IT-beveiliging voor kleine sociale ondernemingen

Je hebt een bedrijf met mensen die een extra stap nodig hebben om mee te draaien. Je houdt je bezig met begeleiding, loonkostensubsidies en personeelsplanning. En dan krijg je een mailtje van je eigen e-mailadres, met een factuur die je niet herkent. Wat doe je dan?

Waarom kleine bedrijven vaker doelwit zijn

Grote bedrijven hebben IT-afdelingen, firewalls en protocollen. Jij hebt een laptop, een gedeelde schijf en misschien een wachtwoord dat je al drie jaar niet hebt gewijzigd.

Criminelen weten dat. Ze richten zich steeds vaker op kleine organisaties, juist omdat die minder beschermd zijn. En als jij ook nog eens werkt met subsidiestromen, gemeentelijke contracten en persoonsgegevens van medewerkers, dan ben je een interessant doelwit.

Phishing is de meest voorkomende aanvalsvorm. Iemand doet zich voor als je bank, je gemeente of een leverancier. Eén klik en je geeft toegang tot je systemen. Dat klinkt ver weg, maar ik ken ondernemers die hun volledige loonadministratie zijn kwijtgeraakt na zo’n klik.

Welke gegevens je eigenlijk bewaart

Misschien denk je: ik heb niks te verbergen. Maar kijk eens wat er op je schijf staat.

Loonstroken met BSN-nummers. Beschikkingen van de gemeente over loonkostensubsidie. Begeleidingsplannen met medische achtergrond. Bankgegevens van je organisatie. Dit zijn bijzondere persoonsgegevens in de zin van de AVG, en je bent verplicht die te beschermen.

Een datalek meld je bij de Autoriteit Persoonsgegevens. Doe je dat niet, dan riskeer je een boete. Maar los van de boete: als de gegevens van jouw medewerkers op straat liggen, heb je een probleem dat veel groter is dan een juridische procedure.

Wat je vandaag al kunt regelen

Je hoeft geen groot IT-budget te hebben om basale beveiliging op orde te brengen. Een aantal dingen kost nauwelijks geld.

• Zet tweefactorauthenticatie aan op je e-mail en je boekhoudprogramma
• Gebruik een wachtwoordmanager zodat je niet overal hetzelfde wachtwoord gebruikt
• Maak wekelijks een back-up op een externe schijf die je offline bewaart
• Controleer of je medewerkers weten hoe ze een verdachte mail herkennen
• Stel in dat je laptop automatisch vergrendelt na vijf minuten

Dat laatste klinkt klein, maar als je laptop op een bureau ligt in een ruimte waar meerdere mensen komen, is het geen overbodige luxe.

Wat meer kost, maar de moeite waard is: een goede antivirussoftware met real-time bescherming, en een VPN als je medewerkers regelmatig buiten kantoor werken. Bij Ictivity zie je bijvoorbeeld welke beveiligingslagen er voor mkb-organisaties beschikbaar zijn, als je wilt vergelijken wat er op de markt is.

De AVG en wat dat voor jou betekent

De Algemene Verordening Gegevensbescherming is in 2018 ingegaan en geldt ook voor jou. Veel kleine ondernemers denken dat die wet alleen voor grote bedrijven geldt. Dat is niet zo.

Je bent verplicht om te documenteren welke persoonsgegevens je verwerkt, met welk doel en hoe lang je ze bewaart. Dat heet een verwerkingsregister. Het klinkt bureaucratisch, maar het is ook gewoon nuttig. Het dwingt je na te denken over wat je eigenlijk allemaal opslaat.

Als je werkt met gemeenten of andere overheden, vragen die steeds vaker om een verwerkersovereenkomst. Daarin leg je vast hoe jij omgaat met de gegevens die zij aan jou toevertrouwen. Heb je die nog niet, dan is dat iets om deze week nog te regelen.

Een datalek moet je binnen 72 uur melden als het om bijzondere persoonsgegevens gaat. Dat is minder dan drie dagen. Als je dan nog moet uitzoeken wat er precies is gebeurd en welke gegevens zijn gelekt, ben je al te laat.

Beveiliging als onderdeel van je bedrijfsvoering

Ik snap dat IT-beveiliging voelt als een ver-van-je-bed-show als je dagelijks bezig bent met begeleiding, roosters en subsidieaanvragen. Maar het is onderdeel van je bedrijfsvoering, net zoals je boekhouding of je verzekeringen.

De vraag is niet of je ooit te maken krijgt met een poging tot fraude of een datalek. De vraag is wanneer, en of je dan weet wat je moet doen.

Stel jezelf drie vragen: Weet ik waar mijn back-ups zijn? Weet ik wie er toegang heeft tot onze systemen? En weet ik wat ik doe als er morgen iets misgaat? Als je op één van die vragen geen antwoord hebt, is dat het startpunt.

Preventie kost tijd en soms geld. Herstel kost altijd meer. Dat geldt voor grote bedrijven, maar ook voor een organisatie van tien mensen met een missie en een krappe begroting.

Veelgestelde vragen over IT-beveiliging voor sociale ondernemingen

Moet ik als kleine ondernemer ook voldoen aan de AVG?

Ja. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht de grootte. Als je loonstroken bewaart, begeleidingsplannen opstelt of werkt met BSN-nummers, val je onder de wet. Een verwerkingsregister is verplicht zodra je meer dan 250 medewerkers hebt, maar ook kleinere organisaties die bijzondere persoonsgegevens verwerken zijn verplicht dit bij te houden.

Wat is het grootste beveiligingsrisico voor kleine bedrijven?

Phishing is veruit de meest voorkomende oorzaak van datalekken en financiële schade bij kleine organisaties. Een medewerker klikt op een link in een nep-e-mail, geeft zijn inloggegevens in, en de aanvaller heeft toegang tot je systemen. Bewustwording bij je team is daarom minstens zo belangrijk als technische maatregelen.

Wat kost een datalek als ik het niet meld?

Als je een datalek met bijzondere persoonsgegevens niet binnen 72 uur meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete van maximaal 10 miljoen euro of 2% van je wereldwijde jaaromzet. In de praktijk zijn boetes voor kleine organisaties lager, maar de reputatieschade en het verlies van vertrouwen bij gemeenten en opdrachtgevers kunnen groter zijn dan het bedrag zelf.