BeveiligingGids16 min leestijd

IT-beveiliging voor kmo’s: de complete gids (MFA, e-mail, toegang en incidenten)

Lams IT Solutions

31 oktober 2026

Het korte antwoord

Een kmo beveiligt zich het best met vijf lagen: sterke accounts (MFA en een wachtwoordmanager), een beveiligd e-maildomein (SPF, DKIM en DMARC), gecontroleerde toegang van buitenaf (VPN en leveranciers), medewerkers die phishing herkennen, en een getest plan voor incidenten en herstel. Geen enkele laag is perfect, maar samen maken ze een aanval duur en een fout herstelbaar.

Deze gids bundelt onze eerdere artikels over MFA, wachtwoordmanagers, phishing, e-maildomeinen, DNS, externe toegang, VPN, cyberincidenten en rampherstel. Begin bij de laag waar u vandaag het zwakst staat.

Waarom zijn accounts het eerste doelwit?

De meeste inbraken bij kmo’s beginnen niet met geavanceerde hacking, maar met een gestolen of geraden wachtwoord. Wie uw mailbox overneemt, kan facturen vervalsen, wachtwoorden resetten en klanten oplichten in uw naam.

Welke MFA kiest u?

Bescherm eerst de belangrijkste accounts: beheerders, e-mail, boekhouding, bankieren, domeinregistratie en cloudopslag.

Kies phishingbestendig waar het kan: passkeys of hardwaresleutels (FIDO2) zijn sterker dan sms-codes, die onderschept of doorgestuurd kunnen worden.

Een authenticator-app met nummermatching is een goede tussenstap voor alle andere gebruikers.

Regel registratie en herstel: wie mag een nieuw toestel koppelen, en hoe controleert u dat bij verlies van een telefoon?

Volg op: controleer maandelijks welke accounts nog zonder MFA werken.

Hoe voert u een wachtwoordmanager in?

Kies op beheer, niet alleen op prijs: gedeelde kluizen, beheerdersrechten, auditlogs en een exit bij vertrek van een medewerker.

Organiseer eigenaarschap: elke gedeelde login heeft een eigenaar die beslist wie toegang krijgt.

Deel via de kluis, nooit via mail of chat.

Plan de migratie: begin met de kritieke accounts en vervang hergebruikte wachtwoorden meteen.

Regel herstel: wat gebeurt er als de hoofdbeheerder onbereikbaar is? Leg een noodtoegang vast.

Hoe herkent u phishing?

Phishing is een bericht dat u probeert te verleiden om te klikken, in te loggen of te betalen. Let op deze rode vlaggen:

Urgentie of druk: “uw account wordt vandaag geblokkeerd”, “betaal vóór 12 uur”.

Een afzender of link die net niet klopt: een extra letter, een vreemd domein of een verkorte link.

Onverwachte bijlagen of loginpagina’s, ook van bekende leveranciers.

Gewijzigde bankgegevens in een factuur of mail: bel altijd terug via een nummer dat u al kende.

Een verzoek om geheimhouding of om de normale procedure over te slaan.

Toch geklikt? Handel meteen.

Wijzig het wachtwoord van het betrokken account en van elk account met hetzelfde wachtwoord.

Activeer MFA als dat nog niet gebeurd is.

Verwittig uw bank als u betaalgegevens hebt ingegeven.

Meld het aan uw IT-partner, zodat die kan nagaan of er doorgestuurde regels of verdachte aanmeldingen zijn.

Hoe beveiligt u uw e-maildomein en DNS?

Uw domeinnaam is deel van uw reputatie. Zonder de juiste instellingen kan iedereen mails versturen die van uw adres lijken te komen.

SPF publiceert welke mailservers namens uw domein mogen verzenden.

DKIM zet een digitale handtekening op elk bericht, zodat de ontvanger ziet dat het onderweg niet gewijzigd is.

DMARC bepaalt wat er gebeurt als SPF of DKIM faalt, en stuurt u rapporten over misbruik.

Rol DMARC gefaseerd uit: start met monitoring (p=none), inventariseer alle diensten die mail versturen (nieuwsbrief, boekhoudpakket, webshop), en ga pas daarna naar quarantine en reject. Vergeet subdomeinen en domeinen die u niet voor mail gebruikt niet: geef die een strikte policy.

Wat moet u aan DNS controleren?

Eigenaarschap: het registraraccount staat op naam van het bedrijf, met MFA en een up-to-date contactadres.

Registrar lock en automatische verlenging staan aan, zodat het domein niet kan vervallen of gekaapt worden.

Wijzigingen zijn controleerbaar: documenteer wie welk record aanpaste en waarom.

Kies resolvers bewust: een filterende DNS-dienst blokkeert gekende kwaadaardige domeinen voor alle toestellen.

Monitor: laat een waarschuwing komen als records of nameservers onverwacht wijzigen.

Hoe beveiligt u toegang van buitenaf?

Thuiswerk en externe leveranciers zijn noodzakelijk, maar elke toegang van buitenaf is een deur die u moet bewaken.

VPN en thuiswerk

Vertrouw gebruiker én toestel niet blind: MFA op de VPN en enkel beheerde, bijgewerkte toestellen.

Geef toegang tot wat nodig is, niet tot het volledige netwerk.

Kies routes bewust: stuur enkel bedrijfsverkeer door de tunnel als dat volstaat.

Monitor aanmeldingen en trek toegang in zodra iemand vertrekt.

Leveranciers en externe IT

Persoonlijke accounts per technicus, geen gedeelde “support”-login.

Minimale rechten en enkel de systemen die nodig zijn.

Tijdelijke toegang: zet ze aan voor een interventie en daarna weer uit.

Logging: bewaar wie wanneer wat deed.

Beëindig aantoonbaar bij het einde van een contract.

Wat doet u tijdens het eerste uur van een cyberincident?

Rust en structuur beperken de schade. Wie in paniek alles uitzet of wist, vernietigt vaak sporen en vertraagt het herstel.

Isoleer getroffen toestellen van het netwerk (kabel uit, wifi uit), maar zet ze niet zomaar uit.

Bel uw IT-partner en, bij gijzelsoftware of datalekken, uw verzekeraar.

Wijzig wachtwoorden van beheerders en e-mail vanaf een schoon toestel.

Noteer alles: tijdstippen, meldingen, screenshots en wie wat deed.

Communiceer gecontroleerd: intern eerst, extern pas met een duidelijke boodschap. Bij een datalek met persoonsgegevens hebt u 72 uur om de Gegevensbeschermingsautoriteit te verwittigen.

Hou het bedrijf werkbaar met noodprocedures: papieren bestelbonnen, een tijdelijk mailadres of een reservelaptop.

Waarom is een back-up geen rampherstelplan?

Een geslaagde back-up is nog geen geslaagd herstel. Een rampherstelplan beantwoordt vooraf twee vragen:

Hoeveel recente data mogen we maximaal verliezen? Dat bepaalt hoe vaak u een kopie maakt.

Hoe lang mag een systeem onbeschikbaar zijn? Dat bepaalt hoe snel u moet kunnen herstellen.

Leg de herstelvolgorde vast (eerst internet en accounts, dan e-mail, dan bedrijfsapplicaties), wijs rollen toe en test minstens jaarlijks een echt herstel van een volledige map of server. Meer over de basis leest u in onze 3-2-1 back-upstrategie en in ransomware voorkomen.