Cybersecurity
stopt niet bij de firewall
Cybersecurity
stopt niet bij de firewall
Voor ruim 8.000 Nederlandse organisaties brengt die wet nieuwe verplichtingen met zich mee. Denk aan het in kaart brengen van risico’s, het nemen van passende maatregelen en het tijdig melden van significante incidenten Onder de CBW moeten significante incidenten zo snel mogelijk en in ieder geval binnen 24 uur worden gemeld. Ook het bestuur krijgt nadrukkelijk een rol. Cybersecurity is daarmee niet alleen iets van IT, maar van de hele organisatie. Bij digitale veiligheid denken we vaak als eerste aan servers, laptops, Cloud omgevingen en firewalls. Logisch.
Maar ondertussen staan er op vrijwel iedere werkplek apparaten die óók met het netwerk verbonden zijn en dagelijks informatie verwerken. Zoals printers en scanners. Die versturen documenten naar mailboxen, mappen, Cloud omgevingen en bedrijfsapplicaties. Soms worden bestanden tijdelijk opgeslagen en hebben verschillende gebruikers of leveranciers toegang tot instellingen. Dat betekent niet dat iedere printer of scanner afzonderlijk onder de Cyberbeveiligingswet valt. Wel kunnen deze apparaten onderdeel zijn van de netwerk- en informatiesystemen en daarmee relevant zijn voor de risicoanalyse en beveiligingsmaatregelen van een organisatie die onder de wet valt. De vraag is daarom niet alleen of je netwerk veilig is. De vraag is: heb je de héle werkplek in beeld?
Een moderne multifunctionele printer is eigenlijk een computer. Met een besturingssysteem, firmware, opslag, gebruikersaccounts en een netwerkverbinding. Dagelijks gaan er contracten, facturen, personeelsdocumenten, klantgegevens en andere vertrouwelijke stukken doorheen. Een document wordt geprint, gekopieerd, tijdelijk opgeslagen of naar een digitale bestemming gestuurd. Dat verloopt meestal moeiteloos. En dat is precies de bedoeling. Maar doordat alles zo vanzelfsprekend werkt, kijken we er soms minder kritisch naar. Wanneer is de firmware voor het laatst bijgewerkt? Wie kan de instellingen aanpassen? Waar komen scans terecht? En wat gebeurt er met informatie wanneer een apparaat wordt vervangen?
Mogelijke aandachtspunten zijn:
Een printer is niet automatisch een beveiligingsrisico. Maar een apparaat dat buiten beeld blijft, kan wel een blinde vlek worden.
Kijk daarnaast welke gebeurtenissen binnen de omgeving worden gelogd en hoe lang deze loggegevens worden bewaard. Denk hierbij bijvoorbeeld aan mislukte aanmeldpogingen, wijzigingen in configuraties, beheeractiviteiten en andere relevante beveiligingsgebeurtenissen. Logging is pas effectief wanneer duidelijk is welke signalen worden gemonitord, wie verantwoordelijk is voor de beoordeling ervan en wanneer deze aanleiding geven tot actie.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt voor organisaties die essentiële of belangrijke diensten leveren binnen achttien sectoren. Valt jouw organisatie onder de wet? Dan krijg je onder meer te maken met een registratieplicht, zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid. In de praktijk betekent dit dat je niet alleen beveiligingsmaatregelen moet nemen, maar ook moet kunnen uitleggen hoe je tot die maatregelen bent gekomen.
Bijvoorbeeld:
Dat klinkt misschien als veel. Gelukkig hoef je niet alles tegelijk aan te pakken. Het begint met overzicht. Weten wat er aanwezig is, hoe het wordt gebruikt en waar extra aandacht nodig is.
Wil je printers, scanners en documentstromen meenemen in je beveiligingsbeleid? Met deze vijf controles kom je al een heel eind.
Printers en scanners hebben software nodig om te werken. Net als bij laptops en servers kunnen daarin kwetsbaarheden ontstaan. Controleer daarom welke apparaten actief zijn, welke firmwareversie ze gebruiken en hoe updates worden uitgevoerd. Leg ook vast wie verantwoordelijk is voor de controle en installatie van beveiligingsupdates. Want een apparaat dat nog prima print, kan technisch toch aandacht nodig hebben.
Niet iedere gebruiker heeft dezelfde toegang nodig. Kijk daarom naar gebruikersaccounts, beheerdersrechten en de manier waarop medewerkers zich identificeren. Met beveiligd printen wordt een document bijvoorbeeld pas vrijgegeven wanneer de gebruiker bij het apparaat staat. Zo voorkom je dat vertrouwelijke documenten blijven liggen of door de verkeerde persoon worden meegenomen. Controleer daarnaast wie instellingen mag aanpassen, adresboeken kan beheren en nieuwe scanbestemmingen kan toevoegen. Dat zijn kleine instellingen met soms grote gevolgen.
Wat gebeurt er nadat iemand op ‘scan’ drukt? Vaak reist een document via verschillende systemen naar een mailbox, netwerkschijf, cloudomgeving of bedrijfsapplicatie. Sommige van die routes zijn jaren geleden ingesteld en daarna nooit meer bekeken. Breng daarom de belangrijkste documentstromen in kaart. Controleer of bestemmingen nog worden gebruikt, wie toegang heeft en of informatie onderweg en bij opslag goed wordt beschermd. Verwijder oude adressen en mappen. Zo blijft informatie niet onnodig rondzwerven en vinden medewerkers documenten sneller terug. Veiligheid en moeiteloos werken gaan hier prima samen.
Multifunctionele printers kunnen gegevens tijdelijk of lokaal bewaren. Daarom is het belangrijk om te weten wat er wordt opgeslagen, hoelang dat gebeurt en hoe die informatie wordt beveiligd. Controleer of gegevens worden versleuteld en welke wisprocedures worden gebruikt. Kijk ook naar het moment waarop een apparaat wordt vervangen, teruggenomen of afgevoerd. Een veilige documentstroom stopt namelijk niet zodra de stekker eruit gaat.
Beveiligingsmaatregelen werken pas echt goed wanneer duidelijk is wie ze beheert en controleert.
Leg daarom vast:
Neem ook leveranciers en onderhoudspartijen mee. Zij kunnen toegang hebben tot apparaten of onderdelen van de omgeving. Goede afspraken over toegang, beheer en incidenten voorkomen verrassingen achteraf.
Bestuurders hoeven niet ieder technisch detail te kennen. Ze moeten wel kunnen beoordelen of digitale risico’s voldoende worden beheerst.
Met deze vijf vragen breng je het gesprek op gang:
Kun je een vraag niet direct beantwoorden? Geen paniek. Zie het vooral als een aanwijzing waar nog iets te winnen valt.
Nieuwe wetgeving zorgt soms voor de reflex om direct nieuwe systemen of apparaten aan te schaffen. Maar dat is lang niet altijd nodig. Begin bij wat er al staat. Welke apparaten gebruik je? Hoe zijn ze ingesteld? Welke informatie verwerken ze? Wie heeft toegang? En wie houdt het overzicht? Als dat duidelijk is, kun je gericht verbeteren. Soms is nieuwe technologie de beste stap. Soms zit de oplossing in een firmware-update, aangepaste rechten, een slimmere scanroute of duidelijkere afspraken. Zo voorkom je dat beveiliging een ingewikkeld project op zichzelf wordt. Het wordt onderdeel van een werkplek die prettig, veilig en voorspelbaar werkt.
Cybersecurity stopt niet bij de firewall, server of laptop. Het loopt door tot de apparaten en documentstromen die medewerkers iedere dag gebruiken. Benieuwd waar op jouw werkplek nog winst te behalen is? Dan kijken we graag met je mee. Niet met een standaardlijst waar je zelf doorheen moet, maar met aandacht voor hoe er binnen jouw organisatie écht wordt gewerkt. Samen brengen we de belangrijkste aandachtspunten rond apparatuur, toegang, beheer en documentstromen in beeld. Daarna weet je waar je staat, wat al goed geregeld is en welke volgende stap het meeste oplevert.
Herkenbaar? Dan zit je waarschijnlijk nog met een paar vragen. Goed nieuws: je bent niet de enige, we hebben de belangrijkste alvast voor je beantwoord.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt eisen aan organisaties op het gebied van risicobeheersing, beveiligingsmaatregelen, incidentmelding en bestuurlijke verantwoordelijkheid.
Niet automatisch. Printers en scanners kunnen wel onderdeel zijn van de netwerk- en informatiesystemen van een organisatie. Daardoor kunnen ze relevant zijn voor de risicoanalyse en beveiligingsmaatregelen.
Moderne multifunctionele printers beschikken over firmware, opslag, gebruikersaccounts en netwerkverbindingen. Ze verwerken bovendien regelmatig vertrouwelijke informatie en kunnen daarom een blinde vlek worden wanneer ze niet actief worden beheerd.
Denk aan actuele firmware, goed ingerichte gebruikersrechten, beveiligde netwerkverbindingen, veilige scanbestemmingen, bescherming van opgeslagen gegevens en duidelijke afspraken over beheer en onderhoud.
Dat hangt af van het apparaat, het beveiligingsbeleid en de leverancier. Belangrijk is vooral dat duidelijk is wie updates controleert, hoe kwetsbaarheden worden opgevolgd en wanneer beveiligingsupdates worden geïnstalleerd.
Bij veilig printen wordt een document pas afgedrukt nadat de gebruiker zich bij het apparaat heeft geïdentificeerd. Hierdoor blijven vertrouwelijke documenten minder snel onbeheerd in de uitvoerlade liggen.
Gescande documenten kunnen via verschillende systemen naar mailboxen, netwerkschijven, cloudomgevingen of applicaties worden verstuurd. Verouderde bestemmingen of te ruime toegangsrechten kunnen onnodige beveiligingsrisico’s veroorzaken.
Afhankelijk van het apparaat kunnen printopdrachten, scans, instellingen, adresboeken, loggegevens en tijdelijke bestanden lokaal worden opgeslagen. Daarom is het belangrijk om te weten hoe deze gegevens worden beveiligd en verwijderd.
Logging helpt om gebeurtenissen zoals mislukte aanmeldingen, configuratiewijzigingen en beheeractiviteiten inzichtelijk te maken. Monitoring zorgt ervoor dat relevante signalen ook daadwerkelijk worden beoordeeld en indien nodig worden opgevolgd.
Dat verschilt per organisatie. Het belangrijkste is dat verantwoordelijkheden duidelijk zijn vastgelegd, bijvoorbeeld voor updates, toegangsbeheer, leverancierscontact, incidenten en periodieke controles.
Bestuurders hoeven niet ieder technisch detail te kennen, maar moeten wel kunnen beoordelen of digitale risico’s voldoende worden beheerst. Daar hoort ook inzicht bij in apparaten en documentstromen die onderdeel zijn van de digitale werkomgeving.
Begin met overzicht. Breng in kaart welke apparaten aanwezig zijn, hoe ze zijn ingesteld, welke informatie ze verwerken, wie toegang heeft en wie verantwoordelijk is voor het beheer. Vanuit dat inzicht kun je gericht verbeteren.
Wil je meer informatie of heb je een vraag? Neem contact met mij op en ik help je graag verder.
