Updates installeren zonder IT-afdeling
Van alle tien maatregelen is dit degene die de meeste inbraken tegenhoudt. Aanvallers zoeken niet naar jouw bedrijf. Ze scannen het hele internet af op een lek waarvoor al maanden een update klaarstaat, en jij komt bovendrijven omdat je hem niet hebt geïnstalleerd.
Het lastige is dat niemand zich er eigenaar van voelt. De laptops updaten zichzelf misschien, de router staat in de meterkast sinds 2019, en van het pakket waar de planning in staat weet niemand wie erover gaat.
Vijf dingen maken dit rond, en ze kosten samen een middag.
Aanwijzen wie updates installeert
Zet er een naam bij. Doet je IT-partner het, schrijf op welke apparaten daar wel en niet onder vallen. In bijna elk klein bedrijf zit er iets buiten het contract: de router van de provider, een telefoon, een machine op de werkvloer, de website.
Dat gat is het punt. Niet dat er geen beheerder is, maar dat niemand weet welk deel van de spullen van niemand is.
Loop een keer alles langs wat aan het netwerk hangt en zet er per regel een naam bij. Twintig regels is voor een bedrijf van deze omvang normaal.
- 01Maak een lijst van alles wat aan internet hangt: laptops, telefoons, servers, router, camera's, machines, website.
- 02Zet per regel een naam: wij zelf, de IT-partner, of de leverancier.
- 03Kijk waar niets staat. Dat is je gat.
- 04Spreek af wie die overblijvers doet.
Vastleggen binnen welke termijn belangrijke updates worden geïnstalleerd
Niet elke update is dringend. Een update die een gat dicht waar al misbruik van wordt gemaakt, is dat wel. Het verschil zit in de melding die de leverancier erbij zet.
Een gangbare afspraak voor een klein bedrijf: kritieke updates binnen zeven dagen, de rest binnen een maand. Kies wat je waar kunt maken en schrijf het op. Een termijn die je niet haalt, is erger dan geen termijn, want dan sta je in je eigen dossier in gebreke.
Zet erbij wat je doet als het niet lukt. Soms kan een update niet meteen, omdat een pakket dan stopt met werken. Dan noteer je dat, met wat je in de tussentijd doet.
- 01Kies twee termijnen: een voor kritieke updates, een voor de rest.
- 02Schrijf op wie de klok bewaakt.
- 03Noteer per uitzondering waarom het niet kon en wat je in plaats daarvan doet.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt binnen hoeveel dagen je een kritieke update installeert. Zeven dagen met een lijst erachter is een antwoord; zo snel mogelijk niet.
Software vervangen waarvoor geen updates meer uitkomen
Software waarvoor de leverancier is gestopt, krijgt geen enkele reparatie meer. Elk gat dat na die datum wordt gevonden, blijft open. Dat is iets anders dan achterlopen met updates: hier valt niets meer in te halen.
Kijk vooral naar Windows-versies die uit de ondersteuning zijn, oude servers, en netwerkapparatuur van meer dan zeven jaar oud. Bij routers en NAS-kastjes gebeurt dit stilletjes; er komt geen melding als de leverancier stopt.
Kan iets echt niet weg, bijvoorbeeld een machine die met oude software wordt aangestuurd, zet het dan apart van de rest van het netwerk en schrijf op dat je dat hebt gedaan. Dat is een verdedigbare keuze; het niet weten is dat niet.
- 01Zoek per systeem op tot wanneer de leverancier ondersteuning geeft.
- 02Zet de datums in een lijstje, met de eerste bovenaan.
- 03Plan de vervanging van wat dit jaar afloopt.
- 04Wat niet weg kan: zet het apart van de rest en leg vast waarom.
SPF, DKIM en DMARC instellen op het maildomein
Ruim vier op de tien hacks beginnen doordat iemand klikt op een mail die van een leverancier lijkt te komen. Vaak is dat geen inbraak: de afzender is simpelweg nagemaakt, omdat het domein van die leverancier dat toelaat.
SPF, DKIM en DMARC zijn drie instellingen in de naamgeving van je domein. Samen zeggen ze: alleen deze servers mogen mail namens ons versturen, en wat daar niet bij hoort mag geweigerd worden. Ze kosten niets.
Dit is werk voor je IT-partner en het duurt hem ongeveer een uur. Jij hoeft alleen te vragen of alle drie aanstaan, en of DMARC op weigeren staat en niet alleen op meekijken.
Voor een leverancier is dit een van de weinige punten waar je met een klein bedrijf net zo goed scoort als een groot. Het staat aan of het staat niet aan.
- 01Vraag je IT-partner of SPF, DKIM en DMARC aanstaan op je domein.
- 02Vraag erbij of DMARC op weigeren staat, niet alleen op meekijken.
- 03Schrijf het antwoord op met de datum en van wie het kwam.
Een adres inrichten waar iemand van buiten een kwetsbaarheid kan melden
Dit is de goedkoopste maatregel in de hele lijst. Je maakt een mailadres aan, bijvoorbeeld security@jouwbedrijf.nl, en je zet op je website waar mensen een probleem kunnen melden.
Het gaat om de onderzoeker die per ongeluk iets vindt en het netjes wil doorgeven. Zonder adres belandt zo'n mail bij de verkoop of bij niemand, en dan hoor je het pas van je opdrachtgever.
Zet erbij binnen hoeveel dagen je reageert en dat je iemand die netjes meldt niet aansprakelijk stelt. Dat laatste is de reden dat mensen wel of niet melden.
Laat het adres bij twee mensen binnenkomen. Bij een is het weg zodra die op vakantie is.
- 01Maak een mailadres aan dat bij twee mensen binnenkomt.
- 02Zet een korte pagina op je site: waar te melden, binnen hoeveel dagen je reageert, en dat een nette melder niets te vrezen heeft.
- 03Test zelf of een mail aan dat adres echt aankomt.
Vaststellen hoe updates en kwetsbaarheden worden bijgehouden
Weten dat er een update is, komt voor het installeren ervan. Voor een klein bedrijf is de eenvoudigste weg: laat je IT-partner het melden, en schrijf je in op de waarschuwingen van het NCSC voor de systemen die je gebruikt.
Leg vast waar je kijkt en hoe vaak. Een keer per maand een halfuur is genoeg, plus meteen kijken bij een melding die het nieuws haalt.
Houd een lijstje bij van wat je hebt gedaan: datum, wat het was, wat je hebt geïnstalleerd. Dat lijstje is het bewijs dat de rest van deze pagina echt gebeurt.
- 01Spreek met je IT-partner af dat hij kritieke meldingen doorgeeft.
- 02Schrijf je in op de waarschuwingen van het NCSC.
- 03Zet een halfuur per maand in de agenda om het na te lopen.
- 04Houd een regel per keer bij: datum, wat, gedaan door wie.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Binnen hoeveel dagen moet ik een kritieke update installeren?
- De wet noemt geen getal. Voor een klein bedrijf is zeven dagen voor kritieke updates en een maand voor de rest een gangbare en verdedigbare afspraak. Wat telt is dat je een termijn hebt vastgelegd en dat je hem haalt.
- Wat is een kwetsbaarheid en hoe weet ik dat ik er een heb?
- Een fout in software waarmee iemand ergens binnen kan komen. Je hoort ervan via je IT-leverancier, via de waarschuwingen van het NCSC, of via de updatemelding van het pakket zelf. Voor kleine bedrijven zijn die drie bronnen samen ruim voldoende.
- Moet ik een meldpunt voor kwetsbaarheden hebben?
- Het hoort bij wat opdrachtgevers steeds vaker vragen, en het kost je een mailadres en een korte pagina. Zet erbij binnen hoeveel dagen je reageert en dat je een nette melder niet aansprakelijk stelt, anders meldt niemand iets.
- Wat doe ik met software die geen updates meer krijgt?
- Vervangen is de hoofdregel. Kan dat echt niet, bijvoorbeeld bij een machine met vaste besturingssoftware, zet het systeem dan apart van de rest van het netwerk en leg schriftelijk vast waarom en wat je in plaats daarvan doet.
- Mijn IT-partner regelt de updates. Ben ik dan klaar?
- Bijna. Zoek uit welke apparaten wel en niet onder dat contract vallen. In vrijwel elk klein bedrijf staat er iets buiten: de router van de provider, camera's, een telefoon, de website. Dat gat is precies waar het misgaat.