Hoe beveilig je laptops van medewerkers op afstand?

Thuiswerken biedt veel voordelen, maar het brengt ook risico’s met zich mee. Laptops van medewerkers die buiten het kantoor worden gebruikt, zijn een populair doelwit voor cybercriminelen. Onbeveiligde apparaten kunnen leiden tot datalekken, ransomware-aanvallen of ongeautoriseerde toegang tot bedrijfsinformatie. Gelukkig kun je met de juiste stappen de beveiliging van laptops op afstand sterk verbeteren, ook als je geen grote IT-afdeling hebt.

In deze gids lees je precies wat je moet doen om de laptops van je medewerkers te beveiligen, stap voor stap. Of je nu net begint met beveiliging van remote werken of je huidige aanpak wilt verbeteren, deze stappen geven je een solide basis.

Wat je nodig hebt vóór je begint

Voordat je begint met het instellen van beveiligingsmaatregelen, is het slim om een kort overzicht te maken van je huidige situatie. Weet je welke apparaten medewerkers gebruiken en wie toegang heeft tot welke systemen? Die informatie heb je nodig om de juiste keuzes te maken.

Zorg dat je de volgende zaken op orde hebt of beschikbaar hebt vóór je verdergaat:

• Een actief Microsoft 365-abonnement (Business Premium geeft toegang tot de meeste beveiligingsfuncties)
• Beheerdersrechten in de Microsoft 365-omgeving
• Een lijst van alle apparaten die medewerkers gebruiken voor werk
• Inzicht in welke medewerkers op afstand werken en welke data zij benaderen
• Contactgegevens van medewerkers voor communicatie over nieuwe beveiligingsinstellingen

Met deze informatie op zak kun je gericht en efficiënt aan de slag. Sla deze stap niet over, want een goede voorbereiding voorkomt dat je later dingen moet herstellen of opnieuw moet instellen.

Schakel multifactorauthenticatie in voor alle accounts

Multifactorauthenticatie (MFA) is een van de meest effectieve manieren om accounts te beveiligen. Zelfs als een wachtwoord wordt gestolen, kan een aanvaller zonder de tweede verificatiestap niet inloggen. Voor laptopbeveiliging MKB is dit een absolute basisvereiste.

1. Log in op het Microsoft 365-beheercentrum via admin.microsoft.com.
2. Ga naar Gebruikers en selecteer Actieve gebruikers.
3. Klik op Meervoudige verificatie in het menu bovenaan.
4. Selecteer alle gebruikers en klik op Inschakelen.
5. Informeer medewerkers dat ze de Microsoft Authenticator-app moeten installeren op hun telefoon.

Na het inschakelen krijgen medewerkers bij hun volgende aanmelding een verzoek om MFA in te stellen. Controleer na een week in het beheercentrum of alle gebruikers MFA succesvol hebben geconfigureerd. Gebruikers die dat nog niet hebben gedaan, zie je terug in het overzicht.

Stel apparaatbeheer in via Microsoft Intune

Met Microsoft Intune beheer je alle laptops van medewerkers centraal, ook als ze thuis of onderweg werken. Je kunt beleid instellen voor wachtwoordvereisten, schermvergrendeling en encryptie, en apparaten op afstand wissen als ze verloren of gestolen zijn.

1. Open het Microsoft Endpoint Manager-beheercentrum via endpoint.microsoft.com.
2. Ga naar Apparaten en kies Inschrijvingsbeleid om te bepalen hoe apparaten worden aangemeld.
3. Maak een Nalevingsbeleid aan voor Windows: stel minimale vereisten in zoals een pincode, BitLocker-encryptie en een actueel besturingssysteem.
4. Koppel dit beleid aan de gebruikersgroep van je medewerkers.
5. Stuur medewerkers een instructie om de Bedrijfsportal-app te installeren en hun apparaat in te schrijven.

Zodra apparaten zijn ingeschreven, zie je ze verschijnen in het Intune-dashboard. Je kunt daar per apparaat de nalevingsstatus controleren. Apparaten die niet voldoen aan je beleid worden automatisch gemarkeerd, zodat je snel kunt ingrijpen.

Configureer een VPN of Zero Trust-toegang

Medewerkers die thuiswerken gebruiken vaak openbare of thuisnetwerken die minder goed beveiligd zijn dan een kantoornetwerk. Een VPN versleutelt de verbinding tussen de laptop en je bedrijfsomgeving. Een modernere aanpak is Zero Trust, waarbij elke toegangspoging wordt geverifieerd ongeacht de locatie.

Kies de aanpak die bij je situatie past:

• VPN: Geschikt als medewerkers toegang nodig hebben tot on-premisesystemen of een intern netwerk. Installeer een VPN-client op elke laptop en configureer een centrale VPN-server.
• Zero Trust via Microsoft 365: Gebruik Voorwaardelijke toegang in Azure Active Directory om in te stellen dat alleen goedgekeurde apparaten toegang krijgen tot bedrijfsapps. Dit werkt goed in combinatie met Intune.

1. Ga in het Microsoft 365-beheercentrum naar Azure Active Directory en vervolgens naar Beveiliging.
2. Kies Voorwaardelijke toegang en maak een nieuw beleid aan.
3. Stel in dat toegang alleen is toegestaan vanaf apparaten die als compliant zijn gemarkeerd in Intune.
4. Activeer het beleid en test dit met een testaccount voordat je het uitrolt naar alle medewerkers.

Na activatie zie je in de aanmeldingslogboeken welke pogingen worden geblokkeerd en welke worden toegestaan. Dit geeft je direct inzicht in verdachte aanmeldingen.

Activeer endpointbeveiliging en automatische updates

Een laptop zonder actuele beveiligingssoftware is kwetsbaar voor malware en ransomware. Endpointbeveiliging zorgt ervoor dat elke laptop actief wordt gemonitord en beschermd, ook als de medewerker buiten het kantoor werkt. Via Microsoft 365-beveiliging is Microsoft Defender for Endpoint beschikbaar, een krachtige oplossing die rechtstreeks integreert met Intune.

1. Ga in Intune naar Endpoint-beveiliging en selecteer Antivirus.
2. Maak een nieuw beleid aan voor Windows Security en schakel Microsoft Defender Antivirus in.
3. Stel realtime-beveiliging, cloudbeveiliging en automatisch indienen van voorbeelden in op Ingeschakeld.
4. Ga daarna naar Apparaatconfiguratie en maak een beleid aan voor Windows Update: stel automatische updates in en geef een maximale uitsteltermijn op van zeven dagen.
5. Koppel beide beleidsregels aan je medewerkergroep.

Controleer na een paar dagen in het Intune-dashboard of de beleidsregels zijn toegepast op alle apparaten. Apparaten die nog niet zijn bijgewerkt of waarop Defender niet actief is, zijn direct zichtbaar. Zo weet je precies waar actie nodig is.

Controleer en onderhoud de beveiliging regelmatig

Beveiliging is geen eenmalige taak. Dreigingen veranderen voortdurend, en ook je organisatie verandert: medewerkers komen en gaan, nieuwe apparaten worden toegevoegd en software wordt bijgewerkt. Regelmatige controle zorgt ervoor dat je beveiligingsmaatregelen effectief blijven.

Stel een vaste routine in voor het onderhoud van je beveiliging:

• Wekelijks: Controleer het Intune-dashboard op niet-conforme apparaten en bekijk de aanmeldingslogboeken op verdachte activiteit.
• Maandelijks: Controleer of alle medewerkers nog MFA actief hebben en verwijder accounts van medewerkers die uit dienst zijn gegaan.
• Elk kwartaal: Beoordeel je beveiligingsbeleid opnieuw en pas het aan als er nieuwe risico’s of organisatiewijzigingen zijn.
• Jaarlijks: Voer een bredere ICT-beveiligingscheck uit om te zien of je aanpak nog past bij de groei van je bedrijf.

Zorg ook dat medewerkers weten wat ze moeten doen bij verdachte situaties, zoals een phishingmail of een verloren laptop. Een duidelijk meldproces maakt een groot verschil in hoe snel je kunt reageren op een incident.

Hoe IT Aanspreekpunt helpt met het beveiligen van laptops op afstand

De stappen in deze gids geven je een goede basis, maar het correct instellen en onderhouden van al deze beveiligingslagen kost tijd en vraagt om technische kennis. Wij helpen MKB-bedrijven in heel Nederland met het volledig inrichten en beheren van hun IT-beveiliging, inclusief de beveiliging van laptops van medewerkers die op afstand werken.

Wat wij voor je regelen:

• Inrichten van MFA en voorwaardelijke toegang voor alle medewerkers
• Configuratie en beheer van Microsoft Intune voor al je apparaten
• Activeren en monitoren van endpointbeveiliging via Microsoft Defender
• Instellen van automatische updates en nalevingsbeleid
• Regelmatige controle en rapportage zodat je altijd weet hoe het ervoor staat
• Ondersteuning via onze onbeperkte ICT-helpdesk als medewerkers vragen hebben

Wil je weten hoe IT Aanspreekpunt jouw organisatie kan helpen? Neem vrijblijvend contact met ons op en we kijken samen wat de beste aanpak is voor jouw situatie.