In veel kleine en middelgrote bedrijven komt internet rechtstreeks via de router van de provider het kantoor binnen, en wordt geen extra beveiligingsapparaat gebruikt omdat "de router een firewall heeft". Waar computers, servers, camera's en gastapparaten echter hetzelfde netwerk delen en medewerkers op afstand inloggen, is dat niet genoeg. Dit artikel legt uit waar een mkb-bedrijf op moet letten bij het kiezen van een firewall.

Waarom is de firewall in de router niet genoeg?

De basisfirewall van een router blokkeert ongewenste inkomende verbindingen, maar inspecteert uitgaand verkeer niet op applicatieniveau, blokkeert geen schadelijke sites of bekende aanvalspatronen, laat geen netwerksegmenten met regels ertussen toe en houdt geen gedetailleerde logs bij. Een zakelijke firewall regelt dit allemaal vanuit één punt.

6 criteria die de keuze bepalen

  • Aantal gebruikers en apparaten: reken niet alleen met vandaag, maar ook met het verwachte aantal over twee à drie jaar.
  • Werkelijke prestaties: de topwaarde in datasheets wordt vaak gemeten met beveiligingsdiensten uit. Vergelijk de waarde met inbraakpreventie, webfilter en antivirus aan met uw internetsnelheid.
  • VPN-behoefte: het aantal thuiswerkers en verbindingen tussen vestigingen bepaalt de benodigde VPN-capaciteit. Let op MFA-ondersteuning voor VPN-aanmeldingen.
  • Licenties voor beveiligingsdiensten: inbraakpreventie, webfilter, antivirus en vergelijkbare diensten werken meestal met een jaarabonnement.
  • Beheer en rapportage: wie de regels beheert, waar en hoelang logs bewaard worden en hoe begrijpelijk de rapporten zijn.
  • Continuïteit: waar een internetstoring het werk stillegt, plant u twee lijnen en zo nodig een tweede apparaat voor hoge beschikbaarheid.

Een algemeen kader per omvang

De grenzen hieronder zijn niet vast; ze schuiven mee met uw eisenlijst.

  • Klein kantoor (tot ongeveer 25 gebruikers): een desktop-UTM-apparaat, één of twee internetlijnen, basis-VPN en webfilter zijn vaak voldoende.
  • Middelgroot (ongeveer 25–100 gebruikers): een rackapparaat, twee lijnen, regels tussen kantoor-, camera- en gastnetwerk, VPN per gebruiker en centrale logging.
  • Bedrijf met meerdere vestigingen of productielocatie: twee apparaten voor hoge beschikbaarheid, site-to-site-VPN, scheiding van het productienetwerk (machines, PLC's) en het kantoornetwerk, en doorsturen van logs naar centrale monitoring (SIEM).

Licenties en totale kosten

De kosten van een firewall bestaan niet alleen uit de apparaatprijs. Licenties voor beveiligingsdiensten worden jaarlijks verlengd; bij veel fabrikanten blijft het apparaat na afloop werken als basisfirewall, maar stoppen de continu bijgewerkte beschermingsdiensten. Vergelijk offertes daarom op de totale kosten over minstens drie jaar: apparaat, verlengingen, installatie en beheer. Voor scope en startprijzen zie ons artikel over cybersecurityprijzen.

Veelgemaakte installatiefouten

  • een "alles toestaan"-regel om de overstap te vergemakkelijken die daarna vergeten wordt,
  • de beheerinterface open op internet en in gebruik met het standaard beheerdersaccount,
  • firmware die nooit wordt bijgewerkt,
  • geen logs, of logs die niemand leest,
  • VPN-gebruikers met toegang tot het hele netwerk en zonder MFA.

Voorbereiding op de juiste keuze

Met deze gegevens vóór de offerteaanvraag kiest u makkelijker het juiste apparaat: lijst van gebruikers en apparaten, snelheden van de internetlijnen, aantal thuiswerkers en vestigingen, kritieke applicaties (ERP, boekhouding, clouddiensten) en het huidige netwerkschema. De firewall is een kernonderdeel van de Zero Trust-aanpak; zijn echte waarde komt pas tot zijn recht samen met netwerksegmentatie en authenticatie.

Na de installatie: de eerste 30 dagen

  • Regels worden in de eerste weken getoetst aan echt verkeer en te ruime rechten worden ingeperkt.
  • Er wordt een vast updatevenster voor de firmware afgesproken.
  • De configuratie wordt geback-upt en na elke belangrijke wijziging vernieuwd.
  • Wekelijkse rapporten worden bekeken: geblokkeerde dreigingen, apparaten met het meeste verkeer, VPN-sessies.
  • Beheeraccounts worden persoonlijk gemaakt en beheeraanmeldingen beveiligd met MFA.

Veelgestelde vragen

Welk firewallmerk raadt u aan?

Het merk kiest u op basis van uw eisenlijst, werkelijke prestaties, licentiekosten en lokale ondersteuning. Eén merk als beste voor elk bedrijf aanwijzen zou niet kloppen.

Wat gebeurt er als ik de licentie niet verleng?

Bij veel fabrikanten blijft het apparaat werken als basisfirewall, maar continu bijgewerkte diensten zoals inbraakpreventie en webfilter vallen weg en de bescherming wordt zwakker.

Hebben we een firewall nodig als we cloudapplicaties gebruiken?

Ja. Internettoegang van kantoorapparaten, verkeer tussen segmenten en toegang op afstand lopen nog steeds via het kantoornetwerk. Extra maatregelen voor cloudapps vullen die bescherming aan, maar vervangen haar niet.

Wilt u samen de juiste omvang voor uw bedrijf bepalen, bekijk dan onze pagina cybersecurity en Zero Trust en vraag een gratis offerte aan.