Vijf stille beveiligingsrisico’s op een bedrijfswebsite
De grootste risico’s zien er zelden spectaculair uit. Controleer updates, beheerdersaccounts, back-ups, formulieren en externe koppelingen voordat ze problemen veroorzaken.
De vijf beveiligingsrisico’s om eerst te controleren zijn verouderde software, onvoldoende beschermde beheerdersaccounts, ongeteste back-ups, onveilige formulieren en mailboxen, en vergeten externe koppelingen.
Een gehackte website begint zelden met een dramatisch waarschuwingsscherm. Vaak ontstaat het probleem stil: een vergeten plug-in, een oud beheerdersaccount of een back-up die nooit werd teruggezet. Het Centre for Cybersecurity Belgium verwacht dat de belangrijkste dreigingstypes uit 2025 ook in 2026 blijven aanhouden.
Voor kleine ondernemingen is een eenvoudige, herhaalbare basis waardevoller dan een indrukwekkend beveiligingsdocument dat niemand uitvoert. Begin met deze vijf risico’s.
1. Software die ongemerkt veroudert
Een website bestaat uit meer dan de zichtbare pagina’s. Het beheersysteem, thema’s, uitbreidingen, servercomponenten en externe scripts krijgen updates. Een ongebruikte plug-in kan nog steeds kwetsbaar zijn zolang ze geïnstalleerd en bereikbaar blijft.
Maak een inventaris:
- welk platform en welke versie draait;
- welke uitbreidingen actief zijn;
- wie updates opvolgt;
- wanneer de laatste controle gebeurde;
- welke onderdelen verwijderd kunnen worden.
Test belangrijke updates eerst in een veilige omgeving en controleer na installatie formulieren, betalingen en aanmeldingen. Automatische updates zijn nuttig, maar vervangen geen monitoring.
2. Beheerdersaccounts zonder sterke bescherming
Een sterk wachtwoord alleen is onvoldoende wanneer het wordt hergebruikt, gestolen of via phishing wordt buitgemaakt. Activeer multifactorauthenticatie voor beheerders, hosting, domeinregistratie, e-mail en back-ups.
Geef elke persoon een eigen account. Zo kun je toegang intrekken zonder gedeelde wachtwoorden te wijzigen en blijft zichtbaar wie wat deed. Beperk rechten: iemand die alleen teksten bijwerkt, hoeft niet noodzakelijk plug-ins of gebruikers te beheren.
Verwijder accounts zodra een samenwerking stopt. Vergeet tijdelijke accounts van leveranciers en stagiairs niet.
3. Back-ups die nooit getest zijn
“Er is een back-up” is pas geruststellend wanneer je weet dat ze volledig, recent en herstelbaar is. Een kopie op dezelfde server kan samen met de website verloren gaan of versleuteld worden.
Het CCB adviseert voor kritieke systemen onder meer geautomatiseerde dagelijkse back-ups en goed beschermde toegang. De juiste frequentie hangt af van hoeveel gegevens je kunt missen.
Controleer:
- worden bestanden én database bewaard;
- staat minstens één kopie gescheiden van de productieomgeving;
- zijn back-ups beschermd tegen gewone beheerdersaccounts;
- krijg je een melding wanneer een taak mislukt;
- is recent een echte hersteltest uitgevoerd?
Noteer ook wie bij een incident mag beslissen om terug te zetten.
4. Formulieren en mailboxen als zwakke schakel
Een contactformulier verwerkt persoonsgegevens en stuurt vaak meldingen naar e-mail. Slechte configuratie kan spam, datalekken of gemiste aanvragen veroorzaken.
Verzamel alleen gegevens die je nodig hebt, beveilig transport met HTTPS en beperk hoe lang inzendingen worden bewaard. Bescherm de ontvangende mailbox met MFA. Controleer verzenddomeinen en mailauthenticatie om misbruik van je domeinnaam moeilijker te maken.
Gebruik spambeperking die toegankelijk blijft voor echte bezoekers. Een agressieve blokkade die legitieme klanten tegenhoudt is geen goede beveiliging.
5. Vergeten externe koppelingen
Analytics, chat, lettertypes, boekingsmodules en betaalproviders voegen scripts of verbindingen toe. Elke koppeling vergroot het onderhoudsoppervlak en kan privacy- of beschikbaarheidsrisico’s meebrengen.
Maak minstens jaarlijks een overzicht van externe diensten. Noteer:
- welk doel de koppeling heeft;
- welke gegevens worden gedeeld;
- wie eigenaar is van het account;
- hoe je wordt geïnformeerd over incidenten;
- wat er gebeurt als de leverancier stopt.
Verwijder scripts die geen aantoonbare functie meer hebben. Minder onderdelen betekent meestal minder onderhoud en een snellere website.
Bereid een eenvoudig incidentplan voor
Schrijf op wie je belt wanneer de website verdacht gedrag toont, welke toegang onmiddellijk moet worden ingetrokken en hoe klanten worden geïnformeerd als persoonsgegevens geraakt zijn. Bewaar contactgegevens ook buiten de website en mailbox.
Maak schermafbeeldingen en loggegevens niet meteen onbruikbaar door lukraak alles te verwijderen. Isoleer waar mogelijk, vraag deskundige hulp en documenteer acties.
Een maandelijkse controle van twintig minuten
Plan een vaste korte controle:
1. bekijk updates en beveiligingsmeldingen; 2. controleer beheerders en MFA; 3. bevestig dat back-ups slagen; 4. test contact- en bestelformulieren; 5. bekijk onverwachte wijzigingen of pieken; 6. verwijder ongebruikte toegang en koppelingen.
Beveiliging is geen eenmalig project. Het is klein onderhoud dat voorkomt dat een stille afwijking maandenlang blijft liggen.
Bronnen
Gerelateerde dienst: Website laten maken