Endpoint security en werkplekbeveiliging
Endpoint security is de beveiliging van de apparaten waarop uw mensen werken: laptops, desktops, telefoons, tablets en servers. Het gaat om apparaten, niet om koppelingen in software, want die worden verwarrend genoeg ook endpoints genoemd.
Op deze pagina leest u wat het verschil is tussen antivirus, EDR en XDR, waarom beheer en beveiliging niet hetzelfde zijn, wat de Cyberbeveiligingswet (CBW) en de normen van uw werkplekken verwachten en hoe u aantoonbaar maakt dat het op orde is.
Wij schrijven dit zonder een pakket te verkopen. De vraag die bij een audit of een tender op tafel komt is namelijk niet welk product u draait, maar of u kunt laten zien dat het werkt.
Wat endpoint security is en welke apparaten eronder vallen
Elk apparaat waarop bedrijfsgegevens staan of waarmee bij bedrijfsgegevens kan worden gekomen, is een endpoint.
Dat is een ruimere definitie dan de meeste organisaties hanteren. Naast de laptops van kantoor gaat het om telefoons met zakelijke mail, tablets in de werkplaats, apparaten van tijdelijke krachten, en de computers die vast aan een machine of een kassasysteem hangen.
De reden dat dit de belangrijkste laag is: vrijwel elk incident begint op een werkplek. Iemand opent een bijlage, klikt op een link of logt in op een nagemaakte pagina. Wat er daarna gebeurt, hangt af van hoe goed dat apparaat is ingericht.
Wat endpoint security niet oplost: een gestolen wachtwoord dat elders wordt gebruikt, of een aanval op een dienst die u in de cloud afneemt. Daarvoor zijn meervoudige verificatie en goede rechteninrichting de aangewezen maatregelen.
Antivirus, EPP, EDR en XDR in gewone taal
Vier termen die vooral verkooptaal zijn geworden. Dit is het werkelijke verschil.
- Antivirus. Wat het doet: Herkent bekende schadelijke software en blokkeert die. Wat u ervoor nodig heeft: Niets extra's, het draait op de achtergrond. Wanneer past het: Altijd, dit is de ondergrens.
- EPP. Wat het doet: Antivirus plus aanvullende bescherming zoals apparaatbeheer. Wat u ervoor nodig heeft: Centraal beheer om instellingen af te dwingen. Wanneer past het: Vanaf enkele tientallen werkplekken.
- EDR. Wat het doet: Legt gedrag vast en signaleert verdachte patronen. Wat u ervoor nodig heeft: Iemand die de meldingen beoordeelt. Wanneer past het: U wilt zien wat er gebeurde, niet alleen blokkeren.
- XDR. Wat het doet: Combineert signalen van werkplek, mail, netwerk en cloud. Wat u ervoor nodig heeft: Producten die met elkaar kunnen praten. Wanneer past het: U werkt grotendeels binnen één productfamilie.
Het kantelpunt zit tussen de tweede en de derde rij. Antivirus en EPP werken vanzelf. EDR en XDR produceren meldingen, en die zijn alleen nuttig als iemand ernaar kijkt. Wie EDR aanschaft zonder dat te regelen, betaalt voor een dashboard dat niemand opent.
Wilt u die beoordeling uitbesteden, dan komt u bij security monitoring terecht. Dat is een aparte afweging en geen automatisch onderdeel van het pakket.
Beheer en beveiliging zijn niet hetzelfde
Dit is het meest voorkomende misverstand in gesprekken met IT-leveranciers, en het kost organisaties geld.
Endpointbeheer gaat over het uitrollen van apparaten, het installeren van software, het doorvoeren van updates en het oplossen van storingen. Endpointbeveiliging gaat over de vraag of die apparaten bestand zijn tegen misbruik en of u dat kunt aantonen.
Een beheercontract dekt doorgaans het eerste. Updates lopen, er staat een virusscanner op, en bij een storing komt er iemand. Wat er meestal níét in zit: controleren of alle apparaten werkelijk zijn bijgewerkt, vastleggen welke uitzonderingen er zijn, beoordelen of de instellingen nog kloppen, en rapporteren over de dekking.
Vraag uw leverancier daarom op papier wat er onder het contract valt. Die vraag alleen levert vaak al een verhelderend gesprek op, en soms de ontdekking dat een deel van de apparaten buiten het beheer valt.
De vuistregel: beheer is de uitvoering, beveiliging is de zekerheid dat de uitvoering klopt. Die tweede blijft bij u, ook bij volledige uitbesteding.
Wat wet en norm van uw werkplekken vragen
Geen enkel kader noemt een merk of een pakket. Alle drie vragen zij wel om beheersing en om bewijs.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, noemt basispraktijken op het gebied van cyberhygiëne, kwetsbaarhedenbeheer en toegangsbeleid. Werkplekken vallen daar rechtstreeks onder.
ISO 27001 bevat maatregelen over apparaten van gebruikers, over bescherming tegen schadelijke software, over configuratie en over het beheer van technische kwetsbaarheden. In de zorg vraagt NEN 7510 hetzelfde, met extra aandacht voor apparaten waarop patiëntgegevens staan.
Wat een auditor werkelijk opvraagt is niet uw licentieoverzicht. Hij vraagt: hoeveel apparaten heeft u, hoeveel daarvan zijn bijgewerkt, welke lopen achter en waarom, en wie heeft dat gecontroleerd. Dat is een andere vraag dan welk pakket u draait.
Hybride werken en eigen apparaten
De meeste gaten ontstaan niet op kantoor maar aan de randen van uw organisatie.
Het klassieke voorbeeld is de privélaptop. Iemand werkt af en toe thuis op een eigen apparaat, met zakelijke mail in de browser. Dat apparaat valt buiten uw beheer, u weet niet of het is bijgewerkt, en bij vertrek kunt u er niets aan doen.
Hetzelfde geldt voor telefoons. Zakelijke mail op een privételefoon is in vrijwel elke organisatie gewoon, en in vrijwel geen enkele is vastgelegd wat er dan geldt. Minimaal zou u moeten kunnen afdwingen dat het apparaat een schermvergrendeling heeft en dat zakelijke gegevens op afstand te wissen zijn.
Een derde categorie zijn tijdelijke krachten en externen. Zij krijgen toegang, soms met eigen apparatuur, en bij vertrek blijft dat vaak staan. Dat is dezelfde blinde vlek als bij accounts van vertrokken medewerkers.
De oplossing is zelden technisch. Leg vast wat is toegestaan, welke eisen daarbij horen en hoe toegang vervalt. Neem dat op in uw informatiebeveiligingsbeleid, bij de regels voor mobiele apparaten en thuiswerken.
Zelf beheren of uitbesteden
De afweging hangt vooral af van uw omvang en van of er iemand is die het volhoudt.
- Tot ongeveer tien werkplekken. Wat doorgaans werkt: Standaardinstellingen en automatische updates. Aandachtspunt: Niemand controleert of het klopt.
- Tien tot honderd werkplekken. Wat doorgaans werkt: Centraal beheer, uitbesteed aan een IT-partij. Aandachtspunt: Vastleggen wat wel en niet onder het contract valt.
- Honderd tot enkele honderden. Wat doorgaans werkt: Uitbesteed beheer plus onafhankelijke toetsing. Aandachtspunt: Dekking en uitzonderingen periodiek controleren.
- Groter of gereguleerd. Wat doorgaans werkt: Eigen regie, uitvoering deels uitbesteed. Aandachtspunt: Rapportage inrichten die de norm accepteert.
In alle vier de gevallen geldt hetzelfde: de partij die het beheer doet, kan niet zelf beoordelen of het beheer voldoet. Dat is dezelfde scheiding die overal geldt, en de reden dat wij hier onafhankelijk naar kijken.
Aantoonbaar maken: wat een auditor of klant opvraagt
Deze punten kunt u vandaag controleren. Wat u niet kunt laten zien, telt niet mee.
- Een actueel overzicht van alle apparaten met bedrijfsgegevens, inclusief telefoons en externen.
- Per apparaat de status van updates, en een lijst met wat achterloopt en waarom.
- Bewijs dat beveiligingssoftware werkelijk actief is, niet alleen dat er licenties zijn.
- Vastgelegde standaardinstellingen, zodat een nieuw apparaat automatisch goed staat.
- Een procedure voor verlies of diefstal, inclusief wissen op afstand.
- Aantoonbare intrekking van toegang bij vertrek, met een steekproef als bewijs.
- Beheerrechten gescheiden van dagelijkse accounts, met een overzicht wie wat heeft.
- Een rapportage die periodiek wordt bekeken, met een naam erbij van wie dat doet.
Bij een steekproef gaat het meestal mis op punt zes. Beleid en procedures zijn in orde, maar bij vijf willekeurige vertrokken medewerkers blijkt er bij twee nog iets open te staan.
Zo beoordelen wij uw endpointinrichting
Wij kijken naar dekking en bewijs, niet naar welk merk u draait.
1. Inventariseer de apparaten
Wij brengen in kaart welke apparaten er zijn, wie ze gebruikt en welke buiten het beheer vallen. U levert overzichten uit uw beheerssysteem en uit HR. Dat levert vrijwel altijd apparaten op die niemand op het netvlies had.
2. Toets de dekking
Wij controleren steekproefsgewijs of updates, beveiligingssoftware en instellingen werkelijk actief zijn. U geeft inzage of laat uw IT-partij rapportages leveren. Dat levert het verschil op tussen wat er zou moeten staan en wat er staat.
3. Beoordeel de uitzonderingen
Wij lopen na welke apparaten achterlopen en of daar een onderbouwing bij hoort. U levert de reden aan, meestal een applicatie die niet mee kan. Dat levert een lijst op met bewuste keuzes in plaats van vergeten systemen.
4. Controleer de vertrekprocedure
Wij toetsen met een steekproef of toegang en apparaten bij vertrek werkelijk zijn ingetrokken. U levert een lijst met recente uitdiensttredingen. Dat levert de bevinding op die een auditor anders vindt.
5. Leg vast en beleg
Wij zetten de bevindingen om in beleid, standaardinstellingen en een rapportageritme. U wijst een eigenaar aan en maakt afspraken met uw IT-partij. Dat levert aantoonbaarheid op die blijft kloppen.
Wat de omvang van het traject bepaalt
De inspanning verschilt sterk. Deze factoren bepalen het verschil.
- Aantal apparaten en soorten. Laptops, telefoons, tablets en vaste werkstations vragen elk eigen instellingen.
- Aantal locaties. Meer vestigingen betekent meer variatie in werkwijzen en beheerafspraken.
- Eigen apparaten van medewerkers. Dat vraagt beleid, afspraken en soms een technische scheiding.
- Volwassenheid van het beheer. Is er centraal beheer, dan is toetsen aanzienlijk lichter dan opbouwen.
- Aanwezigheid van oudere systemen. Werkplekken die vastzitten aan verouderde software vragen compenserende maatregelen.
- Gewenste aantoonbaarheid. Antwoord kunnen geven op een vragenlijst vraagt minder dan certificeerbaar bewijs.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij werkplekbeveiliging
Wij verkopen geen endpointsoftware en doen geen beheer. Wij beoordelen of uw inrichting klopt en of u het kunt aantonen.
Dat is in dit onderwerp een relevante afbakening, want vrijwel elke partij die hierover schrijft verkoopt een pakket of een beheercontract. Bij ons kan de uitkomst zijn dat uw huidige oplossing prima voldoet en dat alleen de vastlegging en de controle ontbreken.
Wat wij toevoegen is de vertaling naar wet en norm. Uw IT-partij kan uitstekend beheren en toch niet weten welk bewijs een auditor vraagt. Dat is geen verwijt, het is een ander vak.
Wij adviseren bij een selectie wel over wat een oplossing moet kunnen, en beoordelen aanbiedingen inhoudelijk. Wij ontvangen daarbij geen vergoeding van leveranciers.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij bespreekt de bevindingen met u en met uw IT-partij, zodat er afspraken uit komen in plaats van discussie.
Niet welk pakket, maar of het werkt
De vraag die u van een klant of auditor krijgt, gaat nooit over uw product. Hij gaat over dekking: hoeveel apparaten zijn er, hoeveel zijn er bijgewerkt, en wie heeft dat gecontroleerd.
Wilt u weten hoe uw werkplekken ervoor staan en wat u kunt aantonen? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of er een gat zit tussen wat er zou moeten staan en wat er staat.
Veelgestelde vragen over endpoint security
Is antivirus nog voldoende?
Voor kleine organisaties met een eenvoudige omgeving vaak wel, mits alles ook werkelijk bijgewerkt is en meervoudige verificatie aanstaat. Wordt uw omgeving groter of verwerkt u gevoelige gegevens, dan wint u vooral met centraal beheer en met zicht op de dekking, meer dan met een zwaarder pakket.
Wat is het verschil tussen EDR en antivirus?
Antivirus herkent bekende schadelijke software en blokkeert die. EDR legt gedrag vast en signaleert verdachte patronen, ook als het om onbekende software gaat. Het verschil in de praktijk: EDR produceert meldingen die iemand moet beoordelen. Zonder die persoon levert het weinig op.
Regelt onze IT-leverancier dit niet?
Meestal deels. Een beheercontract dekt doorgaans updates en het draaiend houden van beveiligingssoftware. De controle op dekking, de vastlegging van uitzonderingen en de rapportage zitten er vaak niet in. Vraag op papier wat er wel en niet onder valt, want dat verschilt sterk per contract.
Wat doen wij met privételefoons van medewerkers?
Leg vast wat is toegestaan en welke eisen daarbij horen. Minimaal een schermvergrendeling, en de mogelijkheid om zakelijke gegevens op afstand te wissen zonder aan privégegevens te komen. Neem het op in uw beleid en laat medewerkers ervoor tekenen, want u grijpt in op hun eigen apparaat.
Welk pakket adviseren jullie?
Wij adviseren over wat een oplossing moet kunnen, niet over welk merk u koopt. Wij verkopen zelf niets en krijgen geen vergoeding van leveranciers. Bij een selectie kijken wij mee en beoordelen wij de aanbiedingen, zodat u vergelijkt op dekking en beheerslast in plaats van op de prijs alleen.
Wat als een werkplek niet bijgewerkt kan worden?
Dat komt voor, meestal omdat een applicatie een oudere versie vereist. Leg het vast als bewuste uitzondering met de reden erbij en met een compenserende maatregel, zoals het afschermen van dat apparaat. Laat de risico-eigenaar erover besluiten en neem het op in uw risicoregister.
Hoe tonen wij aan dat onze werkplekken op orde zijn?
Met een actueel apparatenoverzicht, de updatestatus, een onderbouwde uitzonderingenlijst, bewijs dat beveiligingssoftware actief is en een steekproef op vertrokken medewerkers. Dat is wat een auditor opvraagt. Een licentieoverzicht is geen bewijs dat iets werkt.
Waar beginnen wij?
Met het apparatenoverzicht. Zonder te weten welke apparaten er zijn, kunt u niets aantonen en weet u niet wat er buiten beeld valt. In vrijwel elke inventarisatie komen apparaten boven water die niemand meer op het netvlies had, en dat is meteen de eerste winst.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
