Cybersecurity checklist voor kmo's: 15 punten om na te gaan

Bijna de helft van de Vlaamse bedrijven, 45,8%, kreeg in 2024 te maken met een cyberaanval (VLAIO Cyberbarometer). De meeste aanvallen op kmo’s zijn niet geavanceerd. Ze lukken omdat iets basaals niet in orde was: een wachtwoord dat al uitgelekt was, een update die bleef liggen, een back-up die nooit getest werd.

Deze cybersecurity checklist helpt u nagaan waar uw bedrijf staat, ook zonder IT-afdeling. Vink aan wat bij u in orde is. Elk vakje dat leeg blijft, is een concrete actie. Wat u aanvinkt, blijft op uw eigen toestel. Liever op papier? Download de checklist als PDF (1 pagina, A4).

Accounts en wachtwoorden

• 1. Staat tweestapsverificatie aan op e-mail en op alles wat van buitenaf bereikbaar is?

  Een wachtwoord alleen is niet genoeg meer. Met een extra code via een app op de gsm is een gestolen wachtwoord niet meer voldoende om binnen te geraken. Begin bij e-mail: dat is de sleutel tot bijna al de rest. Let wel op: ook tweestapsverificatie is te omzeilen. Lees hoe aanvallers dat vandaag doen.

• 2. Gebruikt iedereen een wachtwoordmanager, en is geen enkel wachtwoord hergebruikt?

  Hergebruikte wachtwoorden zijn de makkelijkste weg naar binnen. Een wachtwoordmanager lost dat op. Twijfelt u over een wachtwoord? Test het met onze wachtwoordchecker.

• 3. Worden accounts van vertrokken medewerkers en leveranciers binnen een dag afgesloten?

  Een account dat blijft werken na iemands vertrek, is een open deur, soms nog maanden later. Laat beheerders bovendien werken met een apart account voor beheertaken.

Updates en toestellen

• 4. Worden updates binnen 14 dagen geïnstalleerd, ook op servers, firewall en VPN?

  De meeste aanvallen misbruiken zwakke plekken waar allang een update voor bestaat. Vergeet de toestellen niet waar niemand naar omkijkt: printers, camera’s, de router.

• 5. Heeft u een overzicht van alle toestellen en software in uw bedrijf?

  U kunt niet beveiligen wat u niet kent. Een eenvoudige lijst is al een goed begin.

• 6. Zijn laptops versleuteld en vergrendelen ze vanzelf?

  Een gestolen laptop zonder versleuteling betekent dat alle bestanden erop meegenomen zijn. Bij Windows heet die versleuteling BitLocker, bij een Mac FileVault. Meestal staat ze met een paar klikken aan.

Back-ups

• 7. Staat er minstens één back-up buiten uw netwerk, die niet gewist of versleuteld kan worden?

  Ransomware zoekt eerst naar uw back-ups. Een kopie die altijd verbonden is met uw netwerk, wordt mee versleuteld.

• 8. Heeft u de voorbije drie maanden een back-up echt teruggezet?

  Een back-up die u nooit test, bestaat in de praktijk niet. Pas bij het terugzetten blijkt of alles er echt in zit.

• 9. Weet u hoelang uw bedrijf stilligt als alles weg is?

  Dagen? Weken? Bereken met onze ransomware calculator wat een aanval uw bedrijf zou kosten, of lees wat ransomware echt kost.

Medewerkers

• 10. Krijgen medewerkers minstens jaarlijks een opleiding om phishing te herkennen?

  De meeste aanvallen beginnen met een mail. Een korte, praktische opleiding met voorbeelden uit de Belgische praktijk maakt het verschil.

• 11. Weet u hoeveel medewerkers op een valse link zouden klikken?

  Met een phishing simulatie meet u het, in plaats van te gokken. Lees ook waarom medewerkers blijven klikken.

• 12. Is er een vaste regel voor betalingen en gewijzigde rekeningnummers?

  Een mail van “de baas” of een “leverancier” met een nieuw rekeningnummer is een klassieke oplichterstruc. De regel: altijd terugbellen, op een nummer dat u al kende.

Als het toch misgaat

• 13. Weet iedereen wie hij moet bellen bij een cyberaanval?

  Uw IT-partner, uw verzekeraar, uw bank. Schrijf die nummers op en hang ze op, want bij een aanval werkt uw e-mail misschien niet meer.

• 14. Weet u dat u een datalek binnen 72 uur moet melden?

  Lekken er persoonsgegevens uit, dan moet u dat binnen 72 uur melden bij de Gegevensbeschermingsautoriteit. Een cyberincident kunt u ook melden bij het CCB via Safeonweb.

• 15. Heeft een externe partij ooit getest hoe ver een aanvaller zou geraken?

  Uw eigen IT-partner kent de systemen te goed om nog verrast te worden. Een onafhankelijke cybersecurity audit of een pentest vindt de blinde vlekken.

Hoeveel vakjes bleven leeg?

• 0 tot 2 leeg: u heeft de basis op orde. De volgende stap is laten testen of die maatregelen ook standhouden.
• 3 tot 6 leeg: er zijn duidelijke gaten. Begin bij de accounts en de back-ups, daar is de winst het grootst.
• 7 of meer leeg: uw bedrijf is een makkelijk doelwit. Pak deze week nog punt 1 en punt 8 aan.

Wilt u de lijst afdrukken of doorgeven aan uw IT-partner? Download de checklist als PDF.

Liever een score per domein? Doe onze gratis security assessment: twaalf vragen, met meteen concrete verbeterpunten.

Valt uw bedrijf onder NIS2? Dan zijn de meeste punten op deze lijst geen aanrader meer, maar een verplichting.

Wat een checklist niet vertelt

Een checklist toont wat u denkt dat in orde is. Of dat ook zo is, merkt u pas als iemand het probeert. Tweestapsverificatie kan aanstaan en toch omzeild worden via een oud protocol. Een back-up kan bestaan, maar gewist worden door hetzelfde beheerdersaccount dat een aanvaller net in handen kreeg.

Daarvoor dient een test door ethisch hackers: met uw toestemming en zonder schade, en u krijgt een rapport in gewone taal.

Wilt u weten hoe uw bedrijf er echt voor staat? Plan een vrijblijvend gesprek van 30 minuten met een van onze ethisch hackers.