Vijf digitale risico's die het mkb onderschat
Een domeinnaam op naam van de webbouwer, een oud-medewerker die nog kan inloggen, een ongeteste back-up. Vijf onzichtbare risico’s en hoe je ze controleert.
In dit artikel
Als ondernemers aan digitale risico’s denken, denken ze aan een hacker in een donkere kamer. De meeste problemen zijn veel alledaagser. Ze zitten in dingen die ooit snel zijn geregeld en daarna nooit meer bekeken. Niemand merkt er iets van, tot de dag dat het misgaat.
Hieronder vijf van die onzichtbare risico’s, met per risico hoe je het in een kwartier controleert.
1. Accounts zonder tweestapsverificatie
De meest voorkomende manier waarop een bedrijf wordt binnengedrongen, is simpelweg een gestolen wachtwoord. Een phishingmail, een hergebruikt wachtwoord dat uitlekte bij een webwinkel, en iemand logt in op je mailbox. Van daaruit kan hij facturen aanpassen, meelezen en wachtwoorden van andere diensten herstellen.
Controle: staat tweestapsverificatie aan voor alle accounts in Microsoft 365, ook voor die van de directeur, de beheerder en die ene gedeelde account? En op je boekhoudpakket, bank, website en social media?
Meer: MFA en Conditional Access voor het mkb.
2. Je domeinnaam en accounts staan op andermans naam
De domeinnaam staat op naam van de webbouwer van vijf jaar geleden. Het Google Bedrijfsprofiel is ooit aangemaakt door een stagiair. Het advertentieaccount staat op naam van een vorig bureau. Het werkt allemaal, tot je van partij wilt wisselen of er een conflict is. Dan blijkt dat je geen eigenaar bent van je eigen adres, profiel of advertentiegeschiedenis.
Controle: op wiens naam staat de domeinnaam? Wie is eigenaar van je Google Bedrijfsprofiel, je advertentieaccounts, je social-mediapagina’s en je Microsoft 365-omgeving? Het antwoord moet steeds zijn: je bedrijf, met jou als eigenaar.
Meer: domeinnaam kiezen en registreren en Google Bedrijfsprofiel aanmaken en verifiëren.
3. Oud-medewerkers hebben nog toegang
Het account van de collega die vorig jaar vertrok, staat nog aan “voor het geval dat”. Of het account is wel geblokkeerd, maar de wachtwoorden van het leveranciersportaal en de bedrijfs-Instagram die hij kende, zijn nooit gewijzigd.
Controle: loop de gebruikerslijst in Microsoft 365 na, en daarna de gebruikers in je andere systemen. Staan er namen tussen van mensen die niet meer bij je werken? Blokkeer ze en wijzig gedeelde wachtwoorden.
Meer: IT-checklist bij in- en uitdiensttreding.
4. De back-up is nooit getest
“We hebben een back-up.” Maar is er ooit iets teruggezet? Veel back-ups blijken bij de eerste echte test onvolledig: de mail zat er niet in, de laatste versie is van maanden geleden, of niemand weet hoe terugzetten werkt. Bij ransomware of een verkeerde klik is dat precies het moment waarop je het ontdekt.
Controle: zet een bestand, een map of een mailbox terug. Is alles er? Hoe lang duurde het? Staat de back-up los van je eigen omgeving?
Meer: back-up van Microsoft 365 en ransomware: wat doe je dan. Wie een cyberverzekering overweegt: veel verzekeraars vragen naar je back-up, zie cyberverzekering voor het mkb.
5. Alles hangt bij één persoon
Eén collega weet hoe de website werkt, heeft het beheeraccount van Microsoft 365, kent het wachtwoord van de router en beheert de social media. Die collega is goud waard, tot hij ziek is, op vakantie gaat of vertrekt.
Controle: stel je voor dat die persoon morgen een maand weg is. Kun je dan bij je beheeraccounts, weet iemand hoe je een nieuwe medewerker toevoegt, en waar staan de wachtwoorden? Een zakelijke wachtwoordmanager en een tweede beheerder lossen veel op. Zie zakelijke wachtwoordmanager.
Een middag, niet een project
Deze vijf controles zijn samen een middag werk. Het oplossen is vaak minder werk dan gedacht: tweestapsverificatie aanzetten, een domein laten overzetten, een paar accounts blokkeren, een back-up testen, een tweede beheerder aanwijzen. Het verschil is dat het daarna geregeld is, in plaats van dat het ooit ergens misgaat.
Wil je een bredere lijst, bekijk dan ook onze checklist voor je digitale basis.
Hoe SEBA Connect hierbij helpt
Bij Microsoft 365-beheer en de moderne werkplek regelen we tweestapsverificatie, in- en uitdiensttreding en toegangsbeheer; bij hosting en onderhoud back-ups die we ook echt terugzetten. En we zorgen dat domein, omgeving en gegevens op naam van jouw bedrijf staan. Stel je vraag.
Veelgestelde vragen
Wat zijn de grootste digitale risico's voor een mkb-bedrijf?
Vaak zijn het geen spectaculaire hacks, maar onzichtbare zwakke plekken: accounts zonder tweestapsverificatie, domeinnamen en accounts op naam van iemand anders, oud-medewerkers die nog toegang hebben, back-ups die nooit zijn getest en belangrijke accounts die bij één persoon hangen.
Hoe controleer ik op wiens naam mijn domeinnaam staat?
Voor .nl-domeinen kun je de houder opzoeken via de opzoekdienst van SIDN of vragen aan je hostingpartij. Log daarnaast in op het klantpaneel bij je registrar en controleer of het domein op naam van je bedrijf staat en of automatische verlenging aanstaat.
Hoe weet ik of oud-medewerkers nog toegang hebben?
Loop in Microsoft 365 de lijst met gebruikers na op namen van mensen die niet meer bij je werken, en doe hetzelfde bij je boekhoudpakket, website, advertentieaccounts, social media en Google Bedrijfsprofiel. Wijzig ook gedeelde wachtwoorden die zij kenden.
Hoe vaak moet ik mijn back-up testen?
Minstens een paar keer per jaar, en na grote wijzigingen. Zet echt een bestand, map of mailbox terug en kijk of alles er is en hoe lang het duurt. Een back-up die je nooit hebt teruggezet, is een aanname.