Lokale netwerkbeveiliging & AI-hardening.

Accounts en toegang

• Gebruik unieke wachtwoorden. Bewaar ze in een goedgekeurde wachtwoordmanager en wijzig standaardwachtwoorden.
• Schakel multifactorauthenticatie in. Begin bij e-mail, beheeraccounts, remote access en back-upbeheer.
• Beperk beheerrechten. Geef dagelijks gebruikte accounts geen onnodige administratorrechten en trek vertrokken accounts direct in.

Netwerk en apparaten

• Installeer beveiligingsupdates. Houd routers, computers, telefoons, camera's en slimme apparaten actueel.
• Scheid apparaten waar passend. Plaats gasten- en IoT-apparaten op een apart netwerk als de apparatuur dat ondersteunt.
• Controleer externe toegang. Schakel ongebruikte poorten, accounts en externe beheerfuncties uit. Gebruik beveiligde toegang met individuele accounts.
• Inventariseer AI-diensten. Deel geen klantgegevens, broncode of vertrouwelijke bestanden met een AI-dienst voordat gebruik, instellingen en voorwaarden zijn beoordeeld.

Lees ook de informatie van de Rijksoverheid over cybercrime en cybersecurity.

Netwerken gescheiden houden

• Sluit een bedrijfspc thuis bij voorkeur aan op een gastnetwerk. Gebruik een apart wifi-netwerk dat losstaat van je gewone thuisnetwerk, privécomputers en opslag. Controleer of gasttoegang ook echt toegang tot andere apparaten blokkeert; alleen een andere netwerknaam is geen garantie.
• Volg het IT-beleid van je organisatie. Gebruik bedrijfsapparatuur thuis alleen volgens de afspraken van je werkgever en vraag IT om hulp als je niet weet welk netwerk veilig is.
• Beperk toegang tussen netwerken. Laat gast- en IoT-apparaten niet zonder noodzaak bij bedrijfsapparaten, gedeelde mappen, printers of netwerkopslag kunnen. Laat router- en firewallinstellingen zo nodig controleren.

Tor en .onion op bedrijfsapparatuur

• Breng gebruik en behoefte in kaart. Bepaal of Tor-software of toegang tot .onion-diensten een goedgekeurde zakelijke reden heeft. Tor en .onion zijn niet per definitie illegaal, maar kunnen buiten het gewone zicht van webfilters en beveiligingsmonitoring vallen.
• Beperk toegang als er geen zakelijke noodzaak is. Bespreek met IT of Tor-software en .onion-diensten op bedrijfsapparatuur en bedrijfsnetwerken geblokkeerd moeten worden. Dit kan helpen risico's te verkleinen, zoals toegang tot schadelijke of frauduleuze inhoud en minder zicht op verdachte verbindingen; blokkeren vervangt geen endpointbeveiliging of monitoring.
• Regel uitzonderingen bewust. Als Tor nodig is voor een legitieme functie, laat IT vooraf een beperkte, gedocumenteerde uitzondering met passende beveiligingsmaatregelen beoordelen. Houd rekening met privacy, onderzoek, journalistiek en andere rechtmatige toepassingen.

USB-sticks en bestanden

• Sluit geen onbekende USB-stick aan. Gebruik geen gevonden sticks of opslagmedia van onbekende personen in een apparaat dat met het bedrijfsnetwerk verbonden is. Een stick kan schadelijke software bevatten of automatisch acties uitvoeren.
• Gebruik alleen goedgekeurde opslagmedia. Volg het IT-beleid, scan toegestane bestanden met de beveiligingssoftware en schakel automatisch uitvoeren uit waar dat kan. Scannen maakt onbekende media niet risicoloos.
• Wees kritisch op downloads. Download software en bestanden alleen van betrouwbare, officiële bronnen. Open geen onverwachte bestanden of programma's en vraag IT bij twijfel om controle.

Fysieke toegang en deuren

• Laat onbekenden niet zomaar meelopen. Houd een beveiligde deur niet open voor iemand die je niet kent en laat niemand zonder controle achter je aan naar binnen lopen. Verwijs bezoekers naar de receptie of het afgesproken aanmeldpunt.
• Blokkeer een beveiligde deur niet. Gebruik geen wig, deurstop of ander voorwerp om een toegangsdeur open te laten staan. Controleer bij een storing dat de deur weer goed sluit en meld het direct.
• Verifieer bezoekers vriendelijk. Vraag wie iemand bezoekt, controleer indien nodig de afspraak en zorg dat bezoekers zich aanmelden of begeleid worden. Deel geen toegangspas of persoonlijke toegangscode.
• Meld verlies of verdachte situaties. Meld een verloren pas, een openstaande beveiligde deur of een onbekende die toegang probeert te krijgen direct bij de verantwoordelijke.

E-mail, links en bijlagen

• Controleer afzender en verzoek. Wees extra alert op onverwachte berichten over betalingen, wachtwoorden, pakketjes of urgente acties. Verifieer een ongewoon verzoek via een bekend telefoonnummer of een ander vertrouwd kanaal.
• Wees alert op phishing uit naam van een leidinggevende. Oplichters doen zich soms voor als een directeur of manager en vragen met spoed om geld over te maken, gegevens te delen of vertrouwelijk te handelen. Controleer zulke verzoeken altijd via een apart, bekend kanaal en volg de normale goedkeuringsprocedure.
• Phishing treft ook echt mensen. Volgens het CBS was in 2024 0,6 procent van de Nederlanders van 15 jaar of ouder slachtoffer van phishing. Ter vergelijking: 9,4 procent (ongeveer 1,4 miljoen mensen) werd slachtoffer van online oplichting en fraude in totaal; dat bredere cijfer gaat dus niet alleen over phishing. Dit zijn cijfers over slachtofferschap, geen telling van alle verstuurde of geslaagde aanvallen. Bron: CBS, Online Veiligheid en Criminaliteit 2024.
• Weet waar je verdachte berichten meldt. De Rijksoverheid legt uit wat je bij phishing kunt doen, waaronder verdachte berichten melden bij de Fraudehelpdesk. Vermoed je dat je gegevens zijn misbruikt? Bekijk de stappen van de Rijksoverheid bij mogelijke identiteitsfraude.
• Denk na bij aanbiedingen die te mooi lijken. Een onverwachte prijs, beloning of kans die te mooi lijkt om waar te zijn, kan bedoeld zijn om je snel te laten klikken of betalen. Neem de tijd, controleer de afzender en deel geen gegevens voordat je de aanbieding via een betrouwbare bron hebt bevestigd.
• Open geen onverwachte bijlage of link. Open geen onbekende bestanden, schakel geen macro's in op verzoek van een onverwacht document en voer geen wachtwoord in via een link uit een verdacht bericht. Meld het bericht volgens de afspraken van je organisatie.
• Bekijk de bestemming van een link. Op een computer kun je vaak met de muis boven een link zweven om een adresvoorbeeld te zien, bijvoorbeeld in de statusbalk van de browser of e-mailapp. Op een telefoon kan een link ingedrukt houden soms een voorbeeld tonen. Dit werkt niet in elke app en is geen garantie: een adres kan misleidend zijn of na het openen doorsturen. Klik bij twijfel niet; ga zelf via een bekende bookmark of typ het officiële webadres in.
• Let op de volledige domeinnaam. Een vertrouwde bedrijfsnaam in de linktekst bewijst niet dat de bestemming echt is. Controleer spelling en domein zorgvuldig en vraag IT bij twijfel om hulp.

Bewust omgaan met techniek

• Vergrendel je scherm. Vergrendel je computer als je je werkplek verlaat, ook als je maar even weg bent. Bewaar apparaten en toegangspassen uit het zicht van onbevoegden.
• Gebruik alleen goedgekeurde apps en apparaten. Installeer software via goedgekeurde bronnen en sluit geen privéapparatuur aan op het bedrijfsnetwerk zonder toestemming.
• Schakel overbodige functies uit. Zet ongebruikte accounts, externe toegang en functies van camera's, microfoons en slimme apparaten uit. Gebruik geen standaardwachtwoorden.
• Stop bij twijfel. Een onverwachte beveiligingsmelding, vreemd verzoek of onbekend apparaat? Niet wegklikken of zelf omzeilen, maar controleer het via IT of de afgesproken contactpersoon.

AI-modellen, agents en gegevens

• Inventariseer modellen en agents. Noteer welke AI-diensten, modellen, agents, plugins en koppelingen medewerkers gebruiken, voor welke taken, met welke accounts en welke gegevens zij kunnen inzien of versturen.
• Controleer wat de aanbieder met invoer en uitvoer mag doen. Lees de actuele voorwaarden: worden prompts, bestanden en antwoorden bewaard, door mensen ingezien of gebruikt om modellen te trainen of diensten te verbeteren? Controleer ook bewaartermijnen, verwijdermogelijkheden en contractuele afspraken.
• Leg rechten op gegevens en output vast. Controleer in de voorwaarden welke rechten jouw organisatie behoudt op ingevoerde gegevens en gegenereerde resultaten, welke gebruikslicentie de aanbieder krijgt en of gegevens voor andere klanten of doeleinden mogen worden gebruikt. Persoonsgegevens zijn niet simpelweg “eigendom”; daarvoor gelden privacyrechten en wettelijke rollen.
• Controleer waar gegevens worden verwerkt. Vraag waar opslag, verwerking, back-ups en support plaatsvinden: in de Europese Economische Ruimte of daarbuiten. Controleer ook welke subverwerkers toegang kunnen hebben en welke afspraken gelden voor doorgifte buiten de EER.
• Beoordeel privacy en AVG vóór gebruik. Bepaal welke persoonsgegevens of vertrouwelijke informatie worden ingevoerd, wie verwerkingsverantwoordelijke en verwerker is en of een verwerkersovereenkomst en aanvullende maatregelen nodig zijn. Ga er niet vanuit dat een AI-dienst automatisch AVG-conform is omdat de aanbieder dat claimt; laat de concrete verwerking zo nodig toetsen door de privacyverantwoordelijke.
• Beperk toegang en gegevens. Gebruik goedgekeurde zakelijke accounts, geef agents alleen de noodzakelijke rechten en voorkom dat ze zonder controle bestanden, mailboxen of bedrijfssystemen kunnen wijzigen of acties uitvoeren.

Back-ups en herstel

• Maak meerdere back-ups. Bewaar ten minste een kopie die niet permanent vanaf de gewone werkplek kan worden aangepast.
• Test herstel. Een back-up is pas bruikbaar als je bestanden of systemen ook echt kunt terugzetten. Leg vast wie dit periodiek controleert.
• Maak een incidentplan. Noteer wie je belt, hoe je systemen isoleert en hoe je toegang tot belangrijke accounts terugkrijgt.

Intern protocol bij een beveiligingsincident of datalek

Gebruik dit stappenplan zodra je een incident vermoedt; wacht niet tot je zeker weet wat er is gebeurd. Vul de contactgegevens vooraf in en oefen het protocol regelmatig.

• Meld het direct. Iedere werknemer meldt een verloren apparaat, verdachte inlog, malware, verkeerd verstuurde gegevens of andere mogelijke inbreuk meteen via het afgesproken interne nummer of kanaal. Noteer wanneer je het ontdekte en wat je zelf hebt gezien; onderzoek het niet op eigen houtje.
• Beperk verdere schade zonder bewijs te vernietigen. Volg aanwijzingen van IT of de incidentcoördinator. Als dat veilig kan, verbreek de netwerkverbinding van een getroffen apparaat. Zet het niet uit, wis geen bestanden of berichten en probeer geen sporen te verbergen.
• Activeer de vaste rollen. De incidentcoördinator neemt de leiding en schakelt waar nodig IT/beveiliging, management, de privacyverantwoordelijke of functionaris gegevensbescherming en juridische ondersteuning in. Wijs één persoon aan voor het incidentlog en leg feiten, tijdstippen, besluiten en acties vast.
• Beoordeel meldingen en betrokkenen. De organisatie bepaalt onder verantwoordelijkheid van de verwerkingsverantwoordelijke of melding bij de Autoriteit Persoonsgegevens nodig is. Een meldplichtig datalek wordt in beginsel binnen 72 uur nadat de organisatie ermee bekend is geworden gemeld; betrokkenen worden geïnformeerd als het lek waarschijnlijk een hoog risico voor hen oplevert. Leg de beoordeling en besluiten vast, ook wanneer niet wordt gemeld. Lees de uitleg van de Autoriteit Persoonsgegevens over datalekken.
• Communiceer centraal en feitelijk. Alleen de aangewezen woordvoerder of verantwoordelijke deelt informatie buiten het incidentteam. Werknemers krijgen via het afgesproken interne kanaal korte updates met bevestigde feiten, wat zij moeten doen en wanneer een volgende update volgt. Speculeer niet, geef geen klant- of persoonsgegevens door en plaats niets over het incident op sociale media. De verantwoordelijke coördineert eventuele communicatie met autoriteiten, klanten en betrokkenen.
• Werk mee aan onderzoek door bevoegde autoriteiten. Werknemers belemmeren een rechtmatig onderzoek niet, vernietigen of verbergen geen informatie en volgen wettige aanwijzingen op. Vraag rustig om identificatie en, waar passend, de reden en bevoegdheid van het verzoek. Belt of komt een bevoegde autoriteit voor toegang tot een privéwoning, neem dan direct contact op met de bedrijfsverantwoordelijke en vraag die persoonlijk te komen of telefonisch bereikbaar te zijn. Belemmer of vertraag een rechtmatige bevoegdheid, geldig bevel of noodsituatie niet; de bedrijfsverantwoordelijke kan ondersteunen maar vervangt geen persoonlijke rechten of juridisch advies.
• Herstel gecontroleerd en leer ervan. IT of de incidentcoördinator bepaalt wanneer systemen veilig kunnen worden hersteld, welke wachtwoorden of sleutels moeten worden vervangen en hoe herstel wordt gecontroleerd. Bespreek achteraf oorzaken, verbeteracties en lessen zonder medewerkers te ontmoedigen incidenten snel te melden.

Maak de bereikbaarheidsregeling concreet: leg intern de naam en het telefoonnummer van de dienstdoende incidentcoördinator én een plaatsvervanger vast. Zorg dat iedere werknemer de nummers ook buiten het bedrijfsnetwerk kan vinden en weet wie bereikbaar is. Bij roulatie draagt de vertrekkende verantwoordelijke taken, contactgegevens en instructies over; de opvolger bevestigt de overdracht en alle werknemers krijgen de wijziging. Test de bereikbaarheid periodiek. Publiceer deze interne nummers niet op de website.

Oefen en train: geef werknemers periodiek een korte instructie over herkennen, direct melden, veiligstellen van bewijs en communiceren tijdens incidenten. Oefen daarnaast met een scenario-oefening, zoals een verloren laptop of een datalek. Overweeg voor de incidentcoördinator en plaatsvervanger een cursus incidentcoördinatie, AVG-datalekken en bewijsbehoud; voor alle werknemers een korte training incidentherkenning en melden.

Privacy en opvolging

• Verzamel niet meer dan nodig. Beperk toegang en bewaartermijnen voor beelden, logbestanden en klantgegevens.
• Bespreek camera's vooraf. Bepaal doel, zichtveld, informatie aan betrokkenen, bewaartermijn en wie de beelden mag bekijken.
• Plan een periodieke controle. Noteer bevindingen, eigenaar en een concrete opvolgdatum.