benadrukken nu de combinatie van MFA, logging en controle van externe toegang als basisbewijs in geval van een incident. Zonder deze elementen loopt een bedrijf dat slachtoffer wordt van een cyberaanval niet alleen het risico op operationele schade, maar ook op een sanctie wegens het ontbreken van passende beveiligingsmaatregelen.
Concreet betekent loggen het registreren van verbindingen, mislukte toegangspogingen, wijziging van rechten en overdrachten van grote bestanden. Deze logs moeten tijdgestempeld zijn, bewaard worden voor een periode die in overeenstemming is met de regelgeving en opgeslagen worden op een aparte ruimte van het gecontroleerde systeem.
Een bruikbare logging opzetten
Een logboek dat duizenden regels genereert zonder dat men weet hoe deze te lezen, heeft geen nut. We definiëren eerst de gebeurtenissen die we willen vastleggen: authenticaties, privilege-escalaties, toegang tot persoonlijke gegevens. Vervolgens configureren we waarschuwingen voor abnormaal gedrag (verbinding vanuit een ongebruikelijk land, toegang om 3 uur ‘s nachts op een werkstation dat normaal overdag wordt gebruikt).
De grootte van de opslag en de bewaartermijn hangen af van de sector en het volume van de verwerkte gegevens. Het centraliseren van logs op een dedicated server of een externe service voorkomt dat een aanvaller zijn sporen uitwist door de doelmachine te compromitteren.
Geteste back-ups en incidentresponsplan
De meerderheid van de bedrijven beweert back-ups te maken. Heel weinigen testen regelmatig de herstelprocedures. Het verschil tussen de twee wordt duidelijk op de dag dat ransomware de hoofdserver versleutelt.
De CNIL raadt expliciet back-ups aan die buiten het netwerk van het bedrijf zijn opgeslagen, met periodieke hersteltests. Een externe schijf die continu op de server is aangesloten, is geen bruikbare back-up: deze zal tegelijkertijd worden versleuteld met de rest.
De respons organiseren vóór de crisis
Een incidentresponsplan wordt niet tijdens de aanval geschreven. We bereiden van tevoren een reflexfiche voor die vier vragen behandelt.
- Wie neemt de beslissing om een server te isoleren of een VPN-toegang te sluiten? De besluitvormingsketen moet duidelijk zijn, ook in afwezigheid van de leidinggevende.
- Hoe communiceren we als de e-maildienst is gecompromitteerd? Een noodkanaal (versleutelde berichten op een persoonlijk telefoon, noodtelefoonnummer) moet worden gedefinieerd.
- Welke dienstverleners moeten we bellen en in welke volgorde? Hostingprovider, leverancier van de bedrijfssoftware, cyberverzekeraar, autoriteiten (ANSSI voor de betrokken operators, CNIL als er persoonlijke gegevens zijn blootgesteld).
- Waar bevinden de back-ups zich en wie heeft de inloggegevens om toegang te krijgen? Dit punt lijkt triviaal totdat de enige geïnformeerde persoon met verlof is.
Beheer van externe toegang en netwerkscheiding
Thuiswerken heeft het aantal toegangspunten tot informatiesystemen vermenigvuldigd. Een slecht geconfigureerde VPN of een open RDP-toegang op het internet vormt een directe toegangspoort voor een aanvaller die inloggegevens via phishing heeft verkregen.
Elke externe toegang moet via een versleutelde tunnel met actieve multi-factor authenticatie verlopen. Generieke toegang die door meerdere personen wordt gedeeld (één “admin” account voor het hele team) moet worden vermeden: deze maakt logging nutteloos omdat we een actie niet aan een individu kunnen toeschrijven.
Segmenteren om de verspreiding te beperken
Op een plat netwerk geeft een gecompromitteerde werkplek toegang tot alle bronnen. Het segmenteren van het netwerk in zones (werkstations, bedrijfsservers, back-ups, verbonden objecten) beperkt de laterale verspreiding van een aanval. We passen firewallregels toe tussen elk segment om alleen de strikt noodzakelijke stromen toe te staan.
Deze aanpak sluit aan bij de principes van het zero trust-model: geen enkel apparaat of gebruiker wordt standaard als betrouwbaar beschouwd, zelfs niet binnen het netwerk. Vertrouwen wordt bij elke aanvraag gecontroleerd, niet een keer voor altijd op het moment van de VPN-verbinding.
Het Europese regelgevingskader is recentelijk aangescherpt met betrekking tot incidenten en de veerkracht van digitale producten. Wachten op de volgende aanval om uw digitale beveiliging te structureren is als het afsluiten van een verzekering na de brand. De hier beschreven maatregelen vereisen geen aanzienlijk budget, maar ze vereisen tijd, discipline en vooral regelmatige tests om te controleren of ze werken op de dag dat we ze nodig hebben.
