Mensen, HR en insiderrisico

Door te controleren welke apparaten echt verbinding maken, niet alleen welke accounts zijn afgesloten. Bij uitdiensttreding wordt meestal het account verwijderd en de laptop ingenomen, maar een niet-ingeleverde laptop, een privételefoon met opgeslagen wifi-wachtwoord of een vergeten tool voor externe toegang kan blijven verbinden. Vergelijk de lijst met ingeleverde apparaten met de apparaten die na de vertrekdatum op het netwerk te zien zijn, wijzig gedeelde wifi- en VPN-gegevens die de persoon kende en trek certificaten van zijn apparaten in. In elk abonnement toont de netwerkkaart van NetSenX de apparaten die op bewaakte segmenten zijn gezien, met de naam die elk apparaat meldt en wanneer het voor het eerst en het laatst is gezien. Wie het bedrijf verliet, weet NetSenX niet: dat bepalen HR en IT, en het netwerkbeeld laat zien of de deur echt dicht is.

De toegang die de persoon had, niet alleen het account. Een korte vertrekchecklist voor IT: schakel het directory- en e-mailaccount uit en verwijder tokens voor multifactorauthenticatie; neem bedrijfsapparaten in en noteer hun namen; wijzig gedeelde wachtwoorden die de persoon kende, zoals wifi, VPN, beheerdersaccounts en leveranciersportalen; verwijder tools voor externe toegang die hij installeerde; trek apparaatcertificaten in; en controleer enkele dagen en enkele weken na de vertrekdatum dat geen van zijn apparaten nog op het netwerk verschijnt. Gebruik dezelfde lijst voor externen en stagiairs. Spreek met HR af wie de lijst start en wanneer. NetSenX helpt bij de laatste stap: de netwerkkaart toont in elk abonnement de naam van elk apparaat en wanneer het voor het laatst is gezien, zodat een apparaat dat weg had moeten zijn opvalt.

Ja, als hij verbindt met een bewaakt segment, of als de NetSenX-agent er nog op draait. In elk abonnement toont de netwerkkaart elk apparaat met de naam die het meldt en wanneer het voor het laatst is gezien; een laptop die na het vertrek van zijn gebruiker weer opduikt, is dus zichtbaar, en als hij gaat scannen, met vaste tussenpozen een externe server benadert of ongewoon veel uploadt, volgen alerts. Een laptop die alleen thuis of op een ander netwerk wordt gebruikt, zonder agent, is onzichtbaar voor een netwerksensor. Sluit tegelijk de andere deuren: schakel de accounts uit, trek de certificaten en het VPN-profiel van het apparaat in en vergrendel of wis de laptop op afstand met uw apparaatbeheer, als u dat hebt. Het apparaat terugkrijgen en eventuele stappen tegen de persoon zijn zaken voor HR en juridisch advies.

Gedeeltelijk: u ziet ongebruikelijke uploads vanaf zijn computer, niet de bestanden of de persoon. In elk abonnement vergelijkt NetSenX het uitgaande verkeer van elk apparaat met de eigen gebruikelijke bestemmingen, volumes en tijdstippen van dat apparaat, en geeft een alert als bijvoorbeeld een laptop die meestal weinig verstuurt 's nachts plotseling enkele gigabytes naar een cloudopslagdienst uploadt. De alert toont apparaat, bestemming, volume en tijdstip. Bestandsnamen of inhoud toont hij niet, omdat het verkeer versleuteld is en NetSenX nooit ontsleutelt, en kopieën naar een usb-stick ziet hij niet. Behandel zo'n alert eerst als beveiligingsgebeurtenis: de laptop kan ook geïnfecteerd zijn. Elke stap richting de medewerker moet uw beleid, de wet en het advies van HR en een jurist volgen, niet alleen de alert.

Alleen wat het nationale arbeids- en privacyrecht toestaat, verzameld voor een legitiem doel en in verhouding daartoe. In algemene zin vereist de AVG een rechtsgrond, een bepaald doel, dataminimalisatie en transparantie naar medewerkers, en veel landen voegen arbeidsrechtelijke regels toe over monitoring en ondernemingsraden. Gegevens die u al voor beveiliging bijhoudt, zoals alerts over ongebruikelijke uploads, mag u alleen hergebruiken als het nieuwe doel verenigbaar is en de wet het toelaat; heimelijk iemands privécommunicatie lezen is in beginsel uitgesloten. Betrek vóór elke verzameling HR, de functionaris gegevensbescherming en juridisch advies, leg het vermoeden en de stappen vast, en laat bewijs veiligstellen door mensen die daarvoor gekwalificeerd zijn. NetSenX toont in alerts apparaatactiviteit; het is geen tool om een persoon door te lichten.

Nee. Een netwerksensor ziet verbindingen, geen bestanden. De meeste uploads gaan tegenwoordig binnen versleutelde sessies, en NetSenX ontsleutelt nooit verkeer, dus het kan geen bestandsnamen of inhoud lezen. Wat het wel kan laten zien, is dat een bepaald apparaat op een bepaald moment ongewoon veel data naar een bepaalde bestemming stuurde, vergeleken met het normale gedrag van dat apparaat. Dat versmalt de vraag: wanneer, vanaf welk apparaat en waarheen. Om te weten om welke bestanden het ging, hebt u andere bronnen nodig: de auditlogs van de clouddienst zelf, toegangslogs van de bestandsserver, endpointtools of software voor het voorkomen van datalekken (DLP), elk gebruikt binnen de grenzen van arbeids- en privacyrecht. Een kopie op een usb-stick of een afdruk gaat nooit over het netwerk.

Bij NetSenX niet. Het analyseert metadata en een paar protocolvelden: welk apparaat wanneer, hoe vaak en met hoeveel data verbinding maakte met welk adres en welke poort, de servernaam in de TLS-handshake en de antwoorden op DNS-vragen. Het ontsleutelt nooit verkeer, dus de inhoud van e-mails, chatberichten, webpagina's en prompts in AI-tools blijft ongelezen. Sommige andere producten ontsleutelen of inspecteren wel inhoud; stel elke leverancier dus dezelfde vraag en vraag het antwoord op papier. Metadata kunnen toch persoonsgegevens zijn, omdat apparaatnamen en IP-adressen aan een persoon te koppelen zijn, dus de AVG is van toepassing. Leg dit onderscheid vóór de start uit aan medewerkers en de ondernemingsraad: het beantwoordt de meest gehoorde zorg precies.

Gegevens over apparaten, niet over mensen, maar een deel ervan kan toch naar een persoon wijzen. NetSenX legt verbindingsmetadata vast van de segmenten die het bewaakt: interne en externe IP-adressen, poorten, tijden, volumes, de servernamen die apparaten benaderen (uit de TLS-handshake en DNS-antwoorden) en de namen die apparaten op het netwerk melden. Daarmee maakt het alerts en een netwerkkaart. Het legt geen inhoud van berichten of bestanden vast en ontsleutelt nooit verkeer. Omdat een laptop met de naam van zijn gebruiker, of een adres dat aan iemands computer is toegewezen, naar een individu kan wijzen, behandelt u deze gegevens als persoonsgegevens: informeer medewerkers, bewaar alleen wat nodig is, beperk wie ze kan zien en verwijder ze volgens schema. NetSenX slaat klantgegevens op in de EU en publiceert zijn verwerkersovereenkomst met de volledige lijst van subverwerkers.

Mogelijk, afhankelijk van uw land en van hoe de monitoring gebruikt zou kunnen worden. In Duitsland geeft § 87 lid 1 nr. 6 van de Betriebsverfassungsgesetz de ondernemingsraad medezeggenschap over de invoering en het gebruik van technische voorzieningen die bedoeld zijn om gedrag of prestaties van werknemers te controleren; veel bedrijven sluiten een overeenkomst voordat ze beveiligingstools inzetten. Andere landen, waaronder Nederland met het instemmingsrecht van de ondernemingsraad bij personeelsvolgsystemen, kennen vergelijkbare rechten, en de AVG laat nationaal recht specifiekere regels voor de arbeidscontext toevoegen. Betrek de ondernemingsraad of personeelsvertegenwoordiging vroeg, leg uit dat het doel aanvalsdetectie op apparaten is, wat wel en niet wordt vastgelegd, wie de alerts ziet en hoe lang gegevens bewaard blijven. De juridische beoordeling blijft bij u.

Door te kijken naar wat er echt met uw netwerk verbindt, niet naar uw inventaris. Privételefoons, laptops en slimme apparaten komen vaak op de kantoorwifi of in een vrije netwerkaansluiting terecht zonder dat iemand het vastlegt. In elk abonnement toont de netwerkkaart van NetSenX de apparaten die op bewaakte segmenten zijn gezien, met de naam die elk apparaat meldt en wanneer het voor het eerst en het laatst is gezien, zodat onbekende apparaten opvallen; scant een ervan het netwerk of benadert het steeds een onbekende externe server, dan volgt een alert. Een netwerksensor kan niet zeggen van wie een apparaat is of dat het mag: vergelijk de lijst met uw inventaris en beleid. De blijvende oplossing is structureel: een apart gastnetwerk voor privéapparaten en, waar mogelijk, netwerktoegangscontrole op het kantoornetwerk.

Ja, vooral omdat niemand weet wat erop staat. Een privélaptop heeft misschien geen endpointbeveiliging, verouderde software, illegale programma's of thuis opgelopen malware, en op een plat kantoornetwerk staat hij naast salaris- en klantgegevens. Bovendien valt hij buiten uw controle als de persoon vertrekt. Veiliger: geef de bedrijfslaptop op de eerste dag uit; lukt dat niet, geef dan tijdelijk toegang via een apart gastnetwerk en de browser naar clouddiensten, niet naar interne bestandsshares; en zet de regel in het onboardingproces. Maken privéapparaten toch verbinding, kijk dan wat ze doen: NetSenX toont in elk abonnement nieuwe apparaten op de netwerkkaart en geeft een alert als een apparaat het netwerk scant of steeds een onbekende externe server benadert.

Ja, voor de segmenten die NetSenX bewaakt. In elk abonnement toont de netwerkkaart elk apparaat dat daar is gezien, met de naam die het meldt en wanneer het voor het eerst en het laatst is gezien; apparaten die deze maand voor het eerst opdoken, zijn dus makkelijk te vinden en te vergelijken met onboardinggegevens en inventaris. De lijst dekt alleen segmenten met een sensor: één agent op de mirrorpoort van een switch (SPAN) of op een netwerk-TAP ziet een heel segment, terwijl gastwifi of een vestiging zonder sensor buiten beeld blijft. Apparaatnamen zijn wat apparaten zelf melden, geen gecontroleerde identiteiten, en ze zijn te wijzigen. Een apparaat dat kort verbonden was en niets opvallends verstuurde, kan met heel weinig details verschijnen. Combineer dit beeld voor een volledige inventaris met uw apparaatbeheer en DHCP-gegevens.

Alleen waar u het verkeer van de laptop kunt zien: als de NetSenX-agent erop draait, of als het verkeer een bewaakt segment bereikt, bijvoorbeeld via de bedrijfs-VPN. Een commerciële VPN of het Tor-netwerk verschijnt als een langdurige versleutelde verbinding met één extern adres in plaats van de gebruikelijke mix van bestemmingen; NetSenX toont de bestemmingen en volumes, en of een bestemming bij zo'n dienst hoort, beoordeelt u aan de hand van het adres en de servernamen. In de tunnel kijkt het niet. Een privé-VPN is vaak onschuldig, dus begin met een vraag, niet met een beschuldiging, en controleer uw thuiswerkbeleid. Apparaatbeheer dat de bedrijfs-VPN afdwingt en identiteitslogs die tonen vanaf waar wordt ingelogd, dekken wat een netwerksensor niet ziet.

Vooral dat de persoon niet is wie hij zegt te zijn, of dat zijn apparatuur buiten uw controle valt. Sollicitanten met geleende of verzonnen identiteiten zijn al gebruikt om legitieme toegang te krijgen tot code, gegevens en interne systemen, en een laptop die alleen vanuit het buitenland via een privétunnel verbindt, is moeilijk te overzien. Verklein het risico bij werving en onboarding: controleer de identiteit in een live videogesprek en met officiële documenten, bel referenties zelf na, stuur een beheerde bedrijfslaptop in plaats van een privéapparaat toe te staan, geef toegang stap voor stap en alleen tot wat de functie vraagt, en eis multifactorauthenticatie. Identiteitscontrole is een taak van HR. Draait de NetSenX-agent op de laptop, dan verschijnen ongebruikelijke tunnels, beaconing of grote uploads als aanwijzingen of alerts die IT kan bekijken.

Nee: bewaak de bedrijfsapparaten en wat het bedrijf bereikt, niet het huis van de medewerker. Een thuisnetwerk draagt de telefoons van het gezin, games en privéverkeer; dat bekijken zou betekenen dat u persoonsgegevens verzamelt waarvoor u geen reden hebt, wat onder de AVG en het arbeidsrecht moeilijk te verantwoorden is. Wat u redelijkerwijs kunt beschermen, is de bedrijfslaptop en het bedrijfsnetwerk: endpointbeveiliging en apparaatbeheer op de laptop, de bedrijfs-VPN verplicht voor interne bronnen en monitoring waar dat verkeer aankomt. Bij NetSenX kan een bedrijfslaptop zelf de agent draaien, die de verbindingen van dat ene apparaat bewaakt waar het ook is; andere apparaten op het thuisnetwerk bewaakt hij niet. Vertel medewerkers precies wat er op hun werkapparaat wordt bewaakt en waarom.

Door bij te houden welke apparaten ermee praten en nieuwe te signaleren. Een salaris- of HR-server heeft normaal een kleine, vaste groep clients: een paar computers bij HR en financiën, een back-upsysteem, misschien de salarisverwerker. Maakt een werkplek die er nooit mee verbond plotseling verbinding, zeker op een vreemd tijdstip of na het scannen van andere machines, dan is direct controleren verstandig. In elk abonnement leert NetSenX de normale verbindingen van elke host en geeft een alert voor laterale beweging als sessies tussen apparaten niet in dat patroon passen, met bronapparaat, bestemming en tijdstip. Het beheert geen rechten en weet niet wie achter het toetsenbord zat: beperk toegang met accounts en firewallregels, en bekijk in de inloglogs van de server welk account is gebruikt.

Meestal de salaris- en HR-systemen, gedeelde mappen met contracten en ziekmeldingen, de directoryserver met alle accounts, de back-upserver met een kopie van alles en de mailboxen van HR en directie. Begin met een lijst: wie eigenaar is van elk systeem, welke computers en leveranciers het moeten bereiken en of het intern of in de cloud draait. Bescherm ze daarna in lagen: multifactorauthenticatie, toegang alleen voor wie die nodig heeft, versleuteling van opgeslagen gegevens, inloglogs en back-ups die vanaf het netwerk niet te wissen zijn. Voor systemen op uw eigen netwerk helpt NetSenX bij één laag: in elk abonnement geeft het een alert als een apparaat dat er normaal niet mee verbindt dat ineens wel doet, of als een ervan ongewone hoeveelheden data naar buiten stuurt. HR-diensten in de cloud hebben hun eigen auditlogs nodig.

Eerst als beveiligingsgebeurtenis over een apparaat, niet als bewijs tegen een persoon. Een alert zegt dat een apparaat zich ongewoon gedroeg: het kan geïnfecteerd zijn, door iemand anders gebruikt worden of iets legitiems doen dat vreemd oogt. IT stelt eerst de feiten vast: wat het apparaat deed, wanneer, of er malware op staat en of een account is misbruikt. HR komt er alleen bij als de feiten op een gedragsprobleem wijzen, en dan volgens uw reglement, het arbeidsrecht en de privacyregels, bij voorkeur na overleg met de functionaris gegevensbescherming. Houd de kring klein, leg elke stap vast en noem geen namen voordat de feiten duidelijk zijn. NetSenX ondersteunt deze scheiding: de alerts beschrijven apparaten, verbindingen en bestemmingen, en het auditlog legt vast wie een alert afhandelde en wat er besloten is.

Alleen binnen nauwe grenzen, en daarvoor is NetSenX niet gebouwd. Beveiligingsmonitoring is ingericht om aanvallen op apparaten op te sporen; de gegevens gebruiken om een persoon te onderzoeken is een ander doel, dat het privacyrecht behandelt als een aparte vraag van verenigbaarheid, rechtsgrond en evenredigheid, en dat arbeidsrecht en medezeggenschapsregels vaak verder beperken. In sommige gevallen, zoals een vastgelegd vermoeden van een ernstig strafbaar feit, kan beperkt gebruik na juridisch advies rechtmatig zijn. Voer nooit op eigen houtje een verborgen onderzoek uit via een beveiligingstool. NetSenX is apparaatgericht: de alerts beschrijven wat een apparaat op het netwerk deed, niet iemands browsegeschiedenis, en het leest nooit inhoud. Leg vooraf schriftelijk vast wie beveiligingsgegevens voor een onderzoek mag opvragen en wie dat goedkeurt.

Soms, maar dat hangt af van het nationale recht en van hoe de logs zijn verzameld en aangekondigd. Volgens de AVG mogen persoonsgegevens die voor één doel zijn verzameld, zoals netwerkbeveiliging, alleen voor een ander doel worden gebruikt als dat doel verenigbaar is of een andere rechtsgrond geldt, en medewerkers moeten over de monitoring zijn geïnformeerd. Het nationale arbeidsrecht stelt eigen voorwaarden: sommige landen eisen vooraf informatie of instemming van de ondernemingsraad, en rechters in verschillende lidstaten hebben bewijs uit heimelijke of onevenredige monitoring buiten beschouwing gelaten. Vraag daarom juridisch advies voordat een log tegen iemand wordt gebruikt, betrek de functionaris gegevensbescherming en controleer wat medewerkers is verteld. NetSenX-logs beschrijven apparaatactiviteit en worden bewaard gedurende de bewaartermijn van uw abonnement; of ze als bewijs bruikbaar zijn, is een juridische vraag.

Door vóór de start het doel, de gegevens en de mensen met toegang vast te leggen, op papier. Formuleer het doel als het opsporen van aanvallen op apparaten en systemen, en sluit prestatie- of gedragscontrole uitdrukkelijk uit. Verzamel alleen metadata, bewaar ze voor een vaste termijn en beperk de toegang tot de paar mensen die beveiliging afhandelen, met een log van wat zij doen. Vertel medewerkers wat er wordt bewaakt en waarom, betrek de ondernemingsraad of personeelsvertegenwoordiging waar die bestaat, en voer een gegevensbeschermingseffectbeoordeling uit als de verwerking waarschijnlijk een hoog risico oplevert. Herzie de opzet jaarlijks. NetSenX ondersteunt dit in het ontwerp: het bewaakt apparaten en verbindingen, ontsleutelt nooit verkeer, rapporteert AI-gebruik per apparaat en programma in plaats van per persoon, en houdt een auditlog bij van wie wat deed in het account.

Ja, en het is vaak een goede schuilplaats. Een computer die niemand gebruikt maar die aan en verbonden blijft, zoals de werkplek van iemand met langdurig verlof, een reserve-pc in een vergaderzaal of een oude machine voor één programma, krijgt zelden updates en niemand merkt het als hij zich vreemd gedraagt. Aanvallers gebruiken zulke machines als stille uitvalsbasis om het netwerk te scannen, servers te bereiken of data naar buiten te sturen. Zet uit en koppel los wat niet nodig is, houd de rest bijgewerkt en geef elke machine een eigenaar. In elk abonnement geeft NetSenX alerts als een bewaakt apparaat met vaste tussenpozen een externe server gaat benaderen, gaat scannen, verbinding maakt met hosts die het nooit gebruikte of ongewone volumes uploadt, wat het meest opvalt bij een machine die niets zou moeten doen.

Door te vergelijken wat hij nu doet met wat hij normaal doet. Een computer die stil zou moeten liggen, omdat de gebruiker met verlof is of hij alleen voor updates aanstaat, heeft een heel klein normaal patroon: een paar updateservers, misschien het back-upsysteem. Alles daarbuiten, zoals regelmatige verbindingen met een onbekende externe server, inloggen op andere interne machines, scans of grote uploads 's nachts, is een sterk signaal. In elk abonnement leert NetSenX de eigen gebruikelijke bestemmingen, volumes en tijdstippen van elk apparaat en geeft alerts voor C2-beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume, met apparaat, bestemming en tijdstip. Wat er zonder netwerkverkeer in de machine zelf gebeurt, ziet het niet; dat dekt endpointbeveiliging. Leg vast welke machines stil zouden moeten liggen, zodat ook een vervanger het weet.

Meestal uitzetten of innemen, en zorgen dat hun accounts in de tussentijd niet misbruikt kunnen worden. Spreek met HR een eenvoudige routine af voor afwezigheid van langer dan een paar weken, zoals ouderschapsverlof, langdurige ziekte of een sabbatical: de laptop wordt opgeborgen of blijft uit, vaste pc's worden afgesloten, en het account wordt opgeschort of blijft alleen met multifactorauthenticatie actief, afhankelijk van of de persoon nog externe toegang nodig heeft. Werk de machine bij terugkeer bij voordat hij weer op het netwerk komt. Behandel dit als beveiligingsstap, niet als oordeel over de persoon, en schrijf het zo in het beleid. Moet een machine aanblijven, bijvoorbeeld voor een gedeelde taak, geef hem dan een eigenaar. NetSenX geeft in elk abonnement een alert als zo'n apparaat gaat beaconen, scannen of uploaden terwijl het stil zou moeten zijn.

Vooral door te regelen waar ze verbinding mogen maken, en daarna te kijken wat ze daar doen. Externen brengen meestal hun eigen laptop mee, die u niet beheert en niet kunt inspecteren. Geef ze een apart netwerk of VLAN met toegang tot alleen de systemen die hun project nodig heeft, tijdelijke accounts met multifactorauthenticatie en een contractclausule over beveiliging en incidentmelding. Bewaak daarna dat segment. In elk abonnement toont NetSenX de apparaten die daar zijn gezien, met de naam die elk meldt en wanneer het voor het eerst en het laatst is gezien, en geeft alerts als de laptop van een externe het netwerk scant, steeds een onbekende externe server benadert of buiten het gebruikelijke patroon met interne machines verbindt. In de laptop of in versleutelde sessies kijkt het niet. Vertel externen wat er bewaakt wordt, net als medewerkers.

Ja, waar dat kan, omdat het beperkt wat een onbeheerde laptop kan bereiken. Op een plat netwerk staat de laptop van een externe naast salarissystemen, bestandsservers en productiesystemen, zodat malware die hij meeneemt ze allemaal kan proberen te bereiken. Een apart wifi-netwerk of VLAN dat via een firewall alleen internet en de specifieke systemen van het project toelaat, maakt daar een korte, controleerbare lijst van toegestane verbindingen van. Trek de toegang in als het project afloopt. Segmentatie gebeurt in uw switches, firewall en wifi-controller; NetSenX wijzigt geen netwerkinstellingen en blokkeert geen verkeer. Het voegt een controle toe dat de scheiding werkt: laat de monitoring zien dat een apparaat van een externe interne hosts buiten de toegestane lijst bereikt of scant, dan geeft het een alert.

Ja, op de segmenten die NetSenX bewaakt: de netwerkkaart toont in elk abonnement wanneer elk apparaat voor het laatst is gezien. Controleer na afloop van een project dat de apparaten van de externen niet meer verschijnen, en kijk een paar weken later nog eens; een laptop die na de einddatum terugkomt, betekent dat de toegang niet volledig is ingetrokken, door een opgeslagen wifi-wachtwoord, een VPN-profiel of een achtergebleven tool voor externe toegang. Combineer dit met de administratieve stappen: schakel de accounts van externen op de einddatum uit, wijzig gedeelde inloggegevens die ze kregen, verwijder hun VPN-profielen en certificaten, en neem passen en hardware in. Het netwerkbeeld kent geen contracten of einddata, dus houd een eenvoudige lijst bij van apparaten van externen met de verwachte einddatum en vergelijk die met de kaart.

Nee. Bestanden kopiëren naar een usb-stick, externe schijf of een telefoon aan een kabel gebeurt in de computer zelf en gaat nooit over het netwerk, dus geen enkele netwerksensor, ook NetSenX niet, kan het zien. Dat gat dicht u op het apparaat: instellingen voor apparaatbeheer in uw endpointbeveiliging of besturingssysteem kunnen verwijderbare opslag blokkeren of loggen, tools voor het voorkomen van datalekken (DLP) kunnen bijhouden welke bestanden worden gekopieerd, en schijfversleuteling beschermt bedrijfslaptops bij verlies. Netwerkmonitoring helpt pas in een latere stap: wordt de gekopieerde data later vanaf een bedrijfsapparaat op een bewaakt netwerk geüpload, dan kan een ongebruikelijk uitgaand volume van dat apparaat een alert geven. Kies de passende maatregel, leg die uit aan medewerkers en controleer de nationale regels over monitoring op het werk voordat u logging op bestandsniveau aanzet.

Een maatregel op het apparaat, geen netwerktool. De meeste endpointbeveiligingspakketten, en de beheerfuncties in huidige besturingssystemen, hebben apparaatbeheer: u kunt verwijderbare opslag helemaal blokkeren, alleen versleutelde sticks van het bedrijf toestaan of alleen-lezen toegang geven, en pogingen loggen. Software voor het voorkomen van datalekken (DLP) gaat verder en kan het kopiëren van als vertrouwelijk gemarkeerde documenten blokkeren. Begin met de eenvoudigste regel die bij het werk past, want een totaalverbod zet mensen er vaak toe aan zichzelf bestanden te mailen, en combineer die met schijfversleuteling op laptops. Zet de regel in het IT-beleid en informeer medewerkers, want loggen wat mensen kopiëren is monitoring in de zin van privacy- en arbeidsrecht. NetSenX doet dit niet; het ziet alleen data die later over het netwerk gaat.

De upload zelf, als die vanaf een bewaakt apparaat of segment vertrekt: het apparaat, de bestemming, het volume en het tijdstip, maar niet de bestanden. Kopieert iemand op kantoor data naar een usb-stick en uploadt hij die thuis, dan ziet het kantoornetwerk de upload nooit. Gebeurt de upload vanaf een bedrijfslaptop met de NetSenX-agent, of vanaf een computer op een bewaakt segment, dan vergelijkt NetSenX in elk abonnement dat uitgaande verkeer met het normale patroon van het apparaat en geeft een alert als het ongewoon is, bijvoorbeeld enkele gigabytes 's nachts naar een privécloudopslag. De inhoud blijft ongelezen, omdat NetSenX nooit verkeer ontsleutelt. Om te weten wat er is geüpload, hebt u logs van de clouddienst of endpointtools nodig, gebruikt binnen arbeids- en privacyrecht.

U kunt beperken wie überhaupt toegang heeft tot het beveiligingsaccount, en dat is de eerste stap. Alerts kunnen apparaten van HR, directie of financiën noemen, en soms wijzen die namen naar personen. Vanaf Starter ondersteunt NetSenX teambeheer met rollen, zodat u alleen de paar mensen toevoegt die beveiliging afhandelen en ieder de rol geeft die nodig is; Free heeft één gebruiker. Iedereen met toegang moet weten dat alerts vertrouwelijk zijn. Hebt u een fijnere scheiding nodig, bijvoorbeeld zodat IT geen alerts over de laptop van de HR-directeur ziet, vraag ons dan wat het huidige rollenmodel ondersteunt voordat u erop vertrouwt, en overweeg zulke alerts aan een kleine groep of een externe dienstverlener te geven. Elke actie in het account wordt in elk abonnement in het auditlog vastgelegd.

Het legt acties vast. In elk abonnement registreert het auditlog van NetSenX wat gebruikers in het account doen: wie de status van een alert wijzigde of hem sloot, wie een beslissing vastlegde, wie een instelling wijzigde of een teamlid toevoegde, en wanneer. Dat geeft een spoor voor interne reviews, auditors en vragen van de ondernemingsraad over wie gevoelige alerts afhandelde. Het auditlog heeft een eigen bewaartermijn die met het abonnement meegroeit; de prijspagina vermeldt die. Ga er niet van uit dat alleen het openen of lezen van een alert wordt vastgelegd: hebt u vastlegging nodig van wie wat bekeek, vraag ons dan wat de huidige versie logt voordat u het iemand belooft. Combineer het auditlog met een korte schriftelijke regel over wie toegang mag hebben tot beveiligingsalerts en waarom.

Ja: tweestapsverificatie is beschikbaar in elk abonnement, ook in Free. Het voegt een tweede stap aan het inloggen toe, meestal een code uit een authenticator-app, zodat een gestolen of geraden wachtwoord alleen het account niet opent. Zet het aan voor iedereen die NetSenX gebruikt en neem het op in uw onboardingchecklist, want een beveiligingsaccount laat zien hoe uw netwerk is opgebouwd en welke apparaten alerts gaven, precies wat een aanvaller graag leest. Hetzelfde geldt voor al uw andere beheeraccounts: e-mail, clouddiensten, firewall, back-upsysteem en tools voor externe toegang. NetSenX legt ook acties en wijzigingen in het account vast in het auditlog, zodat onverwachte activiteit in het account te controleren is. Verwijder gebruikers meteen als ze het team verlaten.

Wat er bewaakt wordt, waarom, wat niet, wie het ziet en hoe lang het bewaard blijft, in gewone woorden en voordat de monitoring begint. De AVG verplicht verwerkingsverantwoordelijken tot duidelijke informatie over de verwerking van persoonsgegevens, en het arbeidsrecht van veel landen voegt informatie- of overlegplichten toe. Een goede uitleg zegt: we bewaken bedrijfsapparaten en netwerkverbindingen om aanvallen op te sporen; we leggen verbindingsmetadata vast zoals adressen, tijden, volumes en servernamen, niet de inhoud van berichten of bestanden; een klein, benoemd team ziet de alerts; gegevens worden een vaste termijn bewaard; met vragen kunt u bij deze persoon terecht. Neem dit op in het IT-beleid en de privacyverklaring voor personeel, en werk het bij als de opzet verandert. De beschrijving van wat NetSenX leest, helpt om het precies te formuleren.

Nee. NetSenX rapporteert AI-gebruik per apparaat en per programma, niet per persoon. Vanaf Pro toont het welke apparaten welke externe AI-diensten of lokale modelomgevingen bereikten, wanneer en hoeveel data er ging; waar de agent op de computer zelf draait, kan het ook het programma noemen dat de verbinding maakte. Het ontsleutelt nooit verkeer, dus het kan niet laten zien wat er werd getypt, geplakt of geüpload. Een apparaat aan een persoon koppelen is een aparte stap, die HR alleen om een duidelijke, rechtmatige reden zou moeten zetten, zoals een vermoed datalek, en met de waarborgen die uw beleid en het nationale recht vereisen. Voor de meeste doelen hebt u geen namen nodig: weten dat apparaten van financiën data naar een niet-goedgekeurde dienst sturen, is genoeg om het beleid aan te passen, een goede tool goed te keuren of training te geven.

Insiderrisico is schade door iemand met legitieme toegang: een medewerker, externe of leverancier die gegevens of systemen bewust misbruikt, een kostbare fout maakt of wiens account wordt overgenomen. Het verschil met een aanval van buiten is het vertrekpunt: een insider is al voorbij de voordeur, met geldige inloggegevens en normaal ogende activiteit, zodat maatregelen die alleen rond de rand van het netwerk zijn gebouwd hem missen. De meeste interne incidenten zijn fouten, geen kwade opzet, dus de beste maatregelen zijn eenvoudig: alleen de toegang die de functie vraagt, intrekken bij een functiewissel, multifactorauthenticatie, back-ups en training. NetSenX ziet een deel daarvan: ongewoon gedrag van een apparaat, zoals verbindingen met servers die het nooit gebruikte of grote uploads. Het beoordeelt geen bedoelingen en bewaakt geen mensen.

Ja, ze kunnen erom vragen, want de AVG geeft iedereen een recht op inzage in persoonsgegevens over hem. Zijn netwerkgegevens aan een medewerker te koppelen, bijvoorbeeld via een laptop met zijn naam of een adres dat aan zijn computer is toegewezen, dan kan hij een kopie vragen en informatie over doelen, ontvangers en bewaartermijn, binnen de grenzen die de AVG en het nationale recht toestaan, zoals de bescherming van rechten van anderen of een lopend onderzoek. Als werkgever bent u verwerkingsverantwoordelijke en beantwoordt u het verzoek binnen de termijn van artikel 12 AVG. Bereid u voor: weet waar beveiligingsgegevens staan, wie ze kan exporteren en hoe gegevens over anderen worden verwijderd. NetSenX ondersteunt als verwerker zulke verzoeken volgens zijn verwerkersovereenkomst; de gegevens gaan over apparaatverbindingen, niet over de inhoud van berichten.

Hij moet duidelijk zeggen dat bedrijfsapparaten en netwerken voor beveiliging worden bewaakt, wat dat betekent en waar de grenzen liggen. Een bruikbaar hoofdstuk behandelt: het doel (aanvallen opsporen en gegevens beschermen, geen prestaties meten); wat wordt vastgelegd (verbindingsmetadata van bedrijfsapparaten en -netwerken, geen inhoud van berichten); of privégebruik van werkapparaten mag en hoe privéverkeer wordt behandeld; regels voor privéapparaten, usb-opslag, tools voor externe toegang en AI-diensten; wie alerts ziet en hoe lang gegevens worden bewaard; wat er gebeurt als een alert het apparaat van een medewerker betreft; en bij wie je terechtkunt. Houd het kort genoeg om gelezen te worden, laat het juridisch toetsen en, waar nodig, instemmen door de ondernemingsraad. Beschrijf NetSenX naar wat het doet: monitoring van apparaten en verbindingen, zonder ontsleuteling.

Zolang u ze nodig hebt voor beveiliging en eventuele wettelijke plichten, en niet langer: het beginsel van opslagbeperking in de AVG vraagt een vaste termijn, geen bewaren voor het geval dat. Er is geen enkel EU-getal voor netwerkbeveiligingslogs, dus stel zelf een termijn vast en schrijf op waarom. Voor een langere termijn pleiten meestal laat ontdekte incidenten, vragen van auditors, verzekeraars en toezichthouders, en sector- of nationale regels die vastlegging eisen; voor een kortere, dat de logs over identificeerbare medewerkers gaan en dat minder data minder te beschermen betekent. Veel bedrijven kiezen een termijn van maanden voor alerts en een langere voor incidentdossiers en beslissingen. De bewaartermijn van alertgeschiedenis en auditlog in NetSenX hangt af van het abonnement; de prijspagina vermeldt beide.

Emotieherkenning op het werk is verboden, en AI die werknemers bewaakt of beoordeelt geldt als hoog risico. Artikel 5 van de AI-verordening (AI Act) verbiedt AI-systemen die emoties van mensen op de werkplek afleiden, behalve om medische of veiligheidsredenen, en bijlage III noemt AI die prestaties en gedrag van mensen in een arbeidsrelatie bewaakt en beoordeelt een systeem met hoog risico, met strenge plichten voor aanbieders en gebruiksverantwoordelijken. De AVG en het nationale arbeidsrecht gelden daarbovenop, en de ondernemingsraad heeft vaak iets te zeggen. Wees dus voorzichtig met tools die productiviteit scoren, toetsaanslagen vastleggen of gezichten en stemmen analyseren. NetSenX is anders gebouwd: het bewaakt apparaten en netwerkverbindingen om aanvallen op te sporen, rapporteert AI-gebruik per apparaat en programma, nooit per persoon, en beoordeelt geen medewerkers.