WiFi-beveiliging voor bedrijven: zo beschermt u uw netwerk

Praktische tips en strategieën om uw bedrijfsnetwerk te beschermen tegen cyberdreigingen en datalekken.

Met de toenemende afhankelijkheid van draadloze netwerken is de beveiliging van zakelijke WiFi-verbindingen belangrijker dan ooit. Cybercriminelen zijn voortdurend op zoek naar kwetsbaarheden om toegang te krijgen tot gevoelige bedrijfsgegevens. Een datalek kost een MKB-bedrijf gemiddeld meer dan €200.000 aan herstelkosten, boetes en reputatieschade — en een slecht beveiligd WiFi-netwerk is een van de meest voorkomende toegangspunten.

Wat zijn de grootste WiFi-beveiligingsrisico's voor bedrijven?: De meest voorkomende aanvallen op zakelijke netwerken zijn evil twin-aanvallen (een nep-accesspoint dat zich voordoet als uw netwerk), man-in-the-middle-aanvallen (het onderscheppen van verkeer tussen gebruiker en router), brute-force-aanvallen op het WPA2-wachtwoord, en ongeautoriseerde apparaten die zich verbinden met een slecht beveiligd gastnetwerk. Veel van deze risico's zijn volledig te voorkomen met de juiste configuratie.

Gebruik WPA3-encryptie

De eerste verdedigingslinie van uw WiFi-netwerk is het encryptieprotocol. WPA3 is de nieuwste en veiligste standaard voor draadloze netwerken. Het gebruikt Simultaneous Authentication of Equals (SAE) in plaats van de kwetsbare PSK-handshake uit WPA2, wat het nagenoeg onmogelijk maakt om wachtwoorden te raden via offline woordenboekaanvallen. Voor gevoelige omgevingen zoals advocatenkantoren, zorginstellingen en financiële dienstverleners is WPA3 inmiddels de minimumstandaard. Apparaten ouder dan 2019 ondersteunen WPA3 mogelijk niet — in dat geval zet u de access points op WPA2/WPA3-mixed-mode zodat oudere apparaten nog kunnen verbinden.

VLAN-segmentatie

het fundament van netwerkveiligheid: Een bedrijfsnetwerk zonder segmentatie is als een kantoorpand waarbij alle deuren altijd openstaan. VLAN-segmentatie verdeelt uw netwerk in logisch gescheiden zones. Aanbevolen minimumindeling voor een MKB-omgeving: VLAN 10 voor bedrijfsapparaten (laptops, desktops), VLAN 20 voor servers en NAS, VLAN 30 voor IoT-apparaten (printers, camera's, slimme thermostaten), en VLAN 40 voor het gastnetwerk. Communicatie tussen VLAN's loopt uitsluitend via een gecontroleerde firewall-regel — zo is een gecompromitteerd IoT-apparaat volledig geïsoleerd van uw financiële systemen.

Scheid uw gastnetwerk van het bedrijfsnetwerk

Klanten en bezoekers WiFi geven is een vriendelijk gebaar, maar het is gevaarlijk als het niet goed wordt geïmplementeerd. Een bezoeker met een geïnfecteerd apparaat of een kwaadwillende die bewust op uw netwerk problemen wil veroorzaken, heeft binnen een ongesegmenteerd netwerk toegang tot al uw bedrijfsdata. Maak altijd een afzonderlijk gastnetwerk aan met een eigen SSID, VLAN en captive portal. Beperk de bandbreedte op het gastnetwerk (bijvoorbeeld 5 Mbps per verbinding) zodat gasten niet alle bandbreedte opeisen die uw medewerkers nodig hebben.

RADIUS-authenticatie voor grotere organisaties

In kleinere bedrijven volstaat een sterk wachtwoord (WPA3-Personal). Voor organisaties met meer dan 20 medewerkers of meerdere vestigingen is WPA3-Enterprise met RADIUS-authenticatie de betere keuze. Elke medewerker logt in met zijn eigen domeinaccount — er is geen gedeeld WiFi-wachtwoord meer. Verlaat een medewerker het bedrijf, dan trekt u gewoon zijn account in. Geen wachtwoorden die bedrijfsbreed gewijzigd moeten worden.

Implementeer een sterke firewall

Een firewall controleert inkomend en uitgaand verkeer op basis van regels en blokkeert verdachte activiteiten. Zakelijke firewalls zoals die van Ubiquiti UniFi, Cisco Meraki of Fortinet bieden functionaliteit die ver boven een consumentenrouter uitstijgt: deep packet inspection, intrusion detection (IDS), DNS-filtering en geautomatiseerde quarantaine van afwijkende apparaten. Zorg dat de firewall minimaal maandelijks van firmware-updates wordt voorzien — veel aanvallen maken gebruik van bekende kwetsbaarheden in verouderde firmware.

Schakel ongebruikte SSID's en poorten uit

Elke extra SSID die u uitzendt is een potentieel aanvalsoppervlak. Schakel SSID's die u niet meer gebruikt uit in uw controller. Zet ook PoE-switchpoorten die niet in gebruik zijn op 'disabled' of gebruik 802.1X-poortauthenticatie zodat niet zomaar een apparaat in de netwerkaansluiting in de vergaderzaal uw netwerk op kan.

Monitoring en logboekregistratie

U kunt alleen reageren op wat u kunt zien. Professionele netwerken loggen automatisch: welke apparaten verbinden, wanneer, en hoeveel data ze verbruiken. Afwijkingen — een onbekend apparaat dat midden in de nacht verbindt, of een apparaat dat plotseling tien keer zoveel data uploadt als normaal — worden gesignaleerd door het monitoring-systeem. Van Rosmalen Automatisering biedt 24/7 monitoring vanuit het NOC in Kampen, zodat u zelf niet naar logbestanden hoeft te kijken.

Voer regelmatige veiligheidscontroles uit

WiFi-beveiliging is geen eenmalige taak maar een doorlopend proces. Voer minimaal jaarlijks een beveiligingsscan uit: controleer of er onbekende apparaten op het netwerk staan, test de isolatie tussen VLAN's, controleer of firmware actueel is, en verifieer of de SSID-namen geen bedrijfsinformatie prijsgeven (zoals 'KantoorServer-intern'). Wijzig het wachtwoord van het gastnetwerk periodiek — sommige bedrijven doen dit wekelijks via een automatische captive portal-rotatie.

Checklist

minimumvereisten voor een veilig zakelijk WiFi-netwerk: WPA3 (of WPA2/WPA3-mixed voor oudere apparaten), VLAN-segmentatie met gescheiden gastnetwerk, captive portal op het gastnetwerk, bandbreedte-beperking per gastgebruiker, zakelijke firewall met actuele firmware, maandelijkse firmwareupdates voor access points en switches, en 24/7 monitoring met alertering. Voldoet uw huidige netwerk niet aan dit lijstje? Dan is het tijd voor een beveiligingsaudit.

Conclusie

Een veilig WiFi-netwerk is essentieel voor de continuïteit en reputatie van uw bedrijf. De combinatie van WPA3, VLAN-segmentatie, een goede firewall en doorlopende monitoring vormt de ruggengraat van een volwassen beveiligingsaanpak. Van Rosmalen Automatisering adviseert en installeert veilige zakelijke WiFi-oplossingen — inclusief beveiligingsaudit — door heel Nederland. Neem contact op via vanrosmalenautomatisering.nl.