In een eerdere bijdrage legde ik uit wat CyberFundamentals (CyFun) is: het Belgische raamwerk van het CCB dat cyberbeveiliging behapbaar maakt voor bedrijven zonder eigen securityteam. Mooi. Maar dan opent u het framework, ziet u tientallen maatregelen verdeeld over functies en categorieën, en denkt u: waar begin ik in godsnaam?

Dit artikel is dat antwoord. Geen volledige hertaling van het framework (daarvoor verwijs ik graag naar de officiële CyFun-documentatie van het CCB), maar de volgorde die in de praktijk werkt voor een KMO van vijf tot vijftig mensen.

Stap 1: weet wat u hebt

Alles begint bij de inventaris. Welke servers draaien er? Welke laptops zijn in omloop? Welke software, welke clouddiensten, welke domeinnamen, welke certificaten? Klinkt banaal, maar in negen van de tien bedrijven die ik bezoek, wijkt de werkelijkheid fors af van wat men dénkt te hebben. Vergeten testservers, een NAS van een ex-werknemer, certificaten die volgende maand stilletjes vervallen.

U kunt dit niet beveiligen-wat-u-niet-kent. Begin met een lijst. Een spreadsheet is al beter dan niets, een geautomatiseerde inventaris is beter dan een spreadsheet, want die veroudert niet.

Stap 2: beperk wie waar aan kan

Toegangsbeheer is de goedkoopste beveiliging die bestaat. Multifactor-authenticatie op alles wat van buitenaf bereikbaar is: mail, VPN, cloudtoepassingen. Aparte accounts per persoon, geen gedeelde wachtwoorden, en beheerrechten alleen voor wie ze echt nodig heeft. Vertrekt er iemand? Dan worden zijn toegangen dezelfde dag afgesloten, niet “ooit eens”.

Dit kost vooral discipline, weinig geld. En het is de maatregel die de meeste reële inbraken tegenhoudt.

Stap 3: zorg dat u terug kunt

Back-ups, maar dan echt. Niet “er staat ergens een kopie”, wel: automatisch, dagelijks, met minstens één kopie die losstaat van uw netwerk, want ransomware versleutelt met plezier ook uw back-upschijf als die gewoon aangekoppeld hangt. En minstens één keer per jaar: effectief testen of u die back-up kunt terugzetten. Een back-up die nooit getest is, is een hoop.

Stap 4: merk het wanneer het misgaat

Hier komen detectie en logging samen, en hier zakken de meeste KMO’s door het ijs. Vraag uzelf eerlijk af: als vannacht een server uitvalt, of als iemand om drie uur ‘s nachts duizend keer probeert in te loggen: weet u dat dan? Of hoort u het morgen van een klant?

CyFun Basic verwacht dat u storingen en afwijkingen detecteert en dat u events bijhoudt. In de praktijk betekent dat: monitoring op uw systemen, alerting wanneer iets afwijkt, en logs die lang genoeg bewaard blijven om achteraf te reconstrueren wat er gebeurde. Dit is het onderdeel dat u het moeilijkst zelf opzet en het makkelijkst uitbesteedt.

Stap 5: weet wat u doet als het toch gebeurt

Een incidentplan hoeft geen boek te zijn. Eén A4 volstaat om te beginnen: wie bel ik eerst, wie mag beslissen om systemen plat te leggen, waar staan de contactgegevens van leverancier en verzekeraar, en wie verwittigt de klanten. Print het. Een digitaal incidentplan op een server die plat ligt, is een ironie die u zich wilt besparen.

Wat zelf doen, wat uitbesteden?

Stappen 2, 3 en 5 kunt u grotendeels zelf, eventueel met uw bestaande IT-partner. Stap 1 en 4, inventaris en detectie, zijn precies waar professionele monitoring het verschil maakt: ze gebeuren automatisch, continu, en leveren als bijvangst de rapporten op waarmee u de vragenlijsten van uw NIS2-klanten beantwoordt.

Wilt u weten waar uw bedrijf vandaag staat tegenover deze vijf stappen? Plan een gratis gesprek: een eerste inschatting kost u een halfuur en geen euro.