Begin oktober meldde security.nl dat een Nederlands bedrijf wereldwijd op zo’n twee miljoen pc’s een kwetsbare updater van Popcorn Time heeft uitgeschakeld. Popcorn Time is de bekende illegale streamingdienst die al jaren niet meer wordt onderhouden, maar de updater bleef op miljoenen computers achter en vormde een reëel beveiligingsrisico. De gebruikers van die pc’s grepen niet zelf in. De bedrijven waar die pc’s staan ook niet. Een extern bedrijf heeft het probleem voor hen opgelost, zonder dat de meeste eigenaren wisten dat het speelde.
Dat op zich is al opmerkelijk. Nog opmerkelijker is wat het blootlegt. Software kan maandenlang, soms jarenlang, ongezien op een werkplek draaien zonder dat iemand binnen de organisatie dat weet. Niet omdat mensen onzorgvuldig zijn, maar omdat er zelden structureel naar gekeken wordt.
Software verdwijnt niet vanzelf
Een medewerker installeert iets voor een tijdelijk project. Iemand downloadt een programma voor privégebruik op de werklaptop. Na een personeelswissel blijft oude software gewoon staan, omdat niemand de opdracht kreeg om op te ruimen. Een updater draait op de achtergrond los van de hoofdapplicatie, ook nadat die applicatie allang is verwijderd. Op zichzelf is zo’n vergeten installatie onschuldig. Opgeteld over honderden werkplekken in een groothandel, een productiebedrijf of een transportonderneming ontstaat een landschap dat niemand meer volledig overziet.
Je kunt geen beleid maken over wat je niet kent
Daar draait het eigenlijk om in het Popcorn Time-voorbeeld. Je kunt pas besluiten welke software wel en niet thuishoort op een zakelijke werkplek als je weet wat er daadwerkelijk draait. Zonder dat overzicht blijft beveiliging gevoelsmatig. Je gaat ervan uit dat het wel goed zit, tot een extern bedrijf, een aanvaller of een auditor je confronteert met wat er werkelijk op je systemen staat. Voor bedrijven die aantoonbaar richting NIS2 willen werken, is dat overzicht geen bijzaak. Het is het startpunt.
Meten voor je iets verbiedt
Begin met een inventarisatie van geïnstalleerde applicaties en actieve achtergrondprocessen op alle werkplekken. Niet alleen de laptops van het management, maar ook de pc’s op de werkvloer, bij de balie en in de distributieloods. Veel ondernemers denken dat hun virusscanner dit al in beeld brengt. Een virusscanner herkent bekende dreigingen aan de hand van vaste herkenningspatronen, geen ongewenste maar op zichzelf onschadelijke software die niet als malware wordt bestempeld. Wat je nodig hebt is een apart overzicht van wat er daadwerkelijk draait, los van de vraag of iets al dan niet als gevaarlijk geldt.
Pas daarna volgt beleid, en dan pas techniek
Zodra je weet wat er draait, kun je bepalen wat wel en niet thuishoort op een zakelijke werkplek. Leg dat vast in een kort, begrijpelijk beleid: welke software mag, welke niet, en wie beslist bij twijfel. Neem medewerkers hierin mee voordat je iets technisch afdwingt. Iemand die al jaren een bepaald programma gebruikt, ervaart een plotselinge blokkade als onredelijk wanneer niemand heeft uitgelegd waarom die er komt. Een korte toelichting en ruimte voor vragen voorkomen weerstand, en voorkomen dat mensen op zoek gaan naar eigen oplossingen, zoals software meenemen op een USB-stick.
Eén geheel, geen losse schermen
Overzicht van werkplekken hoort niet thuis als los product naast een antivirusabonnement en een firewall. Het is onderdeel van hoe je het hele werkplek-domein inricht: wie welke rechten heeft, welke software standaard wordt uitgerold, hoe nieuwe apparaten worden klaargezet en hoe afwijkingen worden gesignaleerd. Wij kijken daarom liever naar hoe dat domein als geheel aantoonbaar op orde is, dan naar afzonderlijke tools die ieder een stukje van het probleem oplossen. Zo hoef je niet te wachten tot een extern bedrijf toevallig ontdekt wat bij jou al die tijd op de achtergrond draaide.
Een paar vragen die we vaak krijgen
Hoe weet ik of dit soort verouderde software ook bij ons draait?
Dat zie je pas met een volledige inventarisatie van alle werkplekken. Een losse steekproef op een paar laptops geeft geen betrouwbaar beeld. Er bestaan tools die dit grotendeels automatisch in kaart brengen, zonder dat medewerkers daar iets van merken, waarna je overblijft met een lijst om te beoordelen.
Is een virusscanner niet voldoende om dit soort risico’s te signaleren?
Nee, een virusscanner is gebouwd om bekende malware te herkennen aan de hand van vaste patronen in de software zelf. Een verouderde updater van een legale of voorheen legale dienst wordt daar meestal niet door opgepikt, omdat het programma zelf geen virus bevat. Pas een apart overzicht van alle geïnstalleerde software laat zien dat zo’n updater er nog staat.
Hoeveel tijd kost het om zo’n inventarisatie te maken?
Dat hangt af van het aantal werkplekken, maar het technische deel is met de juiste tooling grotendeels geautomatiseerd en vaak binnen enkele dagen te doen. Het grootste werk zit in het beoordelen van de resultaten: bepalen wat nodig is, wat weg kan en wie daarover beslist.
Wat doe ik met software die niemand meer lijkt te gebruiken, maar niemand durft weg te halen?
Vraag eerst bij de betreffende afdeling na of het echt niet meer nodig is, voordat je iets verwijdert. Leg het besluit vast, inclusief wie het genomen heeft en waarom, zodat je er later op terug kunt vallen. Spreek daarna een moment af waarop je controleert of de software inderdaad gemist wordt.
Wil je weten wat er daadwerkelijk op jullie werkplekken draait voordat iemand anders je daarop wijst? Wij helpen MKB-bedrijven met het in kaart brengen van hun werkplek-domein, als eerste stap naar beleid dat op feiten is gebaseerd in plaats van op een gevoel.
