“Wij hebben antivirus” was tien jaar geleden een geruststellend antwoord. Tegen moderne dreigingen als ransomware en gerichte aanvallen is het niet meer genoeg. Annex A-maatregel 8.7 vraagt gelaagde bescherming, ondersteund door bewustzijn.
Van antivirus naar EDR
Klassieke antivirus herkent bekende malware aan handtekeningen. EDR (Endpoint Detection and Response) gaat verder: het herkent verdácht gedrag, ook van onbekende dreigingen, en geeft centrale zichtbaarheid. Bij een incident kun je zien wat er is gebeurd, wat met alleen antivirus onmogelijk is.
De gelaagde aanpak
- Dek alle eindpunten: centraal beheerde EDR op elke laptop, server en waar mogelijk telefoon, met een dashboard dat de dekking toont.
- Filter de aanvoer: e-mailfiltering (bijlagen, links, spoofing-bescherming) en webfiltering vangen het gros vóór de gebruiker het ziet.
- Beperk de uitvoering: gebruikers zonder adminrechten, alleen goedgekeurde software, macro’s uit onbekende bron geblokkeerd.
- Bereid de respons voor: een besmetting is een incident (isoleren, onderzoeken, herstellen vanaf schone back-ups).
De mens als laatste laag
Techniek vangt veel, maar niet alles. Awareness blijft essentieel: phishing- en malwareherkenning als vast trainingsonderwerp, want de meeste malware komt binnen via een klik.
| Alleen antivirus | Gelaagde bescherming |
|---|---|
| Bekende dreigingen | Ook onbekend gedrag |
| Geen zichtbaarheid | Centraal dashboard |
| Geen respons-mogelijkheid | Isoleren en onderzoeken |
Tip van Control One: De belangrijkste maatregel tegen ransomware is geen enkele, maar de combinatie: MFA (binnenkomen bemoeilijken), patches, EDR (detecteren), beperkte rechten (verspreiding beperken) en vooral een offline back-up met geteste hersteltijd. De back-up bepaalt of ransomware een ramp of een vervelende week wordt.
Waar de auditor op let
De auditor wil dekking en werking zien: het EDR-dashboard (staat álles erin?), de e-mailfilterinstellingen, en de afhandeling van de laatste malware-melding. De klassieke bevindingen: servers of die ene oude machine zonder bescherming, en meldingen die niemand opvolgt.
Wil je weten hoe weerbaar jouw eindpunten zijn? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
Annex A 8.7: Bescherming tegen malware
Maatregel 8.7 van ISO 27001 Annex A eist bescherming tegen malware, ondersteund door bewustzijn bij gebruikers. EDR, e-mailfiltering en de gelaagde aanpak uitgelegd.
Annex A 7.8: Plaatsing en bescherming van apparatuur
Maatregel 7.8 van ISO 27001 Annex A eist dat apparatuur veilig geplaatst en beschermd wordt tegen omgevingsrisico's en ongeautoriseerde toegang. Zo pak je het aan.
Annex A 5.34: Privacy en bescherming van persoonsgegevens
Maatregel 5.34 van ISO 27001 Annex A eist dat privacy en persoonsgegevens worden beschermd conform wet- en regelgeving, in Nederland vooral de AVG. Zo vul je hem in.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.