Een medewerker opent op maandagochtend een e-mail die van een vaste leverancier lijkt te komen. De bijlage vraagt om in te loggen om een factuur te bekijken. Een paar klikken later werkt de administratie niet meer zoals verwacht en blijkt een gedeelde map onbereikbaar. Dit soort situaties vormt de aanleiding voor deze casestudy netwerkbeveiliging mkb. Niet omdat ieder bedrijf direct met een grote aanval te maken krijgt, maar omdat kleine zwakke plekken zich ongemerkt kunnen opstapelen.
De onderstaande situatie is gebaseerd op veelvoorkomende vragen bij lokale ondernemingen. Het bedrijf is geanonimiseerd, maar de aanpak en keuzes zijn praktisch toepasbaar voor winkels, kantoren, zorgverleners, administratiekantoren en andere mkb-bedrijven zonder eigen IT-afdeling.
De startsituatie: een netwerk dat vooral moest werken
Het bedrijf in deze casus heeft twaalf medewerkers, een kantoorruimte en een kleine opslag. Er zijn laptops voor administratie en verkoop, vaste pc’s, een printer, een NAS voor gedeelde bestanden, wifi voor personeel en een apart gastennetwerk. Ook hangen er enkele IP-camera’s en is er apparatuur voor voorraadbeheer aanwezig.
In de loop der jaren was het netwerk organisch gegroeid. Een nieuwe laptop werd aangesloten wanneer dat nodig was, een wifi-punt kwam erbij wegens slecht bereik en een oud wachtwoord bleef in gebruik omdat meerdere medewerkers ermee werkten. Dat is begrijpelijk. De dagelijkse werkzaamheden gaan voor, en zolang iedereen kan printen, mailen en bij bestanden kan, lijkt er weinig aan de hand.
Toch kwamen er signalen. De wifi was soms traag, een voormalige medewerker bleek nog toegang te hebben tot een online dienst en de back-up draaide wel, maar niemand kon met zekerheid vertellen of herstel ook daadwerkelijk getest was. De eigenaar wilde geen ingewikkeld beveiligingsproject. Wel wilde hij weten waar de echte risico’s zaten en welke maatregelen redelijk waren voor zijn bedrijf.
Casestudy netwerkbeveiliging mkb: eerst overzicht maken
De eerste stap was geen nieuwe firewall of dure software. Eerst is in kaart gebracht wat er daadwerkelijk op het netwerk stond en wie waarvoor toegang nodig had. Dat klinkt eenvoudig, maar juist hier zit bij kleinere organisaties vaak de winst.
Er is gekeken naar werkplekken, mobiele apparaten, printers, camera’s, netwerkapparatuur, cloudaccounts en gedeelde opslag. Daarbij werd ook vastgesteld welke apparaten nog updates ontvingen en welke systemen met een lokaal beheerdersaccount werkten. Oude apparatuur is niet per definitie onveilig, maar apparaten zonder beveiligingsupdates verdienen wel extra aandacht.
Ook de gegevensstromen zijn besproken. Welke bestanden mogen medewerkers thuis openen? Waar staan klantgegevens? Wie beheert wachtwoorden, domeinnamen en licenties? En wat gebeurt er als de NAS uitvalt of een laptop wordt gestolen? Door die vragen samen met de eigenaar door te nemen, ontstond een helder beeld zonder technisch jargon.
De belangrijkste conclusie was dat niet één groot lek het risico bepaalde. Het ging om een combinatie van gedeelde accounts, te ruime toegangsrechten, apparaten op hetzelfde netwerk en een back-up die onvoldoende losstond van de dagelijkse omgeving.
De keuze: scheiden waar dat zinvol is
Alle apparaten zaten op hetzelfde netwerk. Daardoor kon een besmette laptop in theorie ook proberen de printer, camera’s of gedeelde opslag te bereiken. Volledige afscheiding is niet altijd nodig, maar een zakelijke omgeving wordt overzichtelijker en veiliger wanneer apparaten alleen toegang krijgen tot wat zij nodig hebben.
De oplossing was netwerksegmentatie. Medewerkers kregen een beveiligd bedrijfsnetwerk. Gasten kregen een eigen wifi-netwerk zonder toegang tot bestanden of printers. Camera’s en voorraadapparatuur kwamen in een apart segment, met alleen de benodigde verbindingen naar de beheerapplicatie. De NAS bleef bereikbaar voor de juiste gebruikers, maar niet meer vanaf ieder willekeurig apparaat.
Dit had ook een praktisch voordeel: storingen zijn sneller te vinden. Als een camera geen verbinding heeft, hoeft niet het hele kantoorwifi-netwerk onderzocht te worden. Segmentatie is dus niet alleen een maatregel tegen misbruik, maar maakt beheer rustiger en overzichtelijker.
Er is bewust niet gekozen voor een overdreven complex ontwerp. Voor een bedrijf van twaalf medewerkers moet beveiliging te beheren blijven. Te veel uitzonderingen, regels en losse oplossingen maken een netwerk uiteindelijk juist kwetsbaarder, omdat niemand meer weet waarom iets is ingesteld.
Toegang regelen zonder het werk te vertragen
Daarna zijn de accounts aangepakt. Medewerkers kregen een eigen gebruikersaccount in plaats van een gedeelde inlog. Voor e-mail, cloudopslag en beheeraccounts werd multifactorauthenticatie ingesteld. Bij het inloggen is dan naast het wachtwoord een extra bevestiging nodig, bijvoorbeeld via een app op de telefoon.
Dat kost enkele seconden extra, maar voorkomt veel schade bij een gelekt wachtwoord. Vooral e-mailaccounts verdienen aandacht. Wie toegang heeft tot de zakelijke mailbox kan wachtwoorden van andere diensten opnieuw instellen, berichten namens het bedrijf versturen en facturen onderscheppen.
De eigenaar was bezorgd dat medewerkers de extra stap lastig zouden vinden. Daarom is de instelling rustig per persoon uitgelegd en direct getest. Binnen een week was het onderdeel van de routine. De ervaring leert dat medewerkers beveiliging beter accepteren als zij begrijpen waarvoor een maatregel dient en als zij bij vragen iemand kunnen bellen.
Ook zijn rechten op gedeelde mappen opnieuw bekeken. Niet iedere medewerker hoeft bij personeelsgegevens, financiële documenten of alle klantdossiers te kunnen. Minder toegang is geen kwestie van wantrouwen. Het beperkt de gevolgen als een account per ongeluk of door misleiding in verkeerde handen valt.
Back-up: niet alleen maken, maar kunnen herstellen
De bestaande back-up werd elke nacht gemaakt op een apparaat dat voortdurend met het netwerk verbonden was. Dat is beter dan geen back-up, maar niet voldoende als ransomware ook die back-up kan versleutelen of verwijderen.
Daarom is gekozen voor meerdere kopieën. De dagelijkse bestanden bleven beschikbaar voor snel herstel. Daarnaast kwam er een aparte, afgeschermde kopie die niet permanent vanuit alle werkplekken bereikbaar was. Voor belangrijke cloudgegevens werd ook gecontroleerd welke herstelmogelijkheden beschikbaar waren. Een cloudomgeving beschermt namelijk niet automatisch tegen een medewerker die een map verwijdert of tegen een account dat wordt misbruikt.
Vervolgens is een hersteltest uitgevoerd. Een map met documenten is teruggezet naar een testlocatie en een bestand is geopend. Dat klinkt als een klein detail, maar het maakt het verschil tussen hopen dat een back-up werkt en weten dat herstel mogelijk is. Afgesproken is om dit ieder kwartaal kort te testen en de uitkomst vast te leggen.
Updates, apparatuur en monitoring
Verschillende laptops liepen achter met updates. Ook bleek de firmware van de router al langere tijd niet bijgewerkt. Dat soort onderhoud gebeurt makkelijk te laat, zeker als apparatuur ogenschijnlijk goed functioneert. Maar beveiligingsupdates dichten juist bekende fouten waar criminelen actief naar zoeken.
Er is een vast onderhoudsmoment ingesteld voor updates van computers, netwerkapparatuur en beveiligingssoftware. Werkplekken worden waar mogelijk automatisch bijgewerkt, terwijl kritieke updates eerst buiten drukke uren worden gepland. Bij sommige oudere apparaten was vervangen verstandiger dan blijven repareren. De afweging was nuchter: een apparaat dat nog werkt, hoeft niet altijd weg. Maar als ondersteuning ontbreekt en het een belangrijke functie heeft, kan vervangen goedkoper zijn dan een dag stilstand.
De router en wifi-apparatuur kregen daarnaast betere logregistratie en meldingen bij opvallende inlogpogingen. Monitoring hoeft voor een klein bedrijf geen scherm vol technische grafieken te zijn. Een bruikbare melding over een onbekend apparaat, mislukte aanmeldingen of een uitgevallen back-up is vaak al genoeg om op tijd in te grijpen.
Wat veranderde er in de praktijk?
Na de aanpassingen was het netwerk niet alleen beter beschermd, maar ook duidelijker ingericht. Nieuwe medewerkers krijgen nu een eigen account en alleen de rechten die bij hun werk horen. Bij uitdiensttreding kan toegang meteen worden ingetrokken. Gastwifi wordt niet meer gedeeld met bedrijfsapparatuur en de eigenaar weet waar de belangrijkste gegevens staan.
Ook de reactiesnelheid bij problemen verbeterde. Toen een medewerker een verdachte e-mail ontving, wist zij dat de bijlage niet geopend moest worden en meldde zij dit direct. De mailbox kon worden gecontroleerd voordat er schade ontstond. Dat is een resultaat dat je niet altijd in cijfers ziet, maar dat wel degelijk waarde heeft.
Voor lokale ondernemers is dit de kern: netwerkbeveiliging is geen eenmalige aankoop. Het is een combinatie van goed ingerichte apparatuur, actuele software, werkende back-ups en duidelijke afspraken. De precieze oplossing hangt af van het aantal medewerkers, de gegevens die u verwerkt en de apparatuur die u gebruikt.
Wie twijfelt over de eigen situatie, hoeft niet direct alles te vervangen. Begin met inzicht: welke apparaten zijn verbonden, wie heeft toegang en kunt u uw belangrijkste bestanden daadwerkelijk terugzetten? Met een praktische controle en een paar gerichte verbeteringen wordt een netwerk stap voor stap beter beheersbaar – en blijft de aandacht waar die hoort: bij uw bedrijf en uw klanten.