Ja, de webapplicatie van uw bedrijf heeft vanaf dag één cybersecurity nodig
Heeft u een webapplicatie voor uw bedrijf, dan is het antwoord duidelijk: beveiliging van webapplicaties zorgt ervoor dat uw applicatie niet plat gaat en dat de gegevens van uw klanten niet gestolen worden. Een webapplicatie is een programma dat in de browser werkt, zoals een webshop, een systeem om afspraken te boeken of een portaal waar leerlingen inloggen. Zo'n programma staat de hele dag open op internet, en iedereen met een verbinding kan op de deur kloppen. Cybersecurity is een reeks maatregelen die vreemden buiten houdt, hun pogingen opmerkt en het werk snel weer op gang brengt als er iets misgaat.
Onze mening is duidelijk: wacht niet op een hack voordat u aan beveiliging denkt. Een hack betekent dat iemand zonder toestemming in uw systeem is gekomen en de gegevens heeft gelezen, veranderd of het systeem heeft stilgelegd. Schade herstellen achteraf kost dagen of weken stilstand, en het vertrouwen van sommige klanten komt misschien nooit meer terug. Beveiliging die vanaf het begin is ingebouwd, werkt rustig op de achtergrond. Uw klanten merken er alleen een gevoel van veiligheid van.
Het maakt niet uit of uw bedrijf klein is. Een apotheker die via zijn website verkoopt, een kliniekmanager die patiëntdossiers bewaart en een schooldirecteur die cijfers van leerlingen online zet: ze hebben allemaal gegevens die voor hackers waardevol zijn. Het verschil tussen wie schade lijdt en wie ontsnapt, zit vaak in eenvoudige stappen die op tijd zijn gezet: veilig inloggen, updates op tijd en een geteste back-up. De volgende delen leggen deze stappen in duidelijke taal uit. Komt u een onbekend woord tegen, dan vindt u de betekenis in onze woordenlijst.
Waarom vallen hackers ook kleine bedrijven aan?
Veel ondernemers denken dat hackers alleen banken en grote bedrijven zoeken. Daardoor schuiven ze beveiliging jaar na jaar op. In werkelijkheid is een klein bedrijf een makkelijk doelwit, omdat de beveiliging meestal zwakker is en de eigenaar niet in de gaten houdt wat er in zijn systeem gebeurt.
Stel u een straat voor met tien winkels. Een dief kiest niet de rijkste winkel, maar de winkel waarvan de deur openstaat. Op internet gebeurt hetzelfde, met als verschil dat de dief hier in korte tijd duizenden deuren probeert.
Aanvallen gaan automatisch en kiezen hun slachtoffer niet op naam
De meeste aanvallen worden niet uitgevoerd door iemand die speciaal achter uw website zit. Ze worden gedaan door automatische programma's, bots genoemd, die de ene website na de andere afgaan. Deze programma's zoeken een inlogpagina die makkelijke wachtwoorden accepteert, of oude software met een bekende zwakke plek.
Vinden ze een open deur, dan gaan ze naar binnen zonder te vragen hoe groot het bedrijf is of hoe het heet. Daarom krijgt een kleine kliniek in een rustige wijk dezelfde pogingen te verduren als een grote website. De juiste vraag is niet of iemand zal proberen binnen te komen, maar of de deur dicht is als iemand het probeert.
Uw gegevens zijn waardevol voor anderen
Misschien ziet u in uw klantenlijst niets bijzonders, maar een hacker ziet er een schat in. Namen, telefoonnummers en adressen van klanten worden verkocht en gebruikt in oplichtingsberichten. Patiëntdossiers, cijfers van leerlingen en gegevens van medewerkers zijn gevoelige informatie waarmee de eigenaar kan worden afgeperst.
Er is ook een soort aanval die niets steelt, maar uw bestanden op slot zet en geld vraagt om ze weer te openen. Dit heet ransomware, en het treft bedrijven die geen goede back-up hebben. Dan is elke dag stilstand direct verlies, ook als er geen enkel bestand is gestolen.
Dit is de schade die een hack achterlaat
Praten over een hack blijft theorie tot u ziet wat er de volgende ochtend gebeurt. De schade blijft niet bij één apparaat of één bestand, maar raakt klanten, medewerkers en uw naam. Als u deze schade precies kent, kunt u de waarde van beveiliging realistisch inschatten.
De volgende voorbeelden zijn niet overdreven. Dit is wat een ondernemer meemaakt als zijn applicatie zonder voorbereiding wordt gehackt. Elk van deze gevolgen kan worden voorkomen of beperkt met bekende stappen, die we verderop bespreken.
Klantgegevens raken buiten uw controle
Meestal gebeurt eerst een datalek, dus gegevens komen terecht bij mensen die ze niet mogen zien. Bij een webshop kunnen adressen, nummers en aankoopgeschiedenis van klanten uitlekken. Daarna krijgen uw klanten valse berichten met de naam van uw winkel, waarin om hun kaartgegevens of een code op hun telefoon wordt gevraagd.
De klant ziet geen verschil tussen de hacker en u, want hij ziet uw naam op het bericht. Daarom moet het winkelsysteem zelf goed beveiligd zijn, zoals het winkelbeheersysteem Storek, dat verkoop, voorraad en klantgegevens samen op één beveiligde plek bewaart.
Het werk ligt stil op het slechtste moment
Een aanval kiest geen rustige dag. Uw website kan plat gaan in de feestdagen, in de inschrijfweek van de school of op een drukke dag vol afspraken in de kliniek. Een van de bekendste aanvallen is een website overspoelen met zoveel verzoeken dat hij niet meer reageert, zodat echte klanten er niet meer bij kunnen.
Tijdens de stilstand komen er geen nieuwe bestellingen binnen, bellen klanten boos op en zijn medewerkers bezig met excuses in plaats van met werken. Gaat het om een hack en niet alleen om drukte, dan kan het systeem dagen dicht blijven tot onderzoek, opschonen en veilig herstarten klaar zijn.
Vertrouwen gaat verloren, en er kunnen juridische gevolgen volgen
Een klant van wie gegevens via uw website zijn gestolen, onthoudt dat lang. Sommige klanten vertrekken stil, anderen schrijven hun ervaring op sociale media. Zoekmachines kunnen ook een waarschuwing zetten bij een gehackte website, waardoor een nieuwe bezoeker twijfelt voordat hij klikt.
In veel landen gelden wetten die bedrijven verplichten de gegevens van mensen te beschermen, zoals de Europese privacywet die bekendstaat als GDPR. Een bedrijf dat beveiliging verwaarloost, moet misschien uitleggen wat er is gebeurd, de getroffen mensen informeren en aantonen dat het de nodige maatregelen had genomen. Dat is papierwerk, moeite en tijd die u had kunnen voorkomen.
Waar zitten zwakke plekken in webapplicaties meestal?
Een zwakke plek, of kwetsbaarheid, is een kleine fout in het systeem waardoor iemand iets kan doen wat niet mag. U ziet zo'n fout niet als u elke dag met het systeem werkt, want alles lijkt normaal. Maar wie ernaar zoekt, vindt hem snel.
Uit onze ervaring komen kwetsbaarheden steeds terug op een paar bekende plekken. Als u ze kent, kunt u uw team of leverancier er bij naam naar vragen.
Inloggen met alleen een wachtwoord
De inlogpagina is de voordeur van uw applicatie. Als inloggen alleen op een wachtwoord draait, is het stelen van één wachtwoord genoeg om de deur te openen. Medewerkers kiezen vaak makkelijke wachtwoorden of gebruiken hetzelfde wachtwoord op meerdere websites. Wordt het ergens anders gestolen, dan opent het ook uw systeem.
De bekende oplossing is inloggen in meerdere stappen. Na het wachtwoord vraagt het systeem om een code die naar de telefoon van de medewerker of naar een app op zijn mobiel gaat. Ook als de hacker het wachtwoord kent, komt hij zonder die telefoon niet binnen. Daarnaast zetten we een account tijdelijk op slot na een aantal foute pogingen achter elkaar, zodat bots geen duizenden wachtwoorden kunnen proberen.
Software en plug-ins die niet zijn bijgewerkt
Elke webapplicatie draait op andere software: het besturingssysteem van de server, de programmeertaal, de database en kant-en-klare plug-ins. De server is de machine waarop uw website op internet draait. Als iemand een kwetsbaarheid in die software vindt, brengt de maker een update uit om hem te dichten, en de beschrijving van het lek wordt voor iedereen bekend, ook voor hackers.
Daar zit het echte gevaar. Een website die al maanden niet is bijgewerkt, heeft gepubliceerde lekken waarvan hackers weten hoe ze erdoor binnenkomen. Updaten moet daarom vast werk zijn met een vaste datum en een verantwoordelijke, niet iets waar u pas aan denkt als er een probleem is. Beheerde hosting met monitoring, zoals Hostrena hosting, neemt deze last op serverniveau van u over.
Formulieren en rechten die te ver openstaan
Het zoekveld, het contactformulier en het veld om bestanden te uploaden zijn allemaal plekken waar een bezoeker kan typen wat hij wil. Controleert het systeem niet wat er wordt ingevuld, dan kan een hacker commando's typen in plaats van tekst en zo de database lezen of aanpassen. Dit is een van de bekendste fouten in de OWASP Top 10, een wereldwijd bekende lijst van de gevaarlijkste zwakke plekken in webapplicaties.
Te ruime rechten zijn een vergelijkbaar gevaar. De receptionist van een kliniek hoeft geen patiëntdossiers te kunnen verwijderen, en wie in de winkel gegevens invoert, hoeft niet de prijzen van alle producten te kunnen wijzigen. Als elk account meer rechten heeft dan het werk vraagt, wordt het stelen van één account een ramp in plaats van een beperkt probleem.
De basislagen die we in elke applicatie bouwen
Goede beveiliging hangt niet van één slot af. Het zijn lagen op elkaar: komt een hacker door de ene laag, dan staat de volgende al voor hem. Zoals een huis met een afgesloten deur, een camera en een kluis binnen.
Bij Linkysoft bouwen we deze lagen in webapplicaties en beheersystemen vanaf de planningsfase, niet pas als het programmeren klaar is. De reden is eenvoudig: beveiliging toevoegen aan een kant-en-klaar systeem is moeilijker en duurt langer dan het vanaf het begin mee te bouwen.
Versleuteling maakt gestolen gegevens waardeloos
Versleuteling betekent dat gegevens worden omgezet in code die alleen te begrijpen is met de juiste sleutel. We versleutelen gegevens onderweg, dus terwijl ze tussen het apparaat van de klant en de server gaan, zodat niemand ze op internet kan lezen. En we versleutelen ze ook als ze in de database zijn opgeslagen.
Het nut daarvan ziet u op de slechtste dag. Komt iemand toch bij de databasebestanden, dan vindt hij betekenisloze code in plaats van namen en nummers van klanten. De sleutels bewaren we in aparte kluizen, ver van de gegevens zelf, zodat sleutels en gegevens niet samen gestolen kunnen worden.
Elke medewerker ziet alleen wat hij nodig heeft
We verdelen rechten op basis van de functie. De arts ziet de dossiers van zijn patiënten, de boekhouder ziet de facturen en de receptionist ziet de afspraken. Dit heet rechten op basis van rollen, en het zorgt ervoor dat een fout of een gestolen account beperkt blijft tot een klein deel van het systeem.
Dit is vooral belangrijk bij systemen met gevoelige gegevens, zoals het kliniek- en ziekenhuissysteem Docmz, of schoolsystemen met gegevens van kinderen. Daarbij zetten we inloggen in meerdere stappen op belangrijke accounts, vooral op accounts van managers met ruimere rechten.
Geteste back-ups en een logboek van elke actie
Een back-up is een kopie van uw gegevens op een andere plek, waar u op terugvalt als het origineel verloren gaat. Maar een back-up die nooit is getest, kan u in de steek laten op de dag dat u hem nodig heeft. Daarom versleutelen en beschermen we back-ups, en testen we het terugzetten echt, zodat we weten dat ze werken voordat we ze nodig hebben.
De laatste laag is een auditlog, een logboek dat bijhoudt wie wat wanneer heeft gedaan. Verdwijnt er een bestelling of verandert er een prijs, dan ziet u in het logboek welk account dat deed en hoe laat. Dit logboek helpt een hack te ontdekken, en ook om dagelijkse discussies tussen medewerkers op te lossen.
Hoe vindt een penetratietest wat uw team niet ziet?
De programmeur die het systeem heeft gebouwd, weet hoe het moet werken. Daardoor is het moeilijk voor hem om elke manier te bedenken om het te breken. Een penetratietest lost dat op. Het is een veilige, afgesproken aanval door een expert die denkt als een hacker, maar met als doel de lekken te vinden en ze aan u te geven voordat anderen ze vinden.
Wij vinden dat elke applicatie met klantgegevens of betalingen deze test moet doorstaan voordat ze live gaat. Dit is een vast onderdeel van onze cybersecurity diensten, voor nieuwe systemen en voor systemen die al draaien.
Wat gebeurt er tijdens de test?
De expert spreekt eerst met u de grenzen van de test af: welke delen van het systeem, op welke dagen en wat niet aangeraakt mag worden. Daarna probeert hij wat een echte hacker zou proberen op de webpagina's, de mobiele app, het netwerk en de koppelingen tussen systemen. Hij combineert automatische tools die snel controleren met menselijke analyse die fouten vindt die tools missen.
De test volgt wereldwijd bekende methodes zoals OWASP en NIST, zodat hij niet afhangt van stemming of toeval. En de test is veilig: hij verwijdert uw gegevens niet en legt uw werk niet stil, want het doel is aantonen dat een lek bestaat, niet het misbruiken om schade te doen.
Wat krijgt u aan het eind, en wanneer herhaalt u de test?
Aan het eind krijgt u een lijst in duidelijke taal met elk lek dat we vonden. Bij elk lek staat een eenvoudige uitleg van wat er door kan gebeuren, hoe ernstig het is en hoe u het oplost. Na het herstel testen we opnieuw om zeker te zijn dat het lek echt dicht is, niet alleen op papier.
Eén test is niet genoeg voor altijd. Elke grote toevoeging aan het systeem, zoals een nieuwe betaalkoppeling of een nieuwe mobiele app, kan een deur openen die er eerst niet was. Daarom raden we aan de test te herhalen na elke grote wijziging, en ook regelmatig als er niets verandert, omdat er steeds nieuwe lekken in software worden gevonden.
Beveiliging gaat door na de lanceerdag
Veel systemen worden goed gebouwd en daarna aan hun lot overgelaten. Na een paar maanden duiken nieuwe lekken op in de software, wisselen medewerkers en worden er snel functies toegevoegd zonder controle. Een systeem dat op de lanceerdag veilig was, blijft dat niet vanzelf.
Daarom zien we beveiliging als doorlopend werk met eigen tools en verantwoordelijken. De volgende delen leggen uit wat er elke dag en elke week moet gebeuren, en wat er moet gebeuren als er echt een incident is.
Doorlopend scannen en 24 uur per dag monitoring
Doorlopend scannen betekent dat tools uw systeem regelmatig controleren op bekende lekken en het team waarschuwen zodra ze er een vinden. Het lijkt op een vaste onderhoudsbeurt voor uw auto, in plaats van wachten tot hij onderweg stilvalt. Scannen vindt oude software en verkeerde instellingen voordat anderen ze vinden.
Monitoring is een oog dat dag en nacht openblijft. Probeert iemand honderden keren in een paar minuten in te loggen, of logt een manageraccount midden in de nacht in vanuit een vreemd land, dan komt er direct een melding. Het verschil tussen een hack binnen een uur ontdekken of pas na weken, is het verschil tussen een klein probleem en een ramp.
Een schild voor de applicatie
Een web application firewall is een schild tussen internet en uw applicatie. Elk verzoek naar uw website gaat er eerst doorheen: normale verzoeken mogen door, kwaadaardige worden tegengehouden. Hij stopt bijvoorbeeld pogingen om commando's in formulieren te typen en bots die wachtwoorden uitproberen.
Dit schild helpt ook bij een stortvloed aan verzoeken, en ziet het verschil tussen de drukte van echte klanten op een actiedag en een aanval die uw website wil platleggen. Het vervangt het dichten van lekken in de applicatie niet, maar geeft u tijd en houdt de meeste automatische aanvallen al tegen voordat ze aankomen.
Een kant-en-klaar plan als er iets gebeurt
Hoe goed de beveiliging ook is, u moet weten wat u doet als er iets gebeurt. Een bedrijf zonder plan verliest de eerste uren aan verwarring en telefoontjes. Een voorbereid bedrijf werkt met duidelijke stappen die iedereen kent:
- Inperken: het getroffen deel afsluiten zodat de schade zich niet verspreidt naar de rest van het systeem.
- Onderzoeken: uitzoeken hoe en wanneer de hacker binnenkwam en wat hij heeft aangeraakt.
- Opschonen: elk spoor dat hij achterliet verwijderen en de gegevens terugzetten vanaf een goede kopie.
- Het lek dichten: de deur repareren waardoor hij binnenkwam, zodat hij niet via dezelfde weg terugkomt.
Uw medewerkers zijn de eerste verdedigingslinie
De meest succesvolle aanvallen beginnen niet met een fout in de code, maar met een bericht. Een medewerker krijgt een e-mail die van de bank of de baas lijkt te komen en wordt gevraagd op een link te klikken en zijn wachtwoord in te vullen. Dit heet phishing, en het komt door de beste systemen heen als één medewerker erin trapt.
Training in beveiligingsbewustzijn leert medewerkers de kenmerken van een nepbericht te herkennen en nooit een inlogcode aan iemand te geven, wie die persoon ook zegt te zijn. Ook leren ze een verdacht bericht meteen te melden in plaats van zich te schamen voor een fout. Een paar uur training kan de gevaarlijkste aanval voorkomen die uw bedrijf kan treffen.
Wat bepaalt hoeveel beveiligingswerk u nodig heeft en wat het kost?
Er is geen aanbod dat bij elk bedrijf past, omdat de hoeveelheid werk per systeem verschilt. Een informatieve website van vijf pagina's vraagt veel minder werk dan een platform met betalingen en duizenden gebruikers. Weten wat de inspanning verhoogt of verlaagt, helpt u elk aanbod te begrijpen dat u krijgt.
De algemene regel: hoe meer deuren een systeem heeft en hoe gevoeliger wat erin zit, hoe meer werk het kost om het te beschermen. De volgende punten zijn waar elk serieus team naar kijkt voordat het de klus inschat.
De grootte van de applicatie en de gevoeligheid van de gegevens
Het aantal pagina's, de soorten gebruikers en het aantal gekoppelde systemen maken de controle allemaal groter. Een systeem met een klantportaal, een medewerkersportaal, een mobiele app en een koppeling met een betaalsysteem moet op al die onderdelen worden gecontroleerd. Een systeem met één inlogpagina voor een paar medewerkers is veel eenvoudiger.
De gevoeligheid van gegevens verandert de rekensom. Patiëntdossiers, cijfers van leerlingen en betaalgegevens vragen om strengere versleuteling, een uitgebreider auditlog en soms documenten om aan de wet te voldoen. Een onderwijsplatform zoals het leerplatform Acad bewaart gegevens van leerlingen en heeft daarom meer zorg nodig dan een website die een menukaart laat zien.
Een nieuwe applicatie of een bestaande die door een ander team is gebouwd?
Een nieuwe applicatie is makkelijker te beveiligen, omdat de lagen vanaf het begin volgens plan worden meegebouwd. Een bestaande applicatie, zeker als het team dat haar bouwde er niet meer is, moet eerst worden begrepen. De code is misschien niet gedocumenteerd, de software is oud en de rechten zijn door elkaar gehaald.
In dat geval beginnen we met een controle die het echte beeld laat zien, en zetten we de reparaties op volgorde van risico. Eerst dichten we wat een datalek of stilstand kan veroorzaken, daarna gaan we stap voor stap verder met wat minder gevaarlijk is. Zo blijft uw werk doorlopen, en steekt u geen moeite in bijzaken voordat de gevaarlijke zaken zijn opgelost.
Vragen die u elke leverancier stelt voordat u ja zegt
Een goed aanbod beantwoordt duidelijke vragen, een zwak aanbod ontwijkt ze. Vraag voordat u akkoord gaat met een beveiligingsdienst om schriftelijke antwoorden op deze vragen:
- Wat valt er precies onder de controle: alleen de website, of ook de applicatie, de mobiele app en de koppelingen?
- Krijgt u een schriftelijk rapport in begrijpelijke taal, met hoe elk lek wordt opgelost?
- Zit een hertest na het herstel in de afspraak, of is die apart?
- Wie houdt het systeem 's nachts en in de vakanties in de gaten, en hoe snel wordt er op een melding gereageerd?
- Wat gebeurt er in de eerste uren als er een incident is, en wie belt wie?
- Blijven de code en de gegevens volledig van u als u de samenwerking stopt?
Vragen die ondernemers stellen over de beveiliging van hun applicaties
Hier hebben we vragen verzameld die we vaak horen van winkeleigenaren en managers van klinieken en scholen. De antwoorden zijn kort en direct, zodat u een besluit kunt nemen zonder technische kennis.
Staat uw vraag er niet tussen, dan vindt u meer vragen in de vragenlijst onder dit artikel en in het helpcentrum op onze website.
Is goede hosting genoeg om mijn applicatie te beveiligen?
Goede hosting beschermt de server waarop uw applicatie draait. Dat is een belangrijk deel, maar niet alles. Zit er in de applicatie zelf een lek, zoals een formulier dat commando's accepteert of te ruime rechten, dan houdt zelfs de beste server een hacker niet tegen. Echte beveiliging combineert een beveiligde server met een applicatie die veilig is gebouwd. Zie het als een huis in een veilige wijk: u moet uw eigen deur nog steeds op slot doen.
Hoe weet ik of mijn applicatie gehackt is?
Sommige tekenen zijn duidelijk, zoals pagina's waarvan de inhoud is veranderd, accounts die niemand kent of klanten die klagen over vreemde berichten met uw naam. Andere zijn verborgen, zoals onverklaarbare traagheid of bezoekers die naar andere websites worden doorgestuurd. Het probleem is dat veel hacks wekenlang stil doorgaan zonder enig teken. Daarom zijn doorlopende monitoring en een auditlog de enige manier om het vroeg te weten.
Ligt mijn werk stil tijdens een penetratietest?
Nee, meestal ligt er niets stil. De expert spreekt vooraf met u af welke delen hij test en op welke tijden, en vermijdt elke stap die het werk kan verstoren of gegevens kan wissen. Bij gevoelige systemen kan de test op een exacte kopie van het systeem worden gedaan, in plaats van op de versie die klanten gebruiken. Zo krijgt u de resultaten zonder dat uw klanten er iets van merken.
Hoe lang duurt het om een bestaande applicatie te beveiligen?
Dat hangt af van de grootte en de staat van de applicatie. De eerste controle van een kleine applicatie kan in een paar dagen klaar zijn, terwijl grote platforms met veel onderdelen weken nodig hebben. Na de controle volgt het herstel, op volgorde van risico: ernstige lekken worden meestal eerst gedicht, vaak binnen een paar dagen, en daarna gaat het werk aan de rest stap voor stap door.
Heb ik een eigen beveiligingsteam in mijn bedrijf nodig?
De meeste kleine en middelgrote bedrijven hebben geen volledig team in huis nodig. Vaak is het genoeg om één verantwoordelijke binnen het bedrijf te hebben, plus een gespecialiseerde externe partner die de controles, de monitoring en de aanpak van incidenten doet. Belangrijk is dat de taken op papier staan en duidelijk zijn, zodat niemand denkt dat het werk van de ander is. Hoe groter het systeem en hoe gevoeliger de gegevens, hoe nauwer het toezicht moet zijn.
Begin deze week met deze drie stappen
U heeft geen groot plan nodig om te beginnen. De eerste stap is een lijst maken van alles wat uw bedrijf online heeft: de website, de webshop, het boekingssysteem en de mobiele app, en wie bij elk ervan kan inloggen. De tweede stap is inloggen in meerdere stappen aanzetten op elk manageraccount en de accounts van vertrokken medewerkers verwijderen. De derde stap is degene die uw systeem beheert één vraag stellen: wanneer hebben we voor het laatst echt geprobeerd een back-up terug te zetten?
Daarna is het tijd voor een controle door een specialist. Bij Linkysoft bieden we een gratis beveiligingscheck en advies, waarin we uw applicatie bekijken en u een duidelijk beeld geven van de gevaarlijkste zwakke plekken en wat u als eerste moet oplossen, of wij het systeem nu hebben gebouwd of een ander team. U kunt dit aanvragen via de contactpagina, en wilt u eerst meer lezen voordat u beslist, dan vindt u praktische antwoorden in het helpcentrum.
