Wifi op kantoor: zes stappen voor dekking, gastennetwerk en beveiliging

Welke zes stappen neem je door?

Stap 2 tot en met 6 over wachtwoorden, versleuteling, firmware en gescheiden netwerken komen uit de pagina’s van het NCSC (Nationaal Cyber Security Centrum) over het beveiligen van een draadloos bedrijfsnetwerk, over het bedrijfsnetwerk en over slimme apparaten. Stap 1 over de dekking komt uit de werkwijze van HAN-IT. Dit zijn de zes stappen:

1. Meet de dekking met een plattegrond en een meting op locatie.
2. Kies een sterk wifi-wachtwoord van minimaal 12 tekens, bijvoorbeeld een wachtwoordzin.
3. Wijzig het beheerwachtwoord van je router of accesspoint als dat nog de standaardinstelling is.
4. Stel WPA2-PSK met AES in, want TKIP is volgens het NCSC niet meer veilig genoeg.
5. Controleer regelmatig op nieuwe firmware en laat het bijwerken bij voorkeur doen door iemand met ervaring.
6. Scheid de netwerken: medewerkers, bezoekers en slimme apparaten apart.

Stap 1: hoe weet je of de dekking klopt?

Hoeveel accesspoints je nodig hebt en waar ze komen te hangen, stel je vast met een plattegrond en een meting op locatie. Begin met een plattegrond van het kantoor. Teken erop waar mensen werken, waar je vergadert en waar apparaten staan die altijd online moeten zijn, zoals telefoons en printers.

Meet daarna ter plekke de signaalsterkte, ruimte voor ruimte. Zo zie je waar het signaal zwak is en waar een accesspoint het meeste effect heeft. Tel ook hoeveel apparaten er samen verbinden, want de apparatuur moet passen bij je pand en je aantal gebruikers. Leg de uitkomst vast op de plattegrond. Dat helpt bij storingen, een uitbreiding of een verhuizing.

Stap 2 en 3: welke wachtwoorden pas je aan?

Een wifi-netwerk heeft twee wachtwoorden die je moet kennen. Het eerste gebruiken je medewerkers om te verbinden. Het tweede geeft toegang tot de beheerpagina van de router of het accesspoint.

• Het wifi-wachtwoord. Het NCSC noemt minimaal 12 tekens, en hoe meer hoe beter. Een wachtwoordzin is makkelijk te onthouden en daardoor een handige keuze.
• Het beheerwachtwoord. De fabrikant levert standaard inloggegevens, en op internet circuleren lijsten met de standaardwachtwoorden van draadloze apparatuur. Een standaardwachtwoord beschermt dus niets. Gebruik je het nog, wijzig het dan zo snel mogelijk.

Stap 4: welke versleuteling kies je?

Het stappenplan van het NCSC noemt WPA2-PSK, ook wel WPA2 Personal, met AES. TKIP is volgens het NCSC niet meer veilig genoeg. Zorg dat alle apparaten dezelfde methode gebruiken. Kan een apparaat daar niet mee overweg, bespreek dan met je IT-partner wat je ermee doet.

WPA3 noemt het NCSC-stappenplan niet. De Wi-Fi Alliance, de organisatie achter het certificeringsprogramma Wi-Fi CERTIFIED, schrijft dat gebruikers van WPA3-Personal extra bescherming krijgen tegen pogingen om een wachtwoord te raden. Of je apparatuur WPA3 ondersteunt en of het bij jullie netwerk past, bespreek je met je IT-partner.

Stap 5: waarom werk je firmware bij?

De software in je router of accesspoint heet firmware. Die kan kwetsbaarheden bevatten, schrijft het NCSC, dus controleer regelmatig op de website van de fabrikant of er een nieuwe versie is.

Let wel op: het NCSC waarschuwt dat het bijwerken van firmware riskant is. Gaat er tijdens de update iets mis, dan kan het apparaat niet meer werken. Laat het daarom bij voorkeur doen door iemand met ervaring en leg vast wie dit voor jullie doet.

Stap 6: waarom aparte netwerken?

Het NCSC adviseert het netwerk op te splitsen. Zo kunnen malware of virussen zich niet zomaar naar andere delen van het netwerk verspreiden.

Medewerkers en bezoekers

Als voorbeeld noemt het NCSC een netwerk voor medewerkers en een netwerk voor bezoekers. Het idee van een gastennetwerk is dat bezoekers internet krijgen zonder bij je bedrijfssystemen te kunnen. Is het goed ingesteld, dan blijft je interne netwerk daardoor afgeschermd. Je kunt ook elke afdeling een eigen ruimte op het netwerk geven. Technisch kan dat met VLAN’s (virtuele netwerken).

Het NCSC waarschuwt dat dit zelf instellen ingewikkeld is. Gaat het onzorgvuldig, dan kan het bedrijfsprocessen verstoren of nieuwe beveiligingsrisico’s geven. Bespreek met je IT-dienstverlener of en hoe het bij jouw bedrijf past.

IP-camera’s en slimme apparaten

Het NCSC noemt printers, scanners, webcams en televisies als apparaten die met je netwerk verbonden kunnen zijn en mogelijk niet voldoende beveiligd zijn. Het adviseert slimme apparaten te scheiden van de rest van het netwerk. Een eenvoudige manier is ze alleen toegang te geven tot het gastennetwerk, en volgens het NCSC kunnen de meeste modems en routers zo’n netwerk eenvoudig aanmaken.

IP-camera’s staan niet bij naam op die pagina van het NCSC. Het zijn wel apparaten met een netwerkverbinding, en HAN-IT hangt camera’s bij camerabeveiliging aan een afgeschermd deel van het netwerk. Verder noemt het NCSC onder meer deze maatregelen voor slimme apparaten:

• Maak een lijst van alle slimme apparaten op je netwerk, ook de draadloze.
• Laat standaardinstellingen zoals het standaardwachtwoord niet staan en stel het apparaat in volgens de handleiding.
• Installeer beschikbare beveiligingsupdates voor de software van het apparaat.
• Controleer regelmatig of de fabrikant het apparaat nog ondersteunt.

Voor de regels rond camerabeelden en privacy ga je naar een jurist of adviseur.

Zo controleer je je eigen wifi

Loop deze vragen langs. Elke vraag waar je nee of ‘weet ik niet’ op antwoordt, is een stap om te plannen.

• Is het wifi-wachtwoord minimaal 12 tekens lang?
• Is het standaard beheerwachtwoord van de router of het accesspoint gewijzigd?
• Staat de versleuteling op WPA2-PSK met AES?
• Weet je wanneer er voor het laatst is gezocht naar nieuwe firmware, en wie dat doet?
• Zitten bezoekers en slimme apparaten zoals camera’s op een apart netwerk?
• Heb je een plattegrond met de uitkomst van een dekkingsmeting?

Wanneer haal je er iemand bij?

Het NCSC adviseert firmware bij voorkeur door iemand met ervaring te laten bijwerken en het opsplitsen van het netwerk te bespreken met je IT-dienstverlener. Een IT-partner kan ook de dekking meten en het netwerk vastleggen, zodat firmware en instellingen op orde blijven. Lees meer over managed IT.