Veilig thuiswerken: zeven afspraken voor je team

Waarom is thuiswerken een risico?

Op kantoor staan doorgaans maatregelen als antivirus op alle computers, een firewall, een beschermd wifi-netwerk en een apart netwerk voor gasten. Het NCSC schrijft dat thuiswerken risico’s met zich meebrengt. Het noemt als voorbeeld een onveilige privécomputer die ook door de kinderen wordt gebruikt, en adviseert dat een medewerker zijn thuisnetwerk veilig inricht. Daardoor is de kans groter dat bedrijfsgegevens in verkeerde handen vallen.

Veel van die risico’s pak je aan met duidelijke afspraken. Hieronder staan er zeven.

Welke zeven afspraken maak je met je team?

1. Gebruik een beveiligde verbinding

Een VPN zorgt ervoor dat het verkeer versleuteld is, zodat anderen niet zomaar kunnen meekijken. Via de VPN werken medewerkers thuis met de bedrijfsapplicaties en gegevens. Een VPN is een van de maatregelen die het NCSC noemt. Werk je met een webapplicatie, zoals een boekhoud- of CRM-pakket dat ook buiten kantoor bereikbaar is, dan moet die veilig zijn ingericht, onder meer met versleuteld verkeer. Het NCSC adviseert ook om tijdig na te gaan of de licenties en de capaciteit van bijvoorbeeld de VPN-server genoeg zijn voor iedereen die thuis werkt.

2. Gebruik meervoudige verificatie en sterke wachtwoorden

Het NCSC adviseert sterke en unieke wachtwoorden, ook op de privéapparatuur die medewerkers eventueel gebruiken. Gebruik dus niet overal hetzelfde wachtwoord. Applicaties en data die op afstand te benaderen zijn, kun je volgens het NCSC het best beschermen met meervoudige verificatie (MFA). Naast gebruikersnaam en wachtwoord heb je dan bijvoorbeeld ook een mobiel nodig om in te loggen. Het NCSC noemt daarnaast passkeys als iets om te overwegen. Hoe je MFA invoert, lees je in Meervoudige verificatie (MFA): zo zet je het op.

3. Stel regels voor privé-apparaten

Bepaal of medewerkers hun eigen computer mogen gebruiken. Staat je dat toe, geef dan richtlijnen waar die computer aan moet voldoen. Het NCSC noemt als voorbeeld dat de software up-to-date is en dat virussen en malware worden voorkomen. Zo houd je ook schaduw-IT zoveel mogelijk in de hand: apparaten en programma’s waar jij niets van weet. In het BYOD-advies van het NCSC staan daarnaast deze punten:

• Beveilig het apparaat minimaal met een wachtwoord of pincode.
• Bewaar bedrijfsgegevens in een systeem waarvan structureel een back-up wordt gemaakt.
• Maak duidelijke afspraken over het op afstand wissen van bedrijfsgegevens. Het NCSC wijst erop dat dan ook de privégegevens op het apparaat worden verwijderd.

De juridische kant, zoals de privacy van medewerkers en wat je in een arbeidsovereenkomst of beleid vastlegt, laat je beoordelen door een jurist.

4. Vergrendel het scherm, ook thuis

Thuis hebben partners, vrienden of kinderen eerder toegang tot de computer dan op kantoor. Het NCSC adviseert medewerkers bewust te maken van het vergrendelen van hun computer als ze die verlaten. Dat geldt ook voor even naar de keuken. Vraag je IT-partner of het scherm na korte tijd ook vanzelf kan vergrendelen.

5. Spreek af welke diensten je team gebruikt

Het NCSC vindt het onverstandig om willekeurige diensten te gebruiken om gevoelige gegevens te delen. Maak daarom afspraken over welke diensten medewerkers mogen gebruiken om met anderen te communiceren of data te delen. Een praktische aanvulling van onze kant: leg vast welke dienst voor welk soort gegevens bedoeld is.

6. Controleer verdachte verzoeken via een ander kanaal

Twijfel je of een bericht echt komt van iemand die je kent, dan adviseert het NCSC die persoon te bellen op een nummer dat je al had, of via een andere bron dan het bericht zelf. Gebruik niet de contactgegevens uit het verdachte bericht. Volgens het NCSC proberen valse berichten je onder druk te zetten met laatste waarschuwingen of spoedmeldingen. Een spoedverzoek is dus een waarschuwingssignaal. Een afspraak die wij zelf handig vinden: laat verzoeken om een betaling of om inloggegevens altijd via een ander kanaal controleren.

Het NCSC adviseert organisaties om één duidelijk aanspreekpunt te hebben, bijvoorbeeld een servicedesk of securityteam, en om incidenten bespreekbaar te maken zonder de schuld bij iemand te leggen. Bij een klein bedrijf kan je IT-partner dat aanspreekpunt zijn. Meer signalen staan in Phishing herkennen: 7 signalen voor je team.

7. Wees voorzichtig met openbare wifi en let op Remote Desktop

Volgens het NCSC is het voor hackers relatief eenvoudig om een kwaadaardige wifi-hotspot op te zetten, meestal met dezelfde naam als de echte. Als gebruiker merk je daar niets van. Geef je team daarom deze afspraken mee, op basis van het NCSC-advies over wifi-hotspots:

• Kies waar het kan voor mobiel internet. Het NCSC noemt dat veel moeilijker te hacken dan een openbare wifi-hotspot.
• Gebruik een VPN als je toch een hotspot gebruikt.
• Gebruik een hotspot bij voorkeur niet voor vertrouwelijke zakelijke informatie.
• Download en installeer liever niets op een openbaar netwerk. Voer updates liever uit op een vertrouwd bedrijfsnetwerk of via een mobiele verbinding.
• Log uit en verbreek de verbinding of zet wifi uit zodra je klaar bent.

Ook het netwerk thuis telt. Volgens het NCSC moet een medewerker zijn thuisnetwerk veilig inrichten, en dat verschilt in de basis vaak niet veel van een kantoornetwerk.

Met Remote Desktop (RDP) kan een medewerker bijvoorbeeld vanuit huis een computer op kantoor overnemen. Volgens het NCSC worden deze technieken vaak door cybercriminelen misbruikt om malware en ransomware te verspreiden. Het NCSC adviseert daarom veilige instellingen te kiezen. Vraag je IT-partner of Remote Desktop bij jou wordt gebruikt en hoe het is afgeschermd.

Wat doe je als een laptop kwijtraakt of wordt gestolen?

Is de laptop aangemeld in Intune, de dienst van Microsoft voor het beheren van apparaten, dan kan een beheerder op afstand de actie Wipe starten. Volgens Microsoft Learn zet Wipe een apparaat terug naar de fabrieksinstellingen en verwijdert het alle gegevens en instellingen. Windows staat bij de ondersteunde platforms. Voor Windows kan de beheerder kiezen uit enkele opties, bijvoorbeeld of gebruikersgegevens bewaard blijven. Het apparaat moet in Intune zijn aangemeld en verbinding met internet hebben om de opdracht te ontvangen.

Voor de actie Remote lock noemt Microsoft Learn Windows niet bij de ondersteunde platforms. Die lijst bevat onder meer iOS/iPadOS, macOS en bepaalde Android-toestellen, en de actie is alleen effectief als er al een pincode of wachtwoord is ingesteld. Voor een Windows-laptop beschrijft Microsoft Learn dus de actie Wipe. Dit is de stand van november 2026. Microsoft kan de lijst aanpassen.

Wissen betekent dat lokale bestanden verdwijnen. Sla bedrijfsgegevens daarom op een centrale plek op en regel een goede back-up, zoals je leest in De 3-2-1 back-upregel voor mkb-bedrijven. Daarnaast kent Intune de actie Retire. Volgens Microsoft Learn verwijdert die bedrijfsgegevens en bedrijfsinstellingen van een apparaat en blijven persoonlijke gegevens staan. Of die actie bij een privé-apparaat in jouw situatie kan, bespreek je met je IT-partner.

Zo voer je de afspraken in

1. Zet de zeven afspraken op papier en bespreek ze met je team.
2. Maak een lijst van de apparaten waarmee thuis wordt gewerkt, zakelijk en privé.
3. Controleer of de beveiligde verbinding en MFA bij iedereen aan staan.
4. Wijs een aanspreekpunt aan voor vragen en voor meldingen van verdachte berichten.
5. Bespreek de afspraken opnieuw bij een nieuwe medewerker of een nieuw apparaat.