Wat is beveiliging en updates?
Beveiliging van een website is het geheel aan maatregelen dat voorkomt dat iemand er ongewenst bij kan: software actueel houden, toegang afschermen, rechten beperken, bewaken wat er gebeurt en zorgen dat er een bruikbare back-up klaarstaat. Updates zijn daarvan het belangrijkste onderdeel, en tegelijk het onderdeel dat het vaakst wordt uitgesteld.
Het beeld dat veel opdrachtgevers hebben, klopt niet met de praktijk. Een gehackte website is zelden het gevolg van een hacker die het op die organisatie had gemunt. Het overgrote deel van de incidenten komt voort uit geautomatiseerde programma’s die het internet aflopen op zoek naar sites met bekende, niet gedichte lekken. Zodra een lek in bijvoorbeeld een veelgebruikte plugin openbaar wordt, verschijnen er binnen korte tijd scans die er gericht naar zoeken.
Dat maakt de belangrijkste maatregel opvallend saai: bijwerken. Een site die actueel wordt gehouden, valt buiten het bereik van vrijwel alle geautomatiseerde aanvallen. Extra maatregelen zoals firewalls en beveiligingsplug-ins hebben nut, maar ze zijn aanvullend. Een site met een dure beveiligingsoplossing en achterstallige updates is slechter af dan een eenvoudige site die netjes actueel is.
Wat valt er precies onder?
Beveiliging bestaat uit voorkomen, opmerken en herstellen, en alle drie zijn nodig.
- Updatebeleid: een vast ritme voor gewone updates en een snelle route voor kritieke beveiligingsupdates.
- Toegangsbeveiliging: sterke, unieke wachtwoorden en tweefactorauthenticatie op alle beheerdersaccounts.
- Rechtenbeheer: gebruikers alleen de rechten geven die ze nodig hebben, en accounts van vertrokken medewerkers opheffen.
- Versleutelde verbinding: een geldig certificaat en afgedwongen gebruik van een beveiligde verbinding.
- Back-ups: kopieën buiten de server, met een bewaartermijn die lang genoeg is om terug te gaan tot vóór een incident.
- Bewaking: signalering van verdachte wijzigingen, mislukte inlogpogingen en ongebruikelijk verkeer.
- Beperken van aanvalsoppervlak: ongebruikte plugins, thema’s en accounts verwijderen in plaats van uitschakelen.
- Incidentprocedure: vooraf vastleggen wie wat doet bij een incident, inclusief de beoordeling van de meldplicht.
Hoe verloopt beveiliging in de praktijk?
Beveiliging is geen project maar een ritme, met daarnaast een procedure die klaarligt voor het moment dat het misgaat.
- Inventariseren. Er wordt vastgesteld welke software draait, welke versies, welke accounts er zijn en waar gegevens staan.
- Basis op orde brengen. Achterstallige updates worden doorgevoerd, ongebruikte onderdelen verwijderd en tweefactorauthenticatie ingeschakeld.
- Back-ups inrichten. Kopieën worden buiten de server bewaard met een passende frequentie en bewaartermijn.
- Bewaking instellen. Er wordt gemeld bij uitval, verdachte wijzigingen of oplopende mislukte inlogpogingen.
- Onderhoudsritme draaien. Updates worden periodiek doorgevoerd en getest, met een snellere route voor kritieke lekken.
- Incidentprocedure klaarleggen. Er wordt vastgelegd wie bereikbaar is, wie beoordeelt of er een meldplicht geldt en hoe herstel verloopt.
Wanneer heb je dit nodig?
Bij elke zelf gehoste website, ongeacht omvang of bekendheid. De aanname dat een kleine site niet interessant is, gaat voorbij aan hoe geautomatiseerde aanvallen werken: die kijken naar versienummers, niet naar bezoekersaantallen.
Het weegt zwaarder zodra er persoonsgegevens op de site staan. Klantaccounts, bestellingen, sollicitaties of dossiers brengen niet alleen een groter risico mee maar ook wettelijke verplichtingen, waaronder een meldplicht bij een datalek.
Ook bij webshops is het urgenter, omdat uitval direct omzet kost en omdat er betaal- en klantgegevens in het spel zijn. En na een eerder incident of bij een overname van een bestaande site is een grondige inventarisatie op zijn plaats, omdat je niet weet wat je erft.
Wat levert het op?
De opbrengst is het uitblijven van een incident, en dat laat zich lastig als resultaat presenteren. Wat wel te benoemen is, is wat een incident kost: herstel duurt doorgaans dagen, de site is in die tijd beperkt bruikbaar, en bij persoonsgegevens komt daar een meldplicht en mogelijk reputatieschade bij. Tegen die achtergrond is een onderhoudscontract met degelijk updatebeleid een van de goedkoopste verzekeringen die er zijn.
Wat beveiliging niet is, is een toestand die je bereikt. Er komen nieuwe lekken bij, en de enige houdbare aanpak is een ritme dat blijft draaien. Ook geldt dat geen enkele maatregel een garantie geeft; het gaat om het verkleinen van kans en schade. Bureaus die beveiliging aanbieden als een eenmalige actie waarna de site veilig is, geven een verkeerde voorstelling van zaken. De eerlijke boodschap is dat actueel blijven het meeste doet, en dat een beproefde back-up het vangnet is voor wat er ondanks alles doorheen komt.
Waar let je op als je dit uitbesteedt?
Vraag hoe snel kritieke beveiligingsupdates worden doorgevoerd en leg dat vast. Het verschil tussen binnen enkele dagen en bij de eerstvolgende maandelijkse ronde is precies het venster waarin geautomatiseerde aanvallen toeslaan. Vraag ook of updates worden getest, want bijwerken zonder controle levert vroeg of laat een gebroken pagina op.
Vraag daarnaast expliciet naar de incidentprocedure: wie is bereikbaar, binnen welke tijd, wie beoordeelt of er sprake is van een datalek en wie doet de melding. Die verantwoordelijkheid ligt formeel bij jou als verwerkingsverantwoordelijke, maar het bureau heeft de technische informatie die je daarvoor nodig hebt. Zorg dat er een verwerkersovereenkomst ligt als het bureau bij persoonsgegevens kan. Vraag ten slotte of je zelf toegang hebt tot je back-ups, zodat je bij een conflict of een faillissement niet zonder je eigen gegevens zit.
Veelgemaakte fouten
De fouten zijn opvallend eenvoudig en juist daardoor hardnekkig.
- Updates uitstellen. Verouderde onderdelen zijn de belangrijkste oorzaak van gehackte sites, en het venster tussen een openbaar lek en de eerste aanvallen is kort.
- Geen tweefactorauthenticatie. Wachtwoorden uit lekken bij andere diensten worden stelselmatig hergebruikt om beheeraccounts te openen.
- Ongebruikte plugins uitschakelen in plaats van verwijderen. Uitgeschakelde code staat er nog steeds en kan alsnog misbruikt worden.
- Na een hack alleen opruimen. De zichtbare schade herstellen zonder het lek te dichten en sleutels te vernieuwen, leidt binnen weken tot herhaling.
Wat bepaalt de prijs?
Beveiliging zit meestal in het onderhoudscontract; de prijs volgt uit hoe snel er wordt gereageerd en hoeveel er te onderhouden valt.
| Wat de prijs opdrijft | Waarom het meetelt |
|---|---|
| Snelheid bij kritieke updates | Ingrijpen buiten het vaste ritme vraagt bereikbaarheid en directe inzet, ook buiten kantooruren. |
| Aantal uitbreidingen | Elke plugin of module is een extra onderdeel dat gevolgd, bijgewerkt en na updates getest moet worden. |
| Gevoeligheid van de gegevens | Persoonsgegevens vragen strengere maatregelen, een verwerkersovereenkomst en een incidentprocedure. |
| Testen na elke update | Controleren of de site nog werkt is handwerk en het belangrijkste verschil tussen goedkope en degelijke contracten. |
Beveiliging wordt zelden apart gefactureerd en loopt mee in het maandelijkse onderhoudscontract. Waar het wel apart wordt aangeboden, gaat het meestal om een eenmalige inventarisatie of om herstel na een incident, beide op uurbasis. Vraag bij een onderhoudsofferte expliciet naar de afspraken rond kritieke beveiligingsupdates en naar de incidentprocedure, want dat zijn de twee punten waarop contracten die op papier gelijk lijken in de praktijk het meest verschillen.
Beveiliging en updates en aanverwante diensten
Beveiliging raakt aan alles wat er draait en aan alles wat er is gebouwd. Hosting en onderhoud is de plek waar het in de praktijk wordt geregeld, en beide worden vrijwel altijd in één contract ondergebracht. WordPress vraagt er bijzondere aandacht voor, omdat het platform door zijn omvang het meest gescand wordt op bekende lekken. Backend en maatwerk vraagt eigen aandacht, omdat er geen leverancier is die het bijwerken voor je doet. E-commerce platforms hebben een zwaarder risicoprofiel door de klant- en bestelgegevens die erin staan. En koppelingen en API’s vragen zorgvuldig sleutelbeheer, omdat een gelekte sleutel toegang geeft tot een ander systeem. Vrijwel elk Nederlands bureau regelt dit binnen het onderhoudscontract; de inhoud van die afspraken verschilt aanzienlijk en is het navragen waard.