Een bezoeker die even wifi vraagt in de vergaderruimte, wachtkamer of kantine lijkt onschuldig. Toch kan één verkeerd ingesteld toegangspunt toegang geven tot systemen die niet voor gasten bedoeld zijn. Gastwifi veilig instellen gaat daarom niet alleen over een sterk wachtwoord. Het gaat om duidelijke scheiding, controle en een netwerk dat medewerkers, patiënten en bezoekers prettig kunnen gebruiken zonder uw bedrijfsvoering onnodig risico te laten lopen.
Voor organisaties is gastwifi inmiddels een normale voorziening. Voor een mondzorgpraktijk is het vaak een service voor wachtende patiënten. Voor een mkb-bedrijf ondersteunt het bezoek, leveranciers en externe medewerkers. Maar zodra gastverkeer op hetzelfde netwerk terechtkomt als werkplekken, printers, telefonie of praktijksoftware, ontstaat er een kwetsbare situatie. Die voorkomt u met een doordachte inrichting.
Gastwifi veilig instellen begint met echte scheiding
De belangrijkste regel is eenvoudig: gasten horen niet op hetzelfde netwerk als uw medewerkers en bedrijfssystemen. Een apart wifi-netwerk met alleen een andere naam is niet altijd voldoende. De scheiding moet ook technisch zijn geregeld.
Dat gebeurt meestal met een afzonderlijk netwerksegment, vaak VLAN genoemd. Een VLAN is een virtuele afscheiding binnen uw netwerk. Apparaten van gasten krijgen dan wel internettoegang, maar kunnen niet communiceren met werkplekken, servers, printers, camera's of medische apparatuur. De firewall bepaalt vervolgens dat verkeer vanuit het gastnetwerk uitsluitend naar internet mag.
Deze aanpak beperkt de gevolgen als een telefoon van een bezoeker besmet is met malware, of als iemand bewust probeert apparaten in uw netwerk te vinden. Ook voorkomt u praktische ongemakken, zoals gasten die per ongeluk een printer selecteren of bestanden op een gedeelde map zien.
Een gastnetwerk op een eenvoudige consumentenrouter kan soms voldoende zijn voor een klein kantoor met beperkte risico's. Maar zodra u werkt met persoonsgegevens, cloudapplicaties, telefonie, meerdere locaties of praktijksoftware, is professioneel beheerde netwerkapparatuur verstandiger. Dan is de scheiding controleerbaar en blijft die ook intact na updates of wijzigingen.
Kies toegang die past bij uw bezoekers
Een wachtwoord op een kaartje bij de balie is snel geregeld, maar niet altijd de beste keuze. Het wachtwoord wordt gemakkelijk gedeeld en blijft vaak maanden of jaren hetzelfde. Dat maakt het lastig om te bepalen wie toegang heeft en om toegang in te trekken wanneer dat nodig is.
Voor een kleine, overzichtelijke omgeving kan een apart gastwachtwoord wel werken, mits het regelmatig wordt gewijzigd en nooit gelijk is aan het wachtwoord van het bedrijfsnetwerk. Geef medewerkers ook niet de gewoonte om bezoekers op het interne wifi-netwerk aan te melden omdat dat gemakkelijker is. Juist die uitzondering haalt de bescherming onderuit.
Bij meer bezoekers is een aanmeldpagina, ook wel captive portal genoemd, vaak praktischer. Gasten melden zich aan via een webpagina en accepteren de gebruiksvoorwaarden. U kunt vouchers met een beperkte geldigheidsduur uitgeven, bijvoorbeeld voor één dag of één week. Voor externe medewerkers kan een aparte, streng beheerde toegangsmethode nodig zijn. Zij zijn geen gewone gast en hebben soms toegang tot specifieke systemen nodig. Regel dat via een beveiligde werkplek of VPN, niet door het gastnetwerk open te zetten.
Denk vooraf na over de balans tussen gastvrijheid en controle. Een wachtkamer heeft baat bij eenvoudig inloggen. Een organisatie met veel vertrouwelijke informatie kiest mogelijk voor een code die receptie of kantoorbeheer per bezoek verstrekt. Er is geen standaardinstelling die voor elke organisatie ideaal is.
Beperk wat gasten kunnen doen, niet alleen waar zij komen
Een goed gescheiden gastnetwerk kan nog steeds problemen geven als één bezoeker alle beschikbare capaciteit gebruikt. Grote downloads, videostreaming of automatische updates kunnen het internet voor medewerkers merkbaar vertragen. Zeker wanneer cloudtelefonie, online afspraken of digitale patiëntendossiers afhankelijk zijn van dezelfde verbinding, is dat ongewenst.
Stel daarom een redelijke snelheidslimiet per gast of per apparaat in. Zo blijft het netwerk bruikbaar voor bezoekers, terwijl bedrijfskritische toepassingen voorrang houden. Dit heet prioritering van netwerkverkeer. Het hoeft niet ingewikkeld te zijn: het uitgangspunt is dat bellen, werken en zorgverlening nooit hinder mogen ondervinden van gastgebruik.
Overweeg daarnaast een limiet voor het aantal apparaten per toegangscode. Dat voorkomt dat een code zich via grote groepen verspreidt. Een maximale inlogduur helpt eveneens. Bij een praktijk kan een geldigheid van enkele uren logisch zijn. In een trainingslocatie of bij langdurige projecten kan een week juist beter passen.
Blokkeer ook toegang tussen apparaten op het gastnetwerk onderling. Deze instelling heet client isolation. Daarmee kan de telefoon van de ene gast niet zomaar verbinding maken met de laptop van een andere gast. Het is een kleine maatregel met een groot effect op privacy en veiligheid.
Beveilig de wifi-verbinding zelf
Gebruik minimaal WPA2-beveiliging en kies bij nieuwe apparatuur bij voorkeur WPA3. Dit zijn beveiligingsstandaarden die het draadloze verkeer versleutelen. Oude opties zoals WEP en WPA zijn verouderd en horen niet meer thuis in een zakelijke omgeving.
Ook een gastnetwerk heeft een goed wachtwoord nodig als u niet met vouchers of een aanmeldpagina werkt. Kies geen bedrijfsnaam, straatnaam of eenvoudig patroon. Een langere wachtzin is beter te onthouden én moeilijker te raden, bijvoorbeeld een combinatie van vier willekeurige woorden. Verander het wachtwoord direct wanneer u vermoedt dat het breder is gedeeld dan bedoeld.
De instellingen van toegangspunten, switches en firewalls verdienen minstens zoveel aandacht. Beheerwachtwoorden moeten uniek zijn, firmware moet tijdig worden bijgewerkt en beheer via internet mag alleen beschikbaar zijn als dat echt nodig is en goed is afgeschermd. Veel beveiligingsproblemen ontstaan niet door de wifi-naam die gasten zien, maar door verouderde apparatuur of beheeraccounts die te ruim zijn ingesteld.
Let op privacy, logging en gebruiksvoorwaarden
Gastwifi verwerkt soms gegevens, bijvoorbeeld een e-mailadres, telefoonnummer of inlogtijd. Vraag alleen om gegevens die u daadwerkelijk nodig hebt. Voor veel organisaties is een eenvoudige toegangscode voldoende en is het verzamelen van persoonsgegevens niet nodig.
Wilt u wel registreren wie toegang krijgt, leg dan helder uit welke gegevens u verwerkt, waarom dat gebeurt en hoe lang u die bewaart. Bewaar loggegevens niet langer dan noodzakelijk en beperk de toegang ertoe. Dit is relevant voor de AVG, maar ook voor vertrouwen: bezoekers moeten weten waar ze aan toe zijn.
Gebruiksvoorwaarden kunnen duidelijk maken dat het netwerk bedoeld is voor normaal internetgebruik en dat misbruik niet is toegestaan. Houd die voorwaarden kort en begrijpelijk. Een lange juridische tekst helpt een bezoeker zelden verder. Zorg er vooral voor dat de techniek de belangrijkste risico's al afvangt. Voorwaarden zijn geen vervanging voor een goed geconfigureerde firewall.
Test het gastnetwerk zoals een bezoeker dat gebruikt
Na de inrichting is testen onmisbaar. Verbind een telefoon of laptop met het gastwifi en controleer niet alleen of internet werkt. Probeer ook of u interne printers, gedeelde mappen, netwerkapparatuur of bedrijfsapplicaties kunt bereiken. Dat mag niet lukken.
Controleer vervolgens of de internetsnelheid voor medewerkers goed blijft wanneer meerdere gasten verbonden zijn. Test ook wat er gebeurt als een toegangscode verloopt en of de receptie of kantoorbeheerder eenvoudig een nieuwe code kan verstrekken. Een veilige oplossing die in de dagelijkse praktijk te omslachtig is, wordt vaak omzeild.
Neem gastwifi mee in uw vaste beheerproces. Bij verhuizing, uitbreiding, een nieuwe provider of vervanging van netwerkapparatuur kunnen regels ongemerkt veranderen. Periodieke controle voorkomt dat een ooit goed gescheiden gastnetwerk alsnog te veel rechten krijgt.
Wanneer is professionele inrichting nodig?
Bij één toegangspunt en weinig bezoekers kunt u de basis soms zelf regelen. Maar professionele hulp is verstandig wanneer meerdere access points, locaties, camera's, telefonie, medische apparatuur of verschillende gebruikersgroepen samenkomen. Dat geldt ook wanneer u niet zeker weet of gasten echt van uw bedrijfsnetwerk zijn gescheiden.
Een inventarisatie brengt dan eerst in kaart welke apparatuur en toepassingen in het netwerk aanwezig zijn. Daarna worden het gastnetwerk, de firewallregels, wifi-dekking en beheerafspraken ingericht op uw situatie. Voor mondzorgpraktijken is die samenhang extra belangrijk: patiëntgegevens, agenda's, röntgensystemen en telefonie moeten beschikbaar blijven, ook wanneer de wachtkamer vol zit.
TéGéTèl helpt organisaties in de regio met een netwerk dat veilig werkt én praktisch blijft voor medewerkers en bezoekers. Een goed gastnetwerk hoort geen los onderdeel te zijn, maar een beheerde voorziening die past bij de rest van uw ICT-omgeving.
Een gast die zonder gedoe online kan, merkt idealiter niets van alle techniek op de achtergrond. Juist dan is het goed geregeld: uw bezoekers krijgen service, terwijl uw organisatie rustig kan blijven werken.