Waarom een wachtwoord niet genoeg is
De meeste inbraken beginnen niet met een gekraakt wachtwoord maar met een gestolen wachtwoord. Uit een phishingmail, uit een datalek bij een andere dienst, of gewoon omdat hetzelfde wachtwoord ergens anders ook werd gebruikt.
Met multifactor-authenticatie, vaak afgekort tot MFA, is dat wachtwoord alleen niet meer genoeg. Er is een tweede bewijs nodig dat je bent wie je zegt.
Niet elke tweede stap is even sterk
Er is verschil, en dat verschil is groter dan mensen denken.
- Sms-code. Beter dan niets, maar het zwakst. Een telefoonnummer is over te nemen en codes zijn te onderscheppen. Het NCSC raadt sms af (opent in een nieuw tabblad) om precies die reden.
- Authenticator-app. Een code die elke dertig seconden verandert, op je eigen toestel. Voor de meeste organisaties de juiste keuze.
- Pushmelding met nummercontrole. Je ziet een getal op je scherm dat je in de app moet aantikken. Dit voorkomt dat je per ongeluk goedkeurt.
- Beveiligingssleutel of passkey. De sterkste vorm, en de enige die echt bestand is tegen phishing. Zie wachtwoordmanagers en passkeys.
Instellen in vijf stappen
- Installeer een authenticator-app op je telefoon. Microsoft Authenticator en Google Authenticator werken allebei prima.
- Log op je computer in op je account en ga naar je beveiligingsinstellingen.
- Kies de optie om een app toe te voegen. Er verschijnt een blokjescode op je scherm.
- Scan die code met de app op je telefoon. Het account verschijnt in de lijst.
- Vul de getoonde code één keer in om te bevestigen, en bewaar de herstelcodes op een veilige plek.
Bewaar de herstelcodes niet in dezelfde app en niet in je mailbox. Een uitgeprint vel in een afgesloten la is prima, of een kluis in je wachtwoordmanager.
Je telefoon kwijt
Daarom zijn die herstelcodes er. Heb je ze niet, dan kan een beheerder je account opnieuw instellen nadat je identiteit is vastgesteld. Bij ons beheerde omgevingen gaat dat via je vaste contactpersoon, en nooit alleen op basis van een mailtje.
Uitrollen over een team
Zet het niet in één keer verplicht voor iedereen. Wat wel werkt is een korte aankondiging, twee weken waarin mensen het zelf kunnen aanzetten, en daarna pas afdwingen. Begin bij de accounts met de meeste rechten en bij alles wat vanaf internet bereikbaar is. Het Digital Trust Center heeft hier een toolkit voor (opent in een nieuw tabblad), met materiaal dat je zo naar je team kunt sturen.
Valt je organisatie onder de Cyberbeveiligingswet, dan is dit een van de maatregelen die je sowieso moet kunnen aantonen. Wij regelen dit binnen cloud oplossingen en nemen het mee in IT-consultancy.