Wanneer we in het nieuws lezen over gigantische datalekken, denken we al snel aan geavanceerde hackers met capuchons op die diep in de nacht complexe codes kraken. De realiteit is een stuk minder spannend, maar daardoor juist veel gevaarlijker voor de gemiddelde thuiswerker en zzp’er. De allergrootste oorzaak van gelekte klantgegevens, contracten en financiële data is simpelweg een verkeerd geconfigureerde database of cloudomgeving. Een menselijke fout dus.
Als thuiswerkende professional beheer je waarschijnlijk je eigen klantendatabases, gebruik je cloudopslag en koppel je verschillende systemen aan elkaar om efficiënt te werken. Wij zien dagelijks dat in de haast om productief te zijn, de beveiligingsinstellingen van deze systemen op de standaardwaarden blijven staan. Dit zet de digitale voordeur van je thuiskantoor wagenwijd open, met alle financiële en reputatieschade van dien.
Wat een verkeerd geconfigureerde database eigenlijk is
Wanneer we spreken over een verkeerd geconfigureerde database of cloudomgeving, bedoelen we een systeem dat is opgezet zonder de juiste beveiligingsinstellingen, waardoor het openbaar toegankelijk is via het internet. Dit betekent concreet dat iedereen die het webadres of het IP-adres weet te vinden, direct toegang heeft tot de bestanden, zonder dat er om een wachtwoord of authenticatie wordt gevraagd.
Dit gebeurt vaker dan je denkt. Een nieuwe applicatie voor klantbeheer wordt getest, of er wordt snel een clouddrive aangemaakt om grote bestanden te delen met een opdrachtgever. De beheerder schakelt de beveiliging tijdelijk uit om makkelijker bij de data te kunnen, en vergeet deze vervolgens weer aan te zetten. Ook het niet wijzigen van de standaard inloggegevens, zoals ‘admin’ en ‘password’, valt onder deze categorie. Zelfs wanneer je zoekt naar de beste cloudopslag voor je thuiswerkplek, ben jij uiteindelijk degene die de vinkjes voor privacy goed moet zetten.
De harde realiteit van de gedeelde verantwoordelijkheid
Een hardnekkige misvatting onder veel ondernemers en thuiswerkers is dat grote techbedrijven de beveiliging van jouw data volledig uit handen nemen. Je betaalt immers voor een abonnement bij Amazon Web Services, Microsoft Azure of Google Workspace, dus zij zorgen dat het veilig is, toch?
Dit klopt slechts ten dele. Deze grote leveranciers werken allemaal met het zogenaamde gedeelde verantwoordelijkheidsmodel. De provider beveiligt de onderliggende infrastructuur; zij zorgen ervoor dat de servers fysiek veilig zijn en dat de netwerken niet zomaar platliggen. Maar de klant, jij dus, is verantwoordelijk voor de beveiliging in de cloud. Jij kiest wie er toegang krijgt tot welke map, jij bepaalt de wachtwoordvereisten en jij moet zorgen dat een database niet publiekelijk wordt gedeeld op het internet.
Menselijke fouten zijn de nieuwe superhacker. Controleer je instellingen; jouw dataveiligheid ligt in eigen handen.
— Jesse Scherpen
Voorbeelden uit de praktijk die we allemaal kunnen maken
Dat dit probleem niet is voorbehouden aan kleine, onervaren bedrijven, blijkt wel uit de enorme schaal van recente datalekken. Zo ontdekten beveiligingsonderzoekers onlangs meerdere publiek toegankelijke databases van het Tribeca Film Festival. Zonder enige vorm van encryptie of wachtwoordbeveiliging lagen de gegevens van honderdduizenden bezoekers, waaronder bekende acteurs en regisseurs, zomaar op straat. Jaren aan e-mailadressen, telefoonnummers en apparaatgegevens lagen voor het oprapen.
Ook overheden maken deze fouten. In de afgelopen jaren zijn er in de Verenigde Staten en Brazilië gigantische databases met de persoonlijke en medische gegevens van honderden miljoenen burgers gelekt. Niet omdat de overheid werd gehackt door een vijandige staat, maar door slordigheden. Een simpele typefout in de mapstructuur of het achterlaten van inloggegevens in de broncode van een website was genoeg om de gegevens van halve bevolkingen bloot te leggen.
Een extra onderschat risico zijn back-up bestanden. Veel professionals beveiligen hun actieve werkomgeving uitstekend, maar exporteren vervolgens een kopie van de database naar een map die geen enkele beveiliging heeft. Voor cybercriminelen is zo’n vergeten back-up een absolute goudmijn.
De sluipende gevolgen voor jouw thuiswerkbedrijf
De impact van een openstaande database reikt veel verder dan een eenmalig ongemak. Vaak worden de gevolgen pas maanden of zelfs jaren later voelbaar. Als jouw klantinformatie op straat belandt, kan dit direct leiden tot boetes vanuit de privacywetgeving (AVG/GDPR) en claims van benadeelde partijen. Maar de grootste schade zit vaak in het verlies van vertrouwen. Opdrachtgevers werken niet graag samen met een freelancer of bureau dat hun gevoelige bedrijfsstrategieën of klantlijsten niet veilig kan opslaan.
Bovendien gebruiken criminelen deze gegevens als munitie. Met een uitgelekte lijst van namen, e-mailadressen en telefoonnummers kunnen zij uiterst gerichte en overtuigende phishing-aanvallen uitvoeren. Ze doen zich voor als jouw bedrijf om je klanten op te lichten. Om dit te voorkomen is bewustwording cruciaal, en besef dat een goede beveiliging verder gaat dan alleen een VPN voor je privacy tijdens het thuiswerken.
Aanbevolen producten
Praktische stappen om jouw gegevens waterdicht te maken
Gelukkig is het beveiligen van je thuiswerkplek tegen dit soort grove blunders niet ingewikkeld. Het vergt voornamelijk een verandering in hoe je omgaat met nieuwe software en online opslag. Wij raden je aan om de volgende standaard werkwijze aan te wennen.
Verander standaard inloggegevens direct
Telkens wanneer je een nieuwe tool, database of router in gebruik neemt, is de allereerste stap het wijzigen van de standaard gebruikersnaam en het wachtwoord. Laat nooit een 'admin' account bestaan met het wachtwoord dat in de handleiding staat. Zorg dat je een wachtwoordbeheerder gebruikt om complexe en unieke wachtwoorden voor elke dienst te genereren. Dit werpt direct een stevige drempel op tegen geautomatiseerde scripts die het internet afstruinen naar open deuren.
Hanteer het principe van minimale toegang
Geef jezelf en de apps die je gebruikt nooit meer rechten dan strikt noodzakelijk is. Werk je samen met een virtuele assistent of een externe boekhouder? Geef hen dan alleen lees- of schrijfrechten voor de specifieke mappen die zij nodig hebben voor hun werk, en geen volledige beheerdersrechten over je hele systeem. Loop daarnaast elke maand je deellinks in Google Drive, OneDrive of Dropbox na en sluit links die niet meer nodig zijn.
Beveilig ook je back-ups
Back-ups zijn je reddingsboei bij technische problemen, maar kunnen je achilleshiel zijn als ze niet goed zijn afgeschermd. Sla geëxporteerde databases of klantlijsten altijd versleuteld (encrypted) op. Zet er een sterk wachtwoord op en bewaar ze bij voorkeur offline op een externe harde schijf, of in een afgeschermde cloudomgeving die losstaat van je dagelijkse werkbestanden.
Controleer je eigen thuisnetwerk
Alle cloudbeveiliging ten spijt, als de basisverbinding in je thuiskantoor rammelt, loop je alsnog onnodig risico. Besteed aandacht aan de apparatuur die het internet je huis binnenbrengt. Zorg ervoor dat je netwerk veilig is, want een oude router vormt een groot gevaar voor je thuiswerkplek en is vaak niet meer voorzien van de laatste beveiligingsupdates. Investeer in actuele netwerkapparatuur en scheid je werknetwerk van het wifinetwerk waar je slimme deurbel en thermostaat op draaien.
Bescherm je reputatie met een paar simpele instellingen
In een digitale werkomgeving waar we steeds meer vertrouwen op geautomatiseerde systemen en data-analyse, blijft de mens de zwakste schakel. Een verkeerd geconfigureerde database of cloudmap is de snelste manier om al je harde werk op het spel te zetten. Door te erkennen dat jijzelf de sleutel in handen hebt volgens het gedeelde verantwoordelijkheidsmodel, zet je de belangrijkste stap naar een veilige thuiswerkplek.
Neem vandaag nog de tijd om je lopende abonnementen, cloudopslag en netwerkinstellingen na te lopen. Sluit de open deuren, verwijder oude testomgevingen en zorg dat al je klantinformatie achter een digitaal slot en grendel zit. Zo kun je met een gerust hart aan de slag, wetende dat jouw professionaliteit niet alleen zichtbaar is in je werk, maar ook in hoe je met andermans gegevens omgaat.
