Hangt jouw beveiliging af van een oplader?

Elke nazomer duiken dezelfde blogs op van IT-bedrijven. Het advies is steeds hetzelfde. Laat je medewerkers hun laptop de avond voor de eerste werkdag aanzetten, aan de oplader, verbonden met internet. Dan draaien de updates ’s nachts en begint iedereen fris.

Goed bedoeld. En precies daar zit het probleem.

De tip die eigenlijk een bekentenis is

Lees dat advies nog eens, maar dan langzaam. Er staat dat je beveiligingsupdates alleen binnenkomen als je medewerker eraan denkt zijn laptop een nacht aan te laten.

Dat klinkt als een tip. Het is een bekentenis. Want als een apparaat weken achterloopt en de redding een vriendelijk verzoek aan de gebruiker is, dan heb je geen beleid. Dan heb je hoop. En hoop beveiligt niets.

Herken je dit? Dan ben je niet de enige. Bij veel bedrijven in het MKB draait de beveiliging stilletjes op de goede wil van mensen die daar nooit voor zijn aangenomen.

De verantwoordelijkheid is ongemerkt verschoven

Kijk eens naar alle adviezen die medewerkers de afgelopen jaren kregen. Klik niet op verdachte links. Kies een sterk wachtwoord. Vergrendel je scherm. Blijf van openbare wifi af. Zet je laptop op tijd aan voor de updates.

Elk advies klinkt redelijk. Tel ze bij elkaar op en je ziet wat er echt gebeurd is. De zorg voor informatiebeveiliging is stukje bij beetje bij de mensen terechtgekomen die er het minst voor toegerust zijn.

Je officemanager weet niets van patchmanagement. Dat hoeft ook niet. Ze heeft een baan, en die baan is niet om op een zondagavond in augustus het beveiligingsbeleid uit te voeren. Toch is dat wat we vragen zodra de veiligheid van je bedrijfsdata aan haar discipline hangt.

Medewerkers zijn geen verlengstuk van je IT. Ze zijn de reden dat je IT bestaat.

Gedrag telt, maar niet als fundament

Begrijp me goed. Gedrag doet ertoe. Een medewerker die een phishingmail herkent, is goud waard, en daar investeren we bij onze klanten flink in.

Maar er zit verschil tussen gedrag als extra laag en gedrag als fundament. Bewustwording hoort je laatste vangnet te zijn, voor als de techniek een keer iets doorlaat. Ze hoort bovenop een fundament te liggen dat al staat.

Een update die je veiligheid bepaalt, mag nooit vrijblijvend zijn. Die moet gewoon draaien, of iemand nu zijn laptop aanzet of de nieuwsbrief leest. Met goede endpointbeveiliging regel je dit een keer goed, waarna je apparaten zichzelf bijhouden.

De vakantie is een gratis audit

Die eerste werkdag na de zomer legt iets bloot dat er het hele jaar al zat.

Een laptop die twee weken uitstond en daarna een uur nodig heeft om bij te werken, hing daarvoor ook al aan het toeval. Je zag het alleen niet, omdat het apparaat elke dag even online kwam en de achterstand nooit opviel. De vakantie rekt die periode op en maakt zichtbaar wat er structureel scheef zit.

Zie september daarom als een gratis audit. Hoeveel apparaten meldden zich verouderd terug? Hoeveel mensen konden niet meteen inloggen? Hoeveel wachtwoorden waren verlopen? Elk signaal vertelt je iets over hoe je beheer echt in elkaar zit. Het zijn stuk voor stuk signalen dat je IT beter geregeld kan worden.

Bedenk ook dat aanvallers de schoolvakanties net zo goed kennen. Iemand die terugkomt bij driehonderd ongelezen mails en zich haast, is een makkelijk doelwit. Juist dan wil je dat de techniek klaarstaat.

Hoe het hoort

De standaard is niet ingewikkeld. Een apparaat dat niet aan de eisen voldoet, komt niet bij je bedrijfsdata. Punt. Het werkt zichzelf eerst bij en mag daarna pas bij de gegevens die het moet beschermen.

Dit is geen toekomstmuziek. De techniek bestaat al jaren en zit vaak in de Microsoft 365-licenties die je al betaalt. De tools heb je dus al. Wat ontbreekt is de keuze om ze in te richten en af te dwingen.

Het resultaat? De vraag verdwijnt. Je medewerker zet de laptop aan, het systeem doet de rest, en jij kunt aantonen dat het geregeld is. Ook dat telt, want een toezichthouder, verzekeraar of opdrachtgever neemt geen genoegen met “we hebben het gevraagd”. Met de Cyberbeveiligingswet en NIS2 op komst wordt dat aantoonbaar zijn alleen maar belangrijker.

De vraag voor na de zomer

Stel jezelf straks dus niet de vraag of je mensen hun laptop op tijd aanzetten. Stel de vraag erachter. Waarom hangt mijn veiligheid daar eigenlijk van af?

Weet je het antwoord niet, dan is dat het eerste gesprek dat je na de vakantie voert. Wij denken daar graag in mee, als regiepartner die de techniek en het overzicht voor je bewaakt. Maar voer het gesprek vooral, met wie dan ook. Want een organisatie die haar veiligheid aan goede wil overlaat, heeft geen beveiligingsprobleem. Ze heeft een regieprobleem.