5 Misverstanden over security die het mkb beter kan loslaten

Toch is digitale veiligheid allang niet meer alleen een onderwerp voor grote organisaties met een eigen securityafdeling. Ook voor het mkb is digitale weerbaarheid onderdeel geworden van de dagelijkse bedrijfsvoering. En doordat organisaties steeds meer digitale toepassingen gebruiken, ontstaan ook nieuwe risico’s.

Dat blijkt uit onderzoek van ABN AMRO en MWM2 uit juni 2026 onder 777 Nederlandse organisaties. 78% van de onderzochte mkb-bedrijven gebruikt AI, maar slechts 9% heeft formeel beleid voor het gebruik van externe AI-tools. Nieuwe technologie wordt dus snel onderdeel van het dagelijkse werk, terwijl afspraken over veilig gebruik achterblijven.

Het probleem is dus niet dat het mkb niets aan cybersecurity doet. Het is dat sommige overtuigingen over digitale veiligheid niet meer passen bij de manier waarop we tegenwoordig werken. Tijd dus om vijf veelgehoorde misverstanden over cybersecurity opnieuw tegen het licht te houden.

Meer lezen over dit onderwerp? 'Mkb worstelt met werkplek'

Een cyberaanvaller hoeft niet persoonlijk geïnteresseerd te zijn in uw organisatie om toch binnen te proberen te komen. Een gestolen account, kwetsbare laptop of verkeerd ingestelde toegang kan al voldoende zijn. Ook kleinere organisaties beschikken over waardevolle informatie, zoals klantgegevens, financiële informatie, contracten en bedrijfsprocessen. En wanneer er minder tijd en kennis beschikbaar zijn om beveiliging goed te organiseren, kunnen zwakke plekken langer onopgemerkt blijven.

Koos Freriks, Product Manager Security bij Vodafone Business, wijst erop dat cybercrime inmiddels een volwassen markt is. Inloggegevens worden gestolen, verhandeld en vervolgens gebruikt om toegang te krijgen tot organisaties. Voor die handel maakt het weinig verschil of een bedrijf tien of tienduizend medewerkers heeft. Een werkend account kan geld waard zijn, zeker wanneer het toegang geeft tot klantgegevens of financiële informatie.

Tip: maak inloggen zo veilig mogelijk. Controleer of multifactorauthenticatie (MFA) verplicht is voor alle accounts, inclusief beheerdersaccounts en gedeelde accounts, zoals info@. Gebruikt u nog sms-codes? Stap dan waar mogelijk over op een authenticator-app. Controleer daarnaast of uw wachtwoorden voorkomen in bekende datalekken, bijvoorbeeld via Have I Been Pwned. Is een wachtwoord gelekt, wijzig het dan direct en controleer of het ook op andere plekken wordt gebruikt.

De omvang van uw organisatie zegt dus niet genoeg over uw digitale veiligheid. Belangrijker is of uw werkomgeving voldoende beschermd is tegen risico’s die zich dagelijks kunnen voordoen.

Wat maakt de beheerde werkplek veilig? 'SOC: zo bewaakt MKB Business ICT uw digitale werkplek dag en nacht'

MFA, antivirus en sterke wachtwoorden zijn belangrijke beveiligingsmaatregelen. Maar ze vormen niet de hele oplossing. Apparaten moeten actueel blijven, toegangsrechten moeten passen bij de rol van medewerkers en beveiligingsinstellingen moeten worden aangepast wanneer de organisatie verandert.

Zoals het artikel over digitale werkplekbeveiliging en de grenzen van losse maatregelen laat zien, draait veiligheid om de samenhang tussen technologie, mensen en beheer. Dat wordt extra belangrijk wanneer medewerkers nieuwe toepassingen gaan gebruiken. Een goed beveiligd account voorkomt bijvoorbeeld niet automatisch dat iemand bedrijfsgevoelige informatie deelt met een externe AI-tool. Daarvoor zijn ook duidelijke afspraken nodig over welke toepassingen medewerkers mogen gebruiken en welke gegevens zij daarin kunnen invoeren.

Ook MFA vraagt om blijvende aandacht. Freriks benadrukt dat MFA een belangrijke basis vormt, maar niet iedere aanval voorkomt. Aanvallers gebruiken bijvoorbeeld phishingtechnieken waarbij een nagemaakte Microsoft-inlogpagina tussen de gebruiker en de echte omgeving staat. Wanneer iemand daar inlogt en de MFA-controle afrondt, kan een aanvaller de sessie onderscheppen en misbruiken.

Een volgende stap is daarom het gebruik van phishingbestendige passkeys. Deze zijn gekoppeld aan de echte website of dienst waarvoor ze bedoeld zijn en kunnen daardoor niet op dezelfde manier op een nagemaakte inlogpagina worden gebruikt. Ook is het verstandig om de toegang tot bedrijfsinformatie te beperken tot apparaten die uw organisatie beheert en waarvan u de beveiligingsinstellingen kunt controleren.

Tip: controleer vanaf welke apparaten medewerkers kunnen inloggen. Vraag uw IT-partner of toegang tot bedrijfsinformatie beperkt is tot laptops en telefoons die uw organisatie zelf beheert. Onderzoek daarnaast of phishingbestendige passkeys kunnen worden ingevoerd. Begin bij accounts met veel rechten, zoals beheerdersaccounts, en bij medewerkers die toegang hebben tot gevoelige financiële informatie.

Een vinkje achter MFA is dus mooi. Maar het zegt niet alles over de veiligheid van uw digitale werkplek.

Altijd veilig en up-to-date: bekijk de video over de moderne werkplek

Medewerkers bewust maken van phishing en andere digitale risico’s blijft belangrijk. Maar cybersecurity volledig bij medewerkers neerleggen, is geen realistische strategie. Mensen maken fouten. Iemand kan haast hebben, een bericht verkeerd inschatten of op een onoplettend moment toch op een link klikken.

De vraag is daarom niet alleen hoe u fouten voorkomt, maar ook hoe uw digitale omgeving ermee omgaat als er toch iets misgaat. Denk aan toegangsrechten die beperkt blijven tot wat iemand nodig heeft, actuele apparaten en aanvullende beveiliging die misbruik moeilijker maakt.

Dat geldt zeker voor hybride werken, waarbij de beveiliging met de gebruiker en het apparaat moet meebewegen. Wanneer medewerkers op kantoor, thuis of onderweg werken, kunt u niet meer uitgaan van één veilige omgeving. Ook het toenemende gebruik van AI maakt het belangrijker om medewerkers duidelijke kaders te geven. Welke informatie mag in een externe AI-toepassing worden ingevoerd? Welke tools zijn toegestaan? En wie houdt toezicht op het gebruik ervan?

Volgens Freriks spelen aanvallers vaak in op twee menselijke reflexen: haast en vertrouwen in gezag. Een verzoek lijkt bijvoorbeeld afkomstig van een leidinggevende of een bekende zakenpartner en vraagt om snel te handelen. Hoe meer informatie een aanvaller over uw organisatie en medewerkers kan vinden, hoe geloofwaardiger zo’n verzoek kan overkomen. Dat geldt niet alleen voor phishing via e-mail, maar ook voor vishing: telefonische oplichting waarbij aanvallers met AI een stem kunnen nabootsen.

Hoe realistisch die dreiging kan zijn, bleek toen recent een dochteronderneming van een grote Italiaanse bank voor 95 miljoen euro werd opgelicht met behulp van een nagemaakte stem. [BRON: NOS: Italiaanse bank voor miljoenen opgelicht met deepfake-stem, via Italiaanse bank voor miljoenen opgelicht met deepfake-stem]

Tip: maak veilig gedrag concreet en bouw controles in. Train medewerkers regelmatig met herkenbare voorbeelden van phishing, verdachte verzoeken en AI-gegenereerde berichten. Deel ook binnen uw organisatie welke verdachte berichten of telefoontjes binnenkomen, zodat collega’s ervan kunnen leren. Wat medewerkers nog nooit hebben gezien, herkennen ze immers minder snel. Bewustwording blijft belangrijk, maar medewerkers moeten niet zelf als beveiligingssysteem hoeven optreden. Geef hun duidelijke kaders en richt de digitale omgeving zo in dat veilig werken de standaard is. Zo beperkt u niet alleen de kans op fouten, maar ook de gevolgen ervan.

Ziet u op tegen de overstap? "Continuïteit oké: overstappen naar de veilig beheerde ICT-werkplek"

Dit is misschien wel het meest herkenbare misverstand. Zolang alles werkt, lijkt er weinig reden om tijd te besteden aan beheer. Een update kan morgen ook. Die oude gebruiker hoeft toch niet direct verwijderd te worden. En als iemand ergens niet bij kan, lossen we het dan wel op.

Het probleem is dat digitaal beheer zich steeds verder opstapelt wanneer u het alleen uitvoert als iets urgent wordt. Wat werkplekbeheer u werkelijk kost wanneer u het zelf organiseert, wordt juist zichtbaar wanneer al die losse taken zich bij elkaar optellen. [LINK NAAR ARTIKEL 7]

Voor cybersecurity geldt hetzelfde. U wilt niet pas bij een incident ontdekken dat een oud account nog actief is of dat een apparaat niet goed is bijgewerkt. Goed beheer betekent dat u zulke zaken structureel organiseert en regelmatig controleert. Dat betekent niet dat u ieder incident kunt voorkomen. Wel dat u vooraf zoveel mogelijk regelt om risico’s te beperken en voorbereid te zijn als er toch iets misgaat.

Freriks benadrukt dat inzicht in accounts en toegangsrechten er al moet zijn voordat zich een incident voordoet. Moet u tijdens een cyberincident nog uitzoeken welke accounts actief zijn en wie beheerrechten heeft, dan bent u kostbare tijd kwijt op het moment dat snelheid juist belangrijk is. Vaste controles en het direct intrekken van toegang wanneer iemand uit dienst gaat, helpen voorkomen dat oude accounts onnodig een ingang blijven vormen.

Tip: beperk de toegang en voorkom dat een incident zich door uw organisatie verspreidt. Richt uw digitale omgeving in als een knoflookbol: elke teen vormt een afzonderlijk deel dat zo veel mogelijk van de andere delen is afgeschermd. Geef medewerkers alleen toegang tot de informatie en systemen die zij voor hun werk nodig hebben. Beperk beheerrechten tot de mensen die ze daadwerkelijk nodig hebben en zorg dat belangrijke onderdelen niet zomaar vanuit ieder account bereikbaar zijn.

Komt een aanvaller via een gestolen account binnen, dan hoeft dat niet te betekenen dat meteen de hele digitale omgeving toegankelijk is. Door toegang te beperken en systemen goed van elkaar af te schermen, kunt u de mogelijke schade aanzienlijk verkleinen.

De basis iedere dag op orde houden klinkt misschien weinig spectaculair. Juist daarin zit een belangrijk deel van digitale weerbaarheid.

Cybersecurity stopt niet bij uw eigen organisatie. U werkt met klanten, leveranciers, accountants, softwareleveranciers, cloudplatforms en andere partners. Digitale verbindingen lopen steeds vaker door meerdere organisaties heen. Daarom wordt ook de veiligheid van de keten belangrijker.

Ook wet- en regelgeving speelt daarin een rol. De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. De wet geldt niet voor ieder mkb-bedrijf, maar organisaties die er wel onder vallen kunnen beveiligingseisen stellen aan leveranciers en dienstverleners.

Ook wanneer uw eigen organisatie niet rechtstreeks onder de wet valt, kunt u dus te maken krijgen met vragen van klanten of partners over uw digitale beveiliging. Denk aan vragen over toegangsbeheer, incidenten, gegevensbescherming en de manier waarop u uw digitale omgeving beheert. Freriks waarschuwt dat ondernemers de invloed van zulke keteneisen kunnen onderschatten. Dat een wet niet rechtstreeks voor uw organisatie geldt, betekent namelijk niet dat u er niets van merkt. Klanten die zelf aan beveiligingseisen moeten voldoen, kunnen die eisen doorvertalen naar hun leveranciers. Daarmee kan digitale veiligheid ook invloed hebben op zakelijke relaties en nieuwe opdrachten. Wacht u tot een klant een uitgebreide beveiligingsvragenlijst toestuurt, dan heeft u mogelijk weinig tijd om uw werkwijze en documentatie op orde te brengen.

Tip: bespreek cybersecurity actief met uw ketenpartners. Wacht niet tot een klant of leverancier u vraagt hoe u uw digitale werkplek beveiligt. Ga zelf het gesprek aan. Vraag belangrijke klanten welke beveiligingseisen zij aan leveranciers stellen en bespreek met uw eigen leveranciers hoe zij omgaan met toegang tot uw gegevens, beveiligingsupdates en incidenten. Leg afspraken vast en kijk er regelmatig samen naar: veranderen de risico’s, de gebruikte systemen of de eisen die aan uw organisatie worden gesteld?

Zo weet u beter wat anderen van u verwachten én wat u zelf van uw partners mag verwachten. Het helpt bovendien om beveiliging niet als een eenmalige controle te behandelen, maar als een vast onderdeel van de samenwerking.

Digitale veiligheid is daarmee niet alleen een technische aangelegenheid. Het raakt ook aan vertrouwen en aan de vraag of andere organisaties met een gerust hart met u kunnen samenwerken.

De vijf misverstanden hebben uiteindelijk iets gemeen: ze behandelen cybersecurity als iets dat u los van uw dagelijkse werk organiseert. In werkelijkheid zijn beveiliging en de digitale werkplek steeds meer met elkaar verweven.

Uw medewerkers werken in Microsoft 365, thuis en bij klanten. Ze gebruiken verschillende apparaten, delen informatie en veranderen van rol. Beveiliging moet daarom niet alleen goed zijn ingericht, maar ook worden bijgehouden wanneer mensen, apparaten en werkwijzen veranderen.

Meer beveiligingssoftware betekent niet automatisch meer veiligheid. Het gaat erom dat de basis klopt, maatregelen op elkaar aansluiten en het beheer structureel is geregeld. Dat vraagt om bewuste keuzes over hoe u technologie gebruikt, wie toegang heeft tot informatie en hoe u die informatie beschermt.

De belangrijkste vraag is dus niet hoeveel beveiligingsmaatregelen u heeft getroffen, maar of uw digitale werkplek veilig werken daadwerkelijk ondersteunt.

Met dit artikel sluiten we deze reeks af, maar de ontwikkeling van uw digitale werkplek stopt natuurlijk niet. Misschien herkende u zich in de digitale chaos die aan het begin van de reeks centraal stond. Misschien ontdekte u dat goed werkplekbeheer meer is dan IT-support. Of dat groei, hybride werken en personeelsverloop allemaal nieuwe eisen stellen aan uw digitale omgeving.De rode draad is steeds dezelfde: uw digitale werkplek moet meebewegen met uw organisatie. Niet pas wanneer er een probleem ontstaat. Niet pas wanneer u groeit. En niet pas wanneer een klant of toezichthouder ernaar vraagt.Een veilig beheerde Microsoft 365-werkplek brengt technologie, beheer en beveiliging samen. Niet als doel op zich, maar zodat uw medewerkers hun werk kunnen doen en u als ondernemer kunt blijven bouwen aan uw organisatie. 

Is uw digitale werkplek goed ingericht voor de volgende fase van uw organisatie? Met een vrijblijvende werkplekscan brengen we samen in kaart waar uw digitale werkplek vandaag staat, waar mogelijke risico’s of knelpunten zitten en welke stappen kunnen helpen om veilig en gecontroleerd verder te groeien.