Gids zakelijke e-mailbeveiliging voor mkb

Een factuur die nét echt genoeg lijkt, een verzoek van de directeur dat met spoed betaald moet worden of een medewerker die zijn wachtwoord invult op een valse inlogpagina: zakelijke e-mail is een geliefd doelwit. De gids zakelijke e-mailbeveiliging begint daarom niet bij ingewikkelde techniek, maar bij een simpele vraag: wat gebeurt er met uw bedrijf als iemand via e-mail binnenkomt?

Voor veel mkb-bedrijven is e-mail de plek waar offertes, facturen, klantgegevens en afspraken samenkomen. Valt die toegang weg of krijgt een aanvaller toegang, dan ontstaat er direct vertraging, financiële schade en onrust. Goede beveiliging voorkomt niet elk risico, maar maakt het criminelen wel veel moeilijker en zorgt dat u snel kunt handelen als er toch iets gebeurt.

Waarom alleen een sterk wachtwoord niet genoeg is

Een lang, uniek wachtwoord blijft noodzakelijk. Toch is het geen complete beveiligingsstrategie. Wachtwoorden kunnen worden buitgemaakt via phishing, een besmet apparaat of een datalek bij een andere dienst. Gebruikt iemand hetzelfde wachtwoord op meerdere plekken, dan kan één lek gevolgen hebben voor het hele bedrijf.

Daarom hoort meervoudige authenticatie, meestal MFA genoemd, standaard op zakelijke e-mail. Naast het wachtwoord vraagt de gebruiker dan om een tweede bevestiging, bijvoorbeeld via een authenticator-app. Een gestolen wachtwoord is zonder die extra stap veel minder bruikbaar.

MFA vraagt iets van medewerkers. Zij moeten een extra handeling uitvoeren en een nieuwe telefoon tijdig laten registreren. Dat weegt meestal ruimschoots op tegen de schade van een overgenomen mailbox. Kies bij voorkeur voor een authenticator-app in plaats van alleen sms. Sms is beter dan niets, maar kwetsbaarder voor misbruik van telefoonnummers.

Ook het beheer van accounts verdient aandacht. Geef medewerkers alleen toegang tot wat zij nodig hebben, verwijder accounts van oud-medewerkers direct en controleer regelmatig wie beheerdersrechten heeft. Een ongebruikt account is geen onschuldig archief, maar een mogelijke achterdeur.

Gids zakelijke e-mailbeveiliging: de basis op orde

E-mailbeveiliging bestaat uit lagen die elkaar aanvullen. Spamfilters vangen veel ongewenste berichten af, maar geen enkel filter herkent alles. Technische instellingen beschermen uw domeinnaam. Duidelijke afspraken beperken menselijke fouten. Back-ups en een incidentplan beperken de gevolgen als het misgaat.

Bescherm uw domeinnaam tegen misbruik

Criminelen sturen regelmatig e-mails uit naam van een bestaand bedrijf. Dat schaadt niet alleen uw klanten, maar ook uw reputatie. Met SPF, DKIM en DMARC legt u vast welke systemen namens uw domein e-mail mogen versturen en hoe ontvangende mailservers verdachte berichten moeten behandelen.

SPF is een lijst van toegestane verzendende servers. DKIM voegt een digitale handtekening toe aan uitgaande e-mail. DMARC controleert of die twee technieken kloppen en geeft aan wat een ontvanger moet doen als dat niet zo is. Samen verkleinen ze de kans dat iemand geloofwaardig kan mailen uit uw naam.

De instellingen moeten wel passen bij uw situatie. Veel bedrijven versturen ook e-mail via een boekhoudpakket, nieuwsbriefsysteem, websiteformulier of CRM. Wordt zo’n verzender vergeten, dan kunnen legitieme berichten in de spam belanden. Begin daarom met inventariseren, zet DMARC eerst op controle en bouw daarna op naar een strengere blokkade. Zo krijgt u veiligheid zonder dat uw normale communicatie stilvalt.

Houd schadelijke mail buiten de inbox

Een goed ingestelde e-mailfilter scant op bekende malware, verdachte links, afzenders en afwijkend gedrag. Toch moet een filter zorgvuldig worden afgesteld. Een te strenge instelling houdt mogelijk een belangrijke offerte of orderbevestiging tegen. Een te ruime instelling laat te veel twijfelachtige berichten door.

Controleer daarom regelmatig de quarantaine en maak duidelijk wie dat binnen uw organisatie doet. Voeg betrouwbare afzenders alleen bewust toe aan een veilige lijst. Een afzender kan namelijk ooit worden overgenomen. Het is verstandiger om een bericht op kenmerken te beoordelen dan een volledig domein blind te vertrouwen.

Let extra op links naar inlogpagina’s en bijlagen met macro’s of ongebruikelijke bestandstypen. Laat medewerkers niet inloggen via een link uit een e-mail als dat niet nodig is. Open liever zelf de bekende website of gebruik een opgeslagen, gecontroleerde bladwijzer.

Maak phishing bespreekbaar, niet beschamend

De meeste aanvallen slagen niet doordat medewerkers onzorgvuldig zijn, maar doordat berichten slim inspelen op tijdsdruk en vertrouwen. Een aanvaller kan een leverancier imiteren, namen van collega’s gebruiken en zelfs bestaande factuurgegevens kopiëren. Vooral verzoeken om een nieuw bankrekeningnummer, een spoedbetaling of het delen van inloggegevens verdienen een extra controle.

Spreek af dat medewerkers bij twijfel altijd mogen bellen, vragen of doorsturen naar de juiste contactpersoon. Geen verwijten, wel snel handelen. Wie bang is om een fout te melden, wacht vaak te lang.

Een praktische afspraak is een tweede controle buiten de e-mail om bij betalingsverzoeken of gewijzigde rekeningnummers. Bel het bekende nummer van de leverancier, niet het nummer uit het verdachte bericht. Dit kost enkele minuten en kan een fraudegeval van duizenden euro’s voorkomen.

Zorg dat een incident geen bedrijfsstilstand wordt

Zelfs met goede maatregelen kan een medewerker op een verkeerde link klikken of kan een account worden misbruikt. Het verschil zit dan in de snelheid van reageren. Als u pas handelt wanneer klanten vreemde e-mails ontvangen, is er vaak al tijd verloren.

Leg vooraf vast wie welke beslissing neemt. De directie of financieel verantwoordelijke moet weten wanneer betalingen tijdelijk worden stilgezet. De persoon die e-mail of ICT beheert moet accounts kunnen blokkeren, wachtwoorden resetten, actieve sessies beëindigen en verzendregels controleren. Aanvallers maken vaak stiekem een regel aan die kopieën van e-mails doorstuurt naar een extern adres.

Een werkbaar incidentplan bevat minimaal deze vier acties:

• Meld de verdachte e-mail of accountovername direct bij de aangewezen contactpersoon.
• Blokkeer of beveilig het betrokken account en wijzig het wachtwoord vanaf een schoon apparaat.
• Controleer doorstuurregels, verzonden e-mails, gekoppelde apparaten en beheerdersaccounts.
• Informeer klanten, leveranciers of collega’s als zij mogelijk een vals bericht hebben ontvangen.

Bewaar zakelijke gegevens daarnaast niet uitsluitend in één mailbox. Belangrijke documenten horen thuis in een beheerde opslagomgeving met de juiste toegangsrechten en een herstelmogelijkheid. Een back-up is pas waardevol als u weet wat er wordt bewaard, hoe lang en hoe snel herstel mogelijk is.

Kies beheer dat past bij uw organisatie

Een bedrijf met vijf medewerkers heeft andere behoeften dan een organisatie met meerdere vestigingen, gedeelde mailboxen en externe partners. Toch blijven de uitgangspunten gelijk: inzicht in accounts, MFA, goed ingestelde domeinbeveiliging, filtering, updates en een aanspreekpunt bij problemen.

U kunt dit intern organiseren als daar kennis en tijd voor beschikbaar zijn. In de praktijk ligt e-mailbeheer vaak verspreid over een ondernemer, een administratief medewerker en een externe leverancier. Dan is het lastig om te zien wie verantwoordelijk is voor een vergeten account, een verlopen domeininstelling of een verdachte melding.

Beheerd e-mail- en ICT-beheer brengt die onderdelen onder één dak. Een partij als NLXS kan helpen met instellingen, monitoring en ondersteuning wanneer er iets afwijkt. Dat betekent niet dat u nooit meer hoeft na te denken over veiligheid. Wel hoeft u niet zelf bij ieder probleem uit te zoeken welke leverancier verantwoordelijk is.

Controleer uw e-mailbeveiliging elk kwartaal

Beveiliging is geen eenmalig project dat na de installatie klaar is. Medewerkers komen en gaan, software verandert en criminelen passen hun werkwijze aan. Plan daarom ieder kwartaal een kort controlemoment. Kijk naar actieve accounts, MFA-gebruik, beheerdersrechten, doorstuurregels, spaminstellingen en de werking van SPF, DKIM en DMARC.

Neem ook echte meldingen mee in die evaluatie. Kwam er een phishingbericht doorheen? Werd een legitieme e-mail onterecht tegengehouden? Juist die voorbeelden laten zien waar een instelling of afspraak beter kan. Zo groeit e-mailbeveiliging mee met uw bedrijf, zonder dat het een ingewikkeld ICT-project wordt.

De beste eerste stap is vaak heel concreet: controleer deze week of iedereen MFA gebruikt en of oud-medewerkers geen toegang meer hebben. Daarmee haalt u direct twee veelvoorkomende risico’s weg en krijgt u weer grip op een systeem dat elke werkdag onmisbaar is.