Goede netwerkbeveiliging voor je bedrijf rust op drie pijlers. Een firewall en toegangscontrole bepalen wie en wat het netwerk op mag. Segmentatie zorgt dat één besmet apparaat niet meteen alles raakt en beheerde toegang regelt dat alleen de juiste mensen, met sterke authenticatie, bij de systemen komen die ze nodig hebben.
De firewall van je bedrijfsnetwerk is de portier tussen binnen en buiten. De firewall bepaalt welk verkeer het netwerk in en uit mag. Een next-generation firewall (NGFW) kijkt daarbij verder dan poorten en IP-adressen. Dit type firewall herkent applicaties en kan ze blokkeren, maar kan ook malware en andere dreigingen stoppen.
Toch is een firewall zo goed als zijn regels. Het klassieke voorbeeld is een regel "alles toestaan". Zo hebben we wel eens de firewall van een klant moeten beoordelen, waarbij al het netwerkverkeer uiteindelijk overal naartoe mocht, omdat er dus een regel instond die "alles toestaan" regelde.
Network Access Control (NAC) regelt wat er binnen gebeurt. Loop eens door je eigen pand en tel de netwerkaansluitingen in de muur: de vergaderruimte, de receptie, die lege werkplek bij het raam. Zonder NAC krijgt elk apparaat dat je daarin steekt toegang tot het netwerk. Met NAC wordt elk apparaat eerst gecontroleerd, of het nu via een kabel of via wifi verbinding maakt. Een bekende bedrijfslaptop met actuele updates mag op het bedrijfsnetwerk. De laptop van een bezoeker komt niet verder dan het gastnetwerk, of helemaal nergens.
In 2017 kwamen hackers binnen bij een Amerikaans casino via een thermometer in het aquarium die rechtstreeks met het internet verbonden was. Van daaruit bereikten ze de database met gegevens van de grootste spelers. De thermometer zat gewoon op hetzelfde netwerk als de rest.
Daarom adviseert het NCSC om je netwerk op te delen in meerdere (virtuele) zones. Raakt één apparaat besmet, dan blijft de schade beperkt tot die zone. Denk aan aparte segmenten voor:
Vooral die IoT-zone (Internet of Things) wordt vaak vergeten. Die apparaten krijgen zelden updates en draaien vaak jaren standaardinstellingen. (Die slimme koffiemachine in de kantine telt ook mee.)
Iemand van de administratie heeft geen beheerdersrechten op de server nodig. Toch zien we bij veel kleine organisaties dat vaak iedereen te veel rechten heeft. Dit omdat dat ooit handig was bij het installeren van een printer. Het principe van least privilege draait dat om: iedereen krijgt alleen toegang tot de systemen en gegevens die nodig zijn voor het werk. Beheerdersrechten horen bij een apart account dat je alleen voor beheertaken gebruikt, niet bij het account waarmee je mailt en op internet surft.
Zet daarnaast multi-factor authenticatie (MFA) aan op alles wat van buitenaf bereikbaar is: e-mail, VPN, cloudomgevingen en de beheerinterfaces van je netwerkapparatuur. Een gelekt wachtwoord is dan niet meer genoeg om binnen te komen.
Maar wat heeft dit dan met netwerkbeveiliging te maken, vraag je je misschien af? Als de accounts van je medewerkers goed beschermd zijn, bescherm je ook direct je netwerk en de apparaten die erin zitten. Bovenstaande principes zorgen er dan voor dat niet iedereen overal bij kan. Dit voorkomt fouten en mogelijk ook een hackpoging.
Oh ja, en controleer ook regelmatig wie er toegang heeft. Oud-medewerkers en ex-leveranciers met een werkend account komen vaker voor dan je zou denken.
Zero-days halen het nieuws. In de praktijk komt een aanvaller veel vaker binnen via iets wat al jaren verkeerd staat en wat niemand meer opvalt. Vier fouten komen steeds terug.
Netwerkapparatuur gaat lang mee. Soms te lang. Zodra een fabrikant een apparaat end-of-life verklaart, komen er geen beveiligingsupdates meer en blijven bekende kwetsbaarheden voorgoed open.
De FBI waarschuwde in mei 2025 dat criminelen op grote schaal verouderde routers van onder meer Linksys en Cisco overnamen. Die routers werden doorverkocht als anonieme proxy's, zodat andere criminelen hun aanvallen via andermans internetaansluiting konden laten lopen. Vooral apparaten waarop beheer op afstand aan stond waren het doelwit.
Ondersteunde apparatuur is ook geen garantie. Uit hetzelfde Verizon-rapport blijkt dat maar 54% van de kwetsbaarheden in edge devices (apparaten direct verbonden aan het internet) volledig werd gedicht en dat dat gemiddeld (mediaan) 32 dagen duurde.
Bovenstaande onderzoeken laten twee dingen heel duidelijk zien.
"admin/admin" op de switch. Een wifi-wachtwoord dat sinds de verhuizing in 2019 niet meer is veranderd. Een gedeeld beheerderswachtwoord dat vijf oud-medewerkers nog kennen.
De standaardwachtwoorden van netwerkapparatuur staan gewoon in de handleiding, en die handleiding staat online. Wij adviseren willekeurige wachtwoorden van minimaal 16 tekens. Met een wachtwoordmanager is dat goed te doen, en MFA vangt af wat er dan nog misgaat. Bekijk de blog als je zelf meer wil weten over wachtwoorden veilig beheren en hoe een wachtwoordmanager daarbij helpt.
Een plat netwerk heeft geen segmentatie: alles zit in hetzelfde netwerk en elk apparaat kan elk ander apparaat bereiken. Voor de beheerder is dat makkelijk. Voor een hacker ook.
Stel dat een medewerker op maandagochtend op de verkeerde link in een phishingmail klikt en daarmee malware downloadt. De aanvaller heeft dan één laptop in handen en in een plat netwerk is dat genoeg. Van daaruit kijkt de hacker rustig rond, vindt hij de fileserver en verzamelt hij wachtwoorden van beheerdersaccounts. Dat kan dagen of weken duren, want er is geen enkele grens die alarm slaat. Je laat je buren ook niet zomaar vrij rondlopen in je huis, dus bij je bedrijfsnetwerk wil je dat ook niet.
Fabrieksinstellingen zijn bedoeld om een apparaat te resetten en weer werkend te krijgen. Aan veiligheid wordt pas gedacht als iemand de tijd neemt om dat ook aan te passen en in de praktijk gebeurt dat te weinig. Voorbeelden die we regelmatig zien:
Los van elkaar zijn dit kleine dingen. Samen maken ze het een aanvaller wel erg makkelijk.
Vroeger hield het bedrijfsnetwerk op bij de voordeur van het kantoor. Nu werkt de helft van je team op dinsdag vanuit huis en staan de belangrijkste applicaties in de cloud. Het netwerk dat je moet beveiligen is groter geworden dan je eigen pand.
Een VPN legt een versleutelde tunnel tussen de laptop van de medewerker en het bedrijfsnetwerk. Wat er over de wifi van een koffietent of een thuisrouter gaat, kan dan niemand meelezen.
Twee kanttekeningen. De VPN-server zelf is een edge device en dus precies het soort apparaat waar aanvallers graag toegang krijgen. Patch hem snel en beveilig hem altijd met MFA. Ook als je VPN-server de firewall is. En een VPN die na het inloggen toegang geeft tot het hele netwerk, heft je segmentatie weer op. Geef daarom ook thuiswerkers alleen toegang in het netwerk tot wat ze nodig hebben voor hun werk.
Wil je daar een stap verder in gaan, kijk dan naar Zero Trust Network Access (ZTNA). Daarbij krijgt een gebruiker toegang tot één specifieke applicatie in plaats van tot het hele netwerk, en bij elke verbinding wordt opnieuw gecontroleerd of gebruikers en apparaten te vertrouwen zijn.
Een beheerde bedrijfslaptop heeft (als het goed is) een actuele virusscanner, versleutelde opslag, centraal beheerde updates en endpointbeveiliging (EDR) die meldingen doorstuurt. Van de privélaptop waar de kinderen 's avonds op gamen, weet je niets. Daarom hoort privéapparatuur niet rechtstreeks aangesloten te zijn op je bedrijfsnetwerk.
Wil je privéapparatuur toch toestaan (bring your own device/BYOD), leg dan vast wat wel en niet mag. Beperk privéapparaten bijvoorbeeld tot webmail en cloudapplicaties in een afgeschermde omgeving. Met mobile device management (MDM) of een compliance-check dwing je af dat een apparaat aan minimale eisen voldoet voordat het toegang krijgt.
De meeste ICT-beveiliging in het MKB is gericht op buiten houden. Dat is nodig en alles hierboven verkleint de kans dat een aanvaller binnenkomt. Maar lukt het toch, dan wil je het zien en het liefst zo snel mogelijk.
Vrijdagavond, kwart voor twaalf. Het account van je financieel medewerker begint bestanden van de fileserver te kopiëren naar een onbekend adres in het buitenland. De firewall logt het netjes. Maandagochtend om negen uur ziet iemand de melding. Of niet.
Managed Detection and Response (MDR) vult precies dat gat. Een extern securityteam bewaakt dag en nacht je endpoints, cloudomgeving en netwerk, beoordeelt elke melding en grijpt in bij een echte dreiging. In het voorbeeld hierboven zou dat team het account blokkeren en de laptop isoleren, nog diezelfde nacht.
Network Detection and Response (NDR) kijkt specifiek naar het netwerkverkeer zelf. Daarmee zie je wat op een endpoint onzichtbaar blijft: een printer die ineens contact zoekt met een server in het buitenland, of een apparaat zonder beveiligingssoftware dat het netwerk begint te scannen. De combinatie van MDR en NDR is daardoor heel sterk.
Netwerkapparatuur veroudert, firewallregels stapelen zich op en medewerkers komen en gaan. De IT-beveiliging van je netwerk blijft alleen op niveau als je daar vaste momenten voor inplant:
Dat laatste punt wordt het vaakst overgeslagen, terwijl het vaak het meeste oplevert. Iemand van buiten ziet precies de dingen die intern niemand meer opvallen, omdat ze er "altijd al zo" stonden.
