Toegang tot je systemen en gegevens is de eerste verdedigingslinie van je organisatie. Is die niet goed geregeld, dan maakt het weinig uit hoeveel andere maatregelen je neemt. Eén zwak account kan de deur wagenwijd openzetten. In de tweede editie van Het Digitale Kompas beschrijven we zeven maatregelen die samen het fundament vormen.
Waarom inloggen het eerste doelwit is
Criminelen kiezen bijna altijd het makkelijkste pad naar binnen. Dat is zelden een ingewikkelde kwetsbaarheid, maar meestal een zwak account met een slecht wachtwoord, een vergeten inlog of een klik op een phishinglink. Veel incidenten komen voort uit menselijke fouten, niet uit vernuftige hacks. Een goed inlogbeleid vangt die fouten op.
1. Wachtzinnen in plaats van ingewikkelde codes
Veel mensen denken dat een wachtwoord veilig is als het vol rare tekens staat. Maar W8w0ord-I$-St3rk is veel moeilijker te onthouden dan DIT-is-1-sterke-OPTIE, terwijl die laatste door de lengte minstens zo veilig is. Kies daarom voor wachtzinnen: langere combinaties van woorden.
Het oude advies “bedenk een moeilijk wachtwoord en verander het regelmatig” werkt niet meer. Het leidt juist tot onveilig gedrag: Welkom2023! wordt Welkom2024!. Criminelen weten dat. Ze beschikken over miljoenen gestolen wachtwoorden en testen die automatisch op andere diensten. Eén hergebruikt wachtwoord kan zo toegang geven tot je bedrijfsgegevens.
2. Wachtwoorden centraal beheren
Losse wachtwoorden leiden vrijwel altijd tot onveilig gedrag: hergebruik, notities in Excel, screenshots op telefoons of wachtwoorden in de browser. Een wachtwoordmanager geeft iedereen één veilige plek, zonder dat je wachtwoorden hoeft te onthouden. Professionele managers maken sterke wachtzinnen aan, controleren op gelekte wachtwoorden en bieden gedeelde kluizen voor teams. Kies er een die op alle apparaten in je organisatie werkt, anders wordt hij niet gebruikt.
3. Tweestapsverificatie (MFA)
MFA is een van de meest effectieve maatregelen. Lekt een wachtwoord uit, dan houdt de extra stap criminelen alsnog buiten. Kies voor moderne vormen, zoals een authenticatorapp of een fysieke hardwaresleutel. Sms is kwetsbaar voor onderschepping en simswaps. MFA is geen garantie op volledige veiligheid, maar maakt misbruik vele malen moeilijker. Lees ook waarom MFA belangrijk is, maar kennis nog belangrijker.
4. Passkeys en inloggen zonder wachtwoord
Passkeys zijn de toekomst van veilig inloggen. Je logt in met je vingerafdruk, je gezicht of een apparaat dat je bij je hebt. Het grote voordeel: passkeys zijn phishingbestendig. Op een nagemaakte website werkt je passkey simpelweg niet. Meer in Passkeys: veilig inloggen zonder gedoe.
Niet elke organisatie is klaar voor passkeys, en dat hoeft ook niet. Een goede tussenstap is inloggen met een pushmelding in Microsoft Authenticator, zonder wachtwoord. Hoe je dat instelt, lees je in Microsoft Authenticator: de eerste keer instellen.
5. Conditional Access
Niet elke inlogpoging is hetzelfde. Iemand die vanaf kantoor op een beheerd apparaat inlogt, is een ander risico dan iemand die vanaf een hotelkamer in het buitenland probeert binnen te komen. Met Conditional Access stel je regels op die rekening houden met locatie, apparaat en risicosignalen. Zo dwing je extra controles af waar dat nodig is, en hoeven medewerkers op vertrouwde plekken minder vaak opnieuw in te loggen.
6. Overzicht over accounts
Veel organisaties hebben vergeten accounts die al maanden of jaren niet worden gebruikt. Dat zijn stille toegangspoorten voor criminelen. Kijk regelmatig welke accounts actief zijn, ruim op wat weg kan, en trek toegang direct in als iemand vertrekt.
7. Single sign-on (SSO)
Met single sign-on gebruiken medewerkers één centrale identiteit voor al hun systemen. Minder wachtwoorden betekent minder zwakke plekken. En vertrekt iemand, dan schakel je één account uit en is alle toegang in één keer ingetrokken.
Waar je op let bij het kiezen van een wachtwoordmanager
- Gedeelde kluizen voor teams, voor gedeelde accounts zoals social media of leveranciersportalen. Dan gaan wachtwoorden niet meer via mail of chat rond.
- Automatisch invullen zonder opslag in de browser. Browsers zijn niet gemaakt als veilige opslagplaats.
- Auditlogs voor beheerders, zodat je ziet hoe de manager wordt gebruikt en waar risico’s zitten.
- Herstel van toegang. Als iemand uitvalt of vertrekt, moet je toegang gecontroleerd kunnen overnemen.
Brandaris is partner van 1Password. Lees wat je misschien nog niet wist over 1Password.
Begin met de basis
Je hoeft niet alles tegelijk in te voeren. Begin met wachtzinnen, een wachtwoordmanager en MFA, en bouw stap voor stap verder. Hoe makkelijker je veilige keuzes maakt voor medewerkers, hoe beter ze worden gevolgd.
Meer in Het Digitale Kompas
Dit artikel is gebaseerd op de tweede editie van Het Digitale Kompas. Daarin lees je ook over autorisatie, slimme licentiekeuzes, e-mailbeveiliging en back-ups.
Download Het Digitale Kompas, editie 2
Het Digitale Kompas, editie 2
Download pdf