Voorkom hacks met deze e-mailsecurity checklist

Hoewel e-mail met Teams, WhatsApp en social media als alternatieve efficiënte communicatiemiddelen de laatste jaren flinke concurrentie heeft gekregen, is het medium nog altijd zeer populair bij organisaties en consumenten. Dat weten cybercriminelen helaas ook. Uit een recent onderzoek van beveiligingsbedrijf Hornetsecurity blijkt dat 1 op de 4 bedrijven bekend is met securityincidenten met e-mail. Gevolgen zijn verlies van data, downtime en omzetverlies.

Checklist

De zeven hieronder opgesomde maatregelen tegen e-mailcriminaliteit helpen je een eind op weg en een aantal ervan zul je ongetwijfeld eerder ergens hebben gelezen of gehoord. Toch staan wij er regelmatig van te kijken dat niet alle organisaties ze standaard voor hun medewerkers toepassen of ze bij gebruik niet op de juiste manier configureren. Het is spijtig als je door misconfiguratie alsnog een security-incident met e-mail doormaakt.

1. Gebruik complexe wachtwoorden

Laat medewerkers nooit iets simpels gebruiken als ‘123456’, ‘welkom1’,  of de eigen naam gecombineerd met hun geboortedatum of de naam of namen van hun kinderen. Deze wachtwoorden zijn makkelijk te kraken en soms zelfs gewoonweg eenvoudig te raden. Stel regels in dat een wachtwoord op zijn minst 16 karakters lang moet zijn. Waar eerst vooral gezegd werd dat hoofdletters, cijfers en speciale tekens je wachtwoord moeilijker te hacken maken, is sinds enkele jaren de nadruk komen te liggen op de lengte. Houd je als ICT-organisatie aan dezelfde regels en voorzie nieuwe medewerkers ook standaard van een complex, sterk wachtwoord bij het aanmaken van een account.

In encryptieland is de stelregel: hoe langer het wachtwoord, hoe langer een cybercrimineel er over doet om deze te kraken. Laat de gekozen wachtwoorden – die voldoen aan de eisen – zo min mogelijk wijzigen door de gebruikers om problemen met het onthouden ervan te voorkomen. Éénmalig een heel sterk wachtwoord maken en deze vervolgens combineren met een tweefactorauthenticatie bij het inloggen is the way to go.

2. Gebruik niet hetzelfde wachtwoord van een andere service voor e-mail

Organisaties zijn extra de klos als een ontvreemd wachtwoord voor meerdere applicaties en diensten gebruikt kan worden. Zorg er dus ook voor dat wachtwoorden maar één keer gebruikt worden. Variaties op hetzelfde wachtwoord, bijvoorbeeld door een 1 of ! aan het origineel toe te voegen, zijn eveneens onveilig. Bied als organisatie een wachtwoordmanager als KeePass of LastPass aan om collega’s vaker unieke sterke wachtwoorden te laten gebruiken. Zo biedt je gemak voor het beheer van hun wachtwoorden. Dat voorkomt wachtwoorden op blaadjes, in agenda’s of onder het toetsenbord.

3. Laat afbeeldingen niet automatisch inladen

Binnenkomende mail automatisch afbeeldingen laten tonen en HTML inladen is risicovol. Waarom? Omdat het kwaadwillenden laat zien dat het e-mailadres actief is, wat aanleiding kan zijn tot een serieuze hackpoging. Bovendien maken ook spammers sluw gebruik van deze ‘feature’. Zet HTML e-mail en afbeeldingen inladen daarom uit.

4. Maak gebruik van veilige e-mailprotcollen

Goed ingerichte e-mail-securityprotocollen als SPF, DMARC en DKIM zijn essentieel om veilig e-mail te gebruiken. Deze protocollen verifiëren de identiteit van de verzender van e-mail, controleren de legitimiteit van inhoud en beschermen zo tegen populaire aanvalsmethoden als identiteit fraude en spoofing. Meer over DKIM in Microsoft Office 365 en de configuratie ervan lees je hier.

5. Scan op kwaadaardige URL’s

Phishing, proberen een lezer van e-mail te laten klikken op een frauduleuze link, is nog altijd de meest gebruikte manier om gebruikers om de tuin te leiden. Safe Koppelingen is een feature van Microsoft Defender voor Office 365 om binnenkomende berichten op gevaarlijke URL’s te scannen en deze te filteren. Meer over dit pakket lees je in dit artikel.

6. Vergeet fysieke maatregelen niet

Met het toegenomen thuiswerken zijn de risico’s toegenomen, ook op vlak van e-mailsecurity. Zakelijk gebruikte apparatuur kan buiten de bedrijfsmuren wellicht nog eenvoudiger ontvreemd worden of via een USB-stick voorzien van malware; ook kunnen er boekjes of briefjes in thuissituaties gaan rondslingeren met bijvoorbeeld wachtwoordinformatie erop. Net als op kantoor een clear-desk en clear-screen policy ervoor zorgt medewerkers hun werkplek veilig houden, zou je ook remote werkende collega’s hierin moeten bijscholen.

7. Kies voor een meerlaagse e-mailsecurity aanpak

In eerder aangehaalde onderzoek van Hornetsecurity geeft 68% van de deelnemende bedrijven aan dat zij verwachten dat gebruik van een populair pakket als Microsoft 365 hun medewerkers adequaat beschermt tegen e-maildreigingen. Toch kiest 50% voor aanvullende e-mailsecurity software van een derde partij.

Waarom extra security toevoegen? Weliswaar biedt Microsoft 365 out-of-the-box robuuste security voor bekende dreigingen, maar het is geen totaaloplossing voor alle gevaren die gebruikmaken van e-mail als aanvalsvector. Je zult dus zelf moeten zorgen voor additionele beveiliging als ATP, wil je beschermd zijn tegen geavanceerde dreigingen via bijvoorbeeld malware en gecoördineerde cyberaanvallen. Wil je meer weten over de mogelijkheden van e-mailsecurity? Dan hoor ik het graag!