De AVG vraagt "passende technische en organisatorische maatregelen", en bij kleine bedrijven begint dat bij wachtwoorden en toegang.
Kort antwoord
Wie toegang heeft tot uw mail, website, boekhouding of klantsysteem, heeft toegang tot persoonsgegevens. Beveilig die toegang met unieke sterke wachtwoorden via een wachtwoordmanager, tweestapsverificatie op alle belangrijke accounts, persoonlijke accounts in plaats van gedeelde logins en het direct intrekken van toegang bij vertrek. Dat is geen garantie tegen elk lek, maar wel de basis die u kunt laten zien. Dit is algemene uitleg, geen juridisch advies.
Waarom dit onder de AVG valt
De AVG schrijft geen concrete lijst maatregelen voor. U moet beveiliging nemen die past bij de risico's. Toezichthouders noemen bij datalekken bij kleine bedrijven steeds dezelfde oorzaken: hergebruikte wachtwoorden, geen tweestapsverificatie, gedeelde accounts en oud-medewerkers met toegang. Met die vier punten op orde staat u er al een stuk beter voor.
1. Unieke wachtwoorden via een wachtwoordmanager
Gebruik voor elk account een ander wachtwoord. Als één dienst lekt, liggen de andere niet ook open.
Laat een wachtwoordmanager lange, willekeurige wachtwoorden maken en onthouden.
Kies een zakelijke variant die u met uw team kunt delen, met gedeelde kluizen per afdeling of klant.
Beveilig de wachtwoordmanager zelf met een sterk hoofdwachtwoord en tweestapsverificatie.
Wachtwoorden in een Excel-bestand, op een post-it of in een WhatsApp-groep zijn precies wat u wilt vermijden.
2. Tweestapsverificatie
Zet tweestapsverificatie aan op in ieder geval:
Uw e-mail (Microsoft 365, Gmail of andere).
Beheer van uw website en hosting.
Boekhouding en bank.
Klantsystemen, gedeelde inbox en WhatsApp.
Social media en Google Bedrijfsprofiel.
Een authenticator-app of beveiligingssleutel is veiliger dan een sms-code. In welke volgorde u dit aanpakt, staat in "Tweestapsverificatie: welke accounts beveiligt u als eerste?".
3. Persoonlijke accounts, beperkte rechten
Iedereen een eigen login. Gedeelde accounts zoals "kantoor@" met één wachtwoord maken onduidelijk wie wat deed en zijn lastig in te trekken.
Niet iedereen beheerder. Een medewerker die alleen berichten beantwoordt, heeft geen beheerrechten op de website of boekhouding nodig.
Externe partijen apart. Een webbouwer, boekhouder of stagiair krijgt een eigen account met precies de rechten die nodig zijn, en bij voorkeur voor een beperkte periode.
4. Toegang intrekken bij vertrek
Maak een vaste lijst voor als iemand vertrekt of een samenwerking stopt:
Account blokkeren of verwijderen in mail, website, boekhouding en klantsystemen.
Gekoppelde apparaten ontkoppelen, zoals WhatsApp Web en mailapps.
Gedeelde wachtwoorden die iemand kende, wijzigen.
Bedrijfstelefoon en laptop terugvragen en wissen.
Vastleggen wanneer het gebeurde.
Laat zien wat u doet
Schrijf in een paar regels op welke maatregelen u neemt. Bij een datalek of vraag van een klant kunt u dan laten zien dat u zorgvuldig werkte. Kijk er een keer per jaar naar: wie heeft nog toegang, staan alle belangrijke accounts op tweestapsverificatie, zijn er vergeten accounts van oude diensten?
Veelgestelde vragen
Moet ik wachtwoorden regelmatig verplicht laten wijzigen?
Dat is niet meer het advies. Liever een lang, uniek wachtwoord dat u alleen wijzigt als er een vermoeden van een lek is.
Is een wachtwoordmanager zelf niet een risico?
Elk systeem heeft risico's, maar een goed beveiligde wachtwoordmanager met tweestapsverificatie is veel veiliger dan hergebruikte of opgeschreven wachtwoorden.
Wat als iemand zijn telefoon met de authenticator-app kwijtraakt?
Bewaar de herstelcodes van belangrijke accounts op een veilige plek, bijvoorbeeld in de wachtwoordmanager of geprint in een kluis.
Hulp nodig?
Wilt u een wachtwoordmanager en tweestapsverificatie in uw bedrijf goed ingericht hebben? Ik regel het met u via Microsoft 365-support of algemene IT-hulp.
