De directie vraagt: kunnen wij veilig thuiswerken?

Het is vrijdagmiddag. De helft van het kantoor werkt thuis, één collega zit bij een klant en een ander werkt vanuit een vakantiehuis de laatste stukken bij. Het werk loopt gewoon door. Aan de directietafel komt toch de vraag op: is dit eigenlijk wel veilig?

Het eerlijke antwoord is ja, dat kan veilig, maar het gaat niet vanzelf. Thuiswerken is in veel organisaties ooit snel geregeld en daarna nooit meer bekeken. Wat toen een noodoplossing was, is nu de gewone gang van zaken. Het gaat er dus niet om of uw mensen thuis mogen werken. Het gaat erom of u weet waarmee ze dat doen en waar uw gegevens dan terechtkomen.

Waarom thuiswerken een vraag voor de directie is geworden

Vroeger stond alles op kantoor. De server stond in de kast, de computers stonden op de bureaus en wie de deur uitliep, liet het werk achter. De beveiliging was in feite het gebouw. Wie binnen was, werd vertrouwd.

Dat beeld klopt niet meer. E-mail en bestanden staan in de cloud en zijn vanaf elke plek bereikbaar. Dat is handig voor uw medewerkers. Het is net zo handig voor iemand die een wachtwoord heeft buitgemaakt. De voordeur van uw organisatie is geen deur meer, het is het inlogscherm.

Daar komt bij dat klanten er vaker naar vragen. Organisaties die onder de Cyberbeveiligingswet vallen, stellen eisen aan de partijen waarmee zij werken. Ook als die wet niet voor u geldt, kunt u de vraag krijgen hoe u buiten kantoor met gegevens omgaat. Dan helpt het als u daar een helder antwoord op heeft.

Veilig thuiswerken hangt af van drie dingen

De locatie zegt weinig. Een medewerker met een goed beheerde laptop is aan de keukentafel veiliger dan een collega op kantoor met een verouderde computer. Drie dingen maken het verschil.

1. Het apparaat

Een zakelijke laptop die centraal wordt beheerd, krijgt updates, heeft een versleutelde schijf en kan op afstand worden gewist als hij wordt gestolen. Van een privécomputer weet u niets. U weet niet of de updates zijn gedaan, wie er nog meer op werkt en wat de kinderen erop hebben gezet. Let ook op oudere computers. De ondersteuning van Windows 10 is in oktober 2025 gestopt. Een thuiscomputer die niet geschikt is voor Windows 11 krijgt geen gratis beveiligingsupdates meer.

2. Het inloggen

Een wachtwoord alleen is te weinig. Met een extra controle bij het inloggen, bijvoorbeeld een bevestiging op de telefoon, is een buitgemaakt wachtwoord op zichzelf niet meer genoeg om binnen te komen. Daarnaast kunt u regels instellen. Bijvoorbeeld dat inloggen alleen kan vanaf apparaten die u kent, of dat een onbekend apparaat wel e-mail mag lezen maar geen bestanden mag binnenhalen.

3. De plek van de gegevens

Zolang bestanden in uw Microsoft 365-omgeving blijven, houdt u er grip op. Het gaat mis wanneer ze worden opgeslagen op een privécomputer, doorgestuurd naar een privé-e-mailadres of op een USB-stick mee naar huis gaan. Vanaf dat moment weet u niet meer waar ze zijn.

En het thuisnetwerk?

Dat is minder belangrijk dan vaak wordt gedacht. Het wifi-netwerk van uw medewerker beheert u niet, en dat hoeft ook niet. De verbinding met uw e-mail en bestanden is versleuteld. Zijn ook het apparaat en het inloggen op orde, dan doet het netwerk er weinig toe. Dat geldt thuis, in de trein en in een hotel.

Praktijkvoorbeeld: een administratiekantoor met veertien medewerkers

Neem een administratie- en advieskantoor met veertien medewerkers. Iedereen werkt twee of drie dagen per week thuis. Het kantoor verwerkt loonstroken, jaarrekeningen en aangiften. Vrijwel alles wat het in handen heeft, is vertrouwelijk.

Bij een inventarisatie blijkt het volgende:

• Zes medewerkers werken thuis op een eigen computer. Twee daarvan draaien nog op Windows 10.
• De extra controle bij het inloggen staat aan voor de directie, maar niet voor de rest.
• Het boekhoudpakket draait op een server op kantoor. Thuiswerkers nemen het scherm van hun kantoorcomputer over, met een programma dat een medewerker ooit zelf heeft geïnstalleerd.
• Het kantoor heeft één internetverbinding. Bij een storing kon een ochtend lang niemand thuis bij het boekhoudpakket.

Het kantoor neemt vier besluiten. Iedereen krijgt een zakelijke laptop die centraal wordt beheerd. De extra controle bij het inloggen geldt voortaan voor alle medewerkers. Het losse programma voor overname op afstand maakt plaats voor één beheerde toegang. En er komt een tweede internetverbinding als reserve.

De uitkomst is niet spectaculair, en dat is ook de bedoeling. Medewerkers merken vooral dat thuis en kantoor hetzelfde werken. De directie kan een klant die ernaar vraagt in vijf zinnen uitleggen hoe het is geregeld.

Wat gebeurt er als u het laat zoals het is?

Meestal gebeurt er lange tijd niets. Dat maakt het verraderlijk. Onveilig thuiswerken levert geen storing op en geen klachten. Het werkt gewoon, tot het een keer misgaat.

Het bekendste scenario is een buitgemaakt wachtwoord. Zonder extra controle kan iemand vanaf de andere kant van de wereld inloggen op een mailbox, weken meelezen en op het juiste moment een factuur met een ander rekeningnummer versturen. Niemand merkt het, want er is niets kapot.

Het tweede scenario is een gestolen of afgedankte privécomputer met klantgegevens erop. Een datalek met risico voor de betrokkenen moet u binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Dan wilt u weten wat er op die computer stond. Bij een privé-apparaat weet u dat niet.

Het derde gevolg is praktisch. Hangt het thuiswerken aan één verbinding of één oude server op kantoor, dan legt een storing niet één afdeling stil, maar iedereen die die dag thuis zit.

Advies van Phichique: neem vier besluiten en stel vijf vragen

Veilig thuiswerken vraagt geen groot project. Het vraagt een paar duidelijke besluiten die u als directie zelf kunt nemen.

1. Zet de extra controle bij het inloggen aan voor iedereen. Zonder uitzonderingen, ook niet voor de directie.
2. Beslis over privé-apparaten. Het duidelijkst is een zakelijke laptop voor iedereen die met vertrouwelijke gegevens werkt. Staat u privé-apparaten toe, beperk ze dan tot e-mail en agenda.
3. Kijk wat u al heeft. In Microsoft 365 Business Premium zitten strengere inlogregels en het beheer van laptops en telefoons al in het pakket. Heeft u dat pakket, dan is het een kwestie van inrichten, niet van bijkopen.
4. Zet de afspraken op één A4. Wat mag thuis, wat niet, en wie belt u als een laptop zoek is.

Deze vijf vragen kunt u daarna aan uw ICT-leverancier of beheerder stellen:

• Staat de extra controle bij het inloggen aan voor alle accounts, zonder uitzonderingen?
• Welke apparaten hebben de afgelopen maand ingelogd, en welke daarvan beheren wij niet?
• Kunnen medewerkers bestanden binnenhalen op een privé-apparaat?
• Hoe snel kunt u een gestolen laptop op afstand wissen?
• Wat kunnen thuiswerkers nog doen als de internetverbinding op kantoor uitvalt?

Die laatste vraag wordt vaak vergeten. Voor zakelijke internetverbindingen werken wij in de praktijk met NG-BLU. Op de pagina’s over werkplekbeheer en cybersecurity leest u hoe wij naar apparaten en beveiliging kijken. Wilt u weten waar u nu staat, dan geeft een Cybersecurity Nulmeting daar antwoord op. Is beveiliging maar één van uw vragen, dan is het ICT Kompasgesprek een beter startpunt.

Conclusie: de plek doet er niet toe, de inrichting wel

Kunnen wij veilig thuiswerken? Ja. Maar het antwoord ligt niet aan de keukentafel van uw medewerkers. Het ligt bij het apparaat waarop zij werken, de manier waarop zij inloggen en de plek waar uw gegevens staan.

Zijn die drie op orde, dan maakt het niet uit of iemand thuis, op kantoor of bij een klant zit. Zijn ze dat niet, dan is ook het kantoor niet veilig. Een deel van de maatregelen zit vaak al in wat u betaalt. Het vraagt vooral een besluit, en iemand die controleert of dat besluit ook is uitgevoerd.