Cybersecurity voor accountantskantoren: 7 maatregelen die het verschil maken

Waarom accountantskantoren een aantrekkelijk doelwit zijn

Criminelen kiezen hun doelwit niet willekeurig. Een accountantskantoor combineert drie dingen die voor hen interessant zijn: veel gevoelige gegevens (jaarrekeningen, loonadministraties, bankgegevens en kopieën van identiteitsbewijzen), vertrouwde relaties met klanten, en drukke periodes waarin snel moet worden gewerkt.

Die combinatie zie je terug in de meest voorkomende aanvallen:

• Phishing: nepberichten die lijken te komen van de Belastingdienst, een bank of een softwareleverancier, met name rond de aangifteperiodes.
• Overgenomen accounts: een uitgelekt wachtwoord geeft toegang tot de mailbox, waarna criminelen meelezen en het juiste moment afwachten.
• Factuur- en betaalfraude: een e-mail die van een klant of collega lijkt te komen, met ‘even’ een ander rekeningnummer.
• Ransomware: bestanden worden versleuteld en criminelen eisen losgeld — vaak met de dreiging om gestolen klantgegevens te publiceren.

Het effect is groot: een kantoor dat dagen stilligt in de aangifteperiode, of klanten moet informeren over een datalek, verliest meer dan alleen tijd.

De 7 maatregelen die het verschil maken

1. Multi-factor authenticatie (MFA) op elk account. Een tweede factor — bijvoorbeeld een bevestiging in een app — maakt een gestolen wachtwoord grotendeels waardeloos. Het is de maatregel met het meeste effect voor de minste moeite. Steeds meer cyberverzekeraars vragen er dan ook om.

2. EDR op alle laptops en pc’s. Een klassieke virusscanner herkent vooral bekende dreigingen. EDR (Endpoint Detection & Response) kijkt naar gedrag: begint een programma ineens massaal bestanden te versleutelen, dan wordt het apparaat direct geïsoleerd.

3. Updates zonder uitstel. Veel aanvallen misbruiken lekken waarvoor al lang een update bestaat. Laat updates voor Windows, Office en uw vakapplicaties centraal en automatisch uitrollen, in plaats van ze aan medewerkers over te laten.

4. Een back-up die u heeft getest. Microsoft 365 draait in de cloud, maar wat wordt verwijderd of versleuteld, is niet automatisch terug te halen. Zorg voor een aparte, versleutelde back-up van mail, OneDrive en SharePoint — en test regelmatig of terugzetten echt werkt.

5. E-mail beveiligen. Met de instellingen SPF, DKIM en DMARC maakt u het criminelen veel moeilijker om e-mail te versturen die van uw domein lijkt te komen. Gebruik daarnaast een vorm van veilig mailen voor het versturen van vertrouwelijke stukken.

6. Een beheerde firewall en een gescheiden netwerk. Een goed ingestelde firewall houdt aanvallen van buitenaf tegen en blokkeert bekende kwaadaardige websites. Scheid daarnaast het gastennetwerk van het kantoornetwerk.

7. Medewerkers die een nepbericht herkennen. Techniek vangt veel af, maar niet alles. Korte, regelmatige trainingen en oefen-phishingmails maken uw team de laatste verdedigingslinie. Spreek ook af dat afwijkende betaalverzoeken altijd telefonisch worden gecontroleerd.

En als het toch misgaat?

Geen enkele beveiliging is waterdicht. Leg daarom vooraf vast wie u belt bij een incident, welke systemen het eerst terug moeten en hoe u tussentijds doorwerkt. Houd er rekening mee dat een datalek onder de AVG binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld moet worden. Wie dat vooraf heeft geregeld, kan in de eerste uren rustig en doelgericht handelen.

Snel checken: hoe staat uw kantoor ervoor?

• Heeft elk account — ook dat van de directie en van oud-medewerkers — MFA, of is het opgeheven?
• Weet u wanneer er voor het laatst een back-up is teruggezet?
• Worden updates automatisch uitgerold en gecontroleerd?
• Is er een vaste afspraak over het controleren van gewijzigde rekeningnummers?
• Weet iedereen wie hij moet bellen bij een verdachte e-mail?

Twijfelt u bij een van deze vragen? Legal IT beveiligt accountants- en administratiekantoren in lagen, van MFA en EDR tot een beheerde firewall en geteste back-ups. Lees meer over onze aanpak voor cybersecurity of voor accountantskantoren.