Jonker IT Een klantportaal bevat precies wat criminelen zoeken: ID-kopieën, Wwft-dossiers, inkomens- en bankgegevens. Daarom is het Klantportaal gebouwd met beveiliging in lagen. Hieronder staat wat er nu in zit, in gewone taal.
1In het kort
- Alleen op uitnodiging en tweestapsverificatie voor iedereen.
- Instelbaar: medewerkers melden zich alleen aan via Microsoft 365, met een noodaccount voor als Microsoft onbereikbaar is.
- Instelbaar: beheer alleen vanaf de netwerken die je kiest, zoals het kantoor of de VPN.
- Elke upload gescand met Microsoft Defender; besmette bestanden gaan in quarantaine.
- Bestanden worden gelezen in een apart, afgeschermd hulpproces.
- Beveiligingsmeldingen per mail en een melding bij updates.
- Versleutelde geheimen, minimale rechten in Microsoft 365 en alleen de proxy aan het internet.
- Geen BSN en een auditlog van alles wat er gebeurt.
- Een pagina “Veiligheid” die laat zien of de server en de instellingen in orde zijn, met advies per punt.
2Wie mag erin
Alleen op uitnodiging
- Niemand kan zelf een account aanmaken.
- Uitnodigingen zijn eenmalig en verlopen vanzelf.
- De eerste installatie vraagt een code die alleen op de server zelf staat.
Tweestapsverificatie voor iedereen
- Klanten en medewerkers: een wachtwoord plus een code uit een authenticator-app.
- Telefoon kwijt? Een veilige herstelprocedure met een eenmalige link.
- Na een herstel moet elk onthouden apparaat opnieuw de code geven.
Medewerkers via Microsoft 365 NIEUW
- Zet je dit aan, dan melden medewerkers zich alleen nog aan met hun Microsoft 365-account, met de MFA en het beleid van je eigen organisatie. Vertrekt iemand, dan zet je hem in Microsoft uit.
- Eén eigenaar houdt een noodaccount voor als Microsoft onbereikbaar is. Dat werkt alleen vanaf de vertrouwde netwerken, en elke eigenaar krijgt een mail als het gebruikt wordt.
- Je kunt jezelf niet buitensluiten: de instelling gaat pas aan na een geslaagde aanmelding met Microsoft.
Beheer alleen vanaf je eigen netwerk NIEUW
- Zet je dit aan, dan zijn het beheergedeelte en de aanmelding van medewerkers beperkt tot de netwerken die je kiest, zoals het kantoor en de VPN. Daarbuiten staat er: “Niet beschikbaar vanaf dit netwerk”.
- Ook met een gestolen wachtwoord kom je er van buitenaf niet in. Klanten merken er niets van.
- Je kunt jezelf ook hier niet buitensluiten, en op de server zelf is de beperking uit te zetten.
Uitsluiten
- Na herhaalde foute pogingen gaat een account tijdelijk op slot.
- Limieten op aanmelden, uploaden en opzoeken.
- De foutmelding bij aanmelden verraadt niet of een account bestaat.
Zelf je wachtwoord wijzigen NIEUW
- Iedereen kan zijn wachtwoord zelf wijzigen, met het huidige wachtwoord en de code uit de authenticator-app.
- Daarna volgt een bevestiging per mail, en de wijziging wordt vastgelegd.
3Ieder ziet alleen het zijne
- Elke klant ziet alleen zijn eigen bedrijf en bestanden; de server controleert dat bij elk verzoek.
- Een betrokkene met een eigen login, zoals een UBO, ziet alleen zijn eigen gegevens. Zijn ID-bewijs is privé: ook de contactpersonen van het bedrijf zien het niet.
- Adviseurs zien en beheren alleen hun eigen klanten, tenzij een beheerder ze bewust toegang tot alle klanten geeft. Een bedrijf verwijderen of de 2FA van een klant resetten kan alleen een beheerder of eigenaar.
- Inkomende mail wordt alleen automatisch aan een klant gekoppeld op adressen die je kantoor heeft bevestigd, nooit op je eigen kantoordomein. Mail die de afzendercontrole (SPF, DKIM, DMARC) niet doorstaat, wacht op beoordeling.
- Klanten komen nooit zelf in SharePoint.
- Een nieuw IBAN van een klant wordt pas gebruikt als je kantoor het heeft bevestigd.
4Veilig met bestanden
Alleen veilige bestandstypen
- Programma’s, scripts en Office-bestanden met macro’s worden altijd geweigerd.
- De inhoud van een bestand moet bij de extensie passen; een vermomd bestand komt er niet in.
Virusscan van elke upload NIEUW
- Elke upload wordt gescand met Microsoft Defender (ingebouwd in Windows) voordat hij wordt opgeslagen of gelezen: uploads van klanten en medewerkers, mailbijlagen, zip-bestanden en alles wat erin zit, ID-foto’s en trainingsdocumenten.
- Besmet? Dan wordt het bestand geweigerd, in quarantaine gezet, vastgelegd en direct gemeld aan de eigenaren en de adviseur.
- Je kunt kiezen dat uploads worden geweigerd zolang de virusscanner niet werkt.
Lezen in een afgeschermd hulpproces NIEUW
- Pdf’s, Office-bestanden en foto’s worden gelezen in een apart hulpproces: zonder netwerk, zonder toegang tot de database of sleutels, met beperkt geheugen en een tijdslimiet.
- Een kwaadaardig bestand kan hooguit dat hulpproces laten vastlopen, nooit het portaal.
- Het bestand krijgt dan de status “kon niet gelezen worden” en het portaal werkt gewoon door.
Geen BSN
- Het portaal vraagt nooit om een BSN en heeft er nergens een veld voor.
- Op kopieën van paspoorten en ID-kaarten wordt het BSN definitief zwart gemaakt, ook op bestaande kopieën. Het origineel wordt niet bewaard.
- Ook uit de herkende tekst van documenten wordt het BSN verwijderd voordat die wordt opgeslagen.
- Trainingsdocumenten worden versleuteld bewaard en na gebruik verwijderd.
5Versleuteling en sleutels
- HTTPS op elk deel van de route: van de browser naar de proxy, van de proxy naar het portaal en van het portaal naar Microsoft 365.
- Uploads gaan over een versleutelde verbinding naar SharePoint, waar Microsoft ze versleuteld opslaat.
- Geheimen staan versleuteld en gebonden aan de server: codes voor tweestapsverificatie, API-sleutels, certificaten en het back-upwachtwoord. Een kopie van alleen de database is niet genoeg om ze te gebruiken.
- Microsoft 365 werkt met een certificaat in plaats van een wachtwoord; de privésleutel verlaat de server niet.
- Back-ups zijn versleuteld (AES-256) met een sterk wachtwoord dat alleen je kantoor kent. Het portaal kan er zelf een maken.
- Back-ups staan in een eigen SharePoint-bibliotheek die alleen eigenaren kunnen openen, of op een eigen SFTP-server.
6Microsoft 365 met minimale rechten
- Het portaal mag in één SharePoint-site schrijven, niet in de rest van je Microsoft 365-omgeving.
- Het portaal mag alleen mailen als die ene gedeelde mailbox.
- Voor de lijst met collega’s leest het alleen profielen (naam, functie), geen mailboxen of bestanden.
- Klanten melden zich nooit met Microsoft aan; dat is alleen voor medewerkers.
7Server en netwerk
- Alleen de reverse proxy staat aan het internet. Het portaal zelf neemt alleen verkeer van de proxy aan.
- Portaal en proxy draaien elk onder een eigen, beperkt Windows-serviceaccount, niet als beheerder.
- Strikte beveiligingsheaders, cookies die niet met andere sites gedeeld worden en bescherming tegen vervalste formulieren.
- Geen versie-informatie in de antwoorden van de server en een maximale grootte per verzoek.
- Een statusadres voor monitoring van buitenaf.
8Toezicht en meldingen
Pagina “Veiligheid” NIEUW
- Eén overzicht voor eigenaren en beheerders: BitLocker, Microsoft Defender, Windows-updates, firewall, rechten op de gegevensmap, back-ups en proefherstel, het back-upwachtwoord, 2FA van medewerkers, certificaten en de versie van portaal en .NET.
- Groen, oranje of rood, en bij elk aandachtspunt precies wat je moet doen, met een kant-en-klaar commando.
- Een geplande controle leest de Windows-instellingen elke zes uur; staat er iets op rood, dan zie je dat op het dashboard.
Auditlog
- Elke aanmelding, upload, geopend bestand en wijziging wordt vastgelegd, met filters en export.
- Verwijder je een klant, dan blijft zijn geschiedenis in het log.
- Hoe lang het log bewaard blijft, kies je zelf (standaard twee jaar, of voor altijd). Ook het opschonen wordt vastgelegd.
Beveiligingsmeldingen NIEUW
- Eigenaren krijgen een mail en een melding op het dashboard bij: veel mislukte aanmeldingen, een nieuwe beheerder of eigenaar, een herstel van de tweestapsverificatie, een account dat ongewoon veel bestanden opent, een klant die een nieuw IBAN opgeeft, een medewerker die zich vanuit het buitenland aanmeldt en een virus in een upload.
- Geen mailstorm: over hetzelfde komt hooguit één mail per uur.
Updatemelding NIEUW
- Het portaal kijkt dagelijks of er een nieuwere versie is en toont “Er is een beveiligingsupdate” op het dashboard en op het statusscherm van de server.
- Nieuwe versies brengen ook de nieuwste beveiligingsupdates van .NET mee.
- Het portaal installeert nooit zelf iets; je kantoor kiest het moment.
9Wat je kantoor zelf regelt
Beveiliging is ook inrichting. De pagina “Veiligheid” in het portaal helpt daarbij. Dit raden we je kantoor aan:
- Gebruik de server alleen als server: niet om te mailen of te browsen.
- Zet schijfversleuteling (BitLocker), Windows Update en Microsoft Defender aan.
- Zet op de router alleen open wat de webserver nodig heeft. Beheer op afstand gaat via een VPN.
- Bewaar een kopie van de back-ups ook offline en oefen af en toe met terugzetten.
- Stel SPF, DKIM en DMARC in voor je maildomein; de DNS-controle in het portaal helpt.
- Spreek met je klanten af: “We vragen nooit om je wachtwoord of code.”
10Vragen?
Alle maatregelen op een rij, om te bewaren of te delen, staan in het beveiligingsoverzicht. Meer weten, bijvoorbeeld voor je eigen risicoanalyse of DPIA? Neem contact op.