Een wachtwoord met een extra code via een app: voor veel organisaties is dat inmiddels de standaard. Multifactor authenticatie (MFA) maakt inloggen veiliger, maar niet iedere vorm van MFA biedt dezelfde bescherming. Welke inlogmethode past bij jouw organisatie? Dat hangt af van de toegang die een account geeft en de schade die misbruik kan veroorzaken.
Niet ieder account heeft hetzelfde risico
Een medewerker die toegang heeft tot zijn eigen bestanden, heeft andere rechten dan een systeembeheerder die instellingen kan wijzigen of accounts kan aanmaken. Ook maakt het verschil of iemand bij klantgegevens kan en of het systeem via internet bereikbaar is.
Begin daarom met een overzicht: wie heeft toegang tot welke systemen en gegevens? Kijk daarbij ook naar externe medewerkers, leveranciers en beheerders. Een account met beperkte rechten kan alsnog een risico vormen als een aanvaller het kan gebruiken om verder het netwerk binnen te komen.
Een extra code kan worden onderschept
Een code uit een authenticator-app beschermt tegen verschillende aanvallen met gestolen wachtwoorden. Toch kan een aanvaller via een overtuigende nepwebsite zowel het wachtwoord als de extra code onderscheppen. Een verzoek om in te loggen dat er vertrouwd uitziet, verdient dus nog steeds aandacht.
Voor accounts met toegang tot gevoelige gegevens of beheerfuncties is het verstandig om verder te kijken dan MFA met een code.
Passkeys bieden betere bescherming tegen phishing
Het Nationaal Cyber Security Centrum (NCSC) adviseert om passkeys te gebruiken waar dat mogelijk is. Een passkey is gekoppeld aan de website of dienst waarvoor deze is aangemaakt. Daardoor werkt de inlogmethode niet op een nagemaakte inlogpagina. De gebruiker ontgrendelt de passkey bijvoorbeeld met een pincode of gezichtsherkenning.
Niet iedere applicatie ondersteunt al passkeys. Daarom is een stapsgewijze aanpak praktisch: begin bij accounts met de meeste rechten en bij systemen die vanaf internet bereikbaar zijn. Zorg ondertussen dat MFA actief is op accounts waarvoor een passkey nog geen optie is.
Waar begin je als organisatie?
Breng eerst je accounts, toegangsrechten en inlogmethoden in kaart. Geef extra aandacht aan beheerdersaccounts, Microsoft 365, toegang op afstand en systemen met klant- of personeelsgegevens. Bepaal vervolgens waar je passkeys kunt invoeren en hoe medewerkers toegang krijgen als zij een apparaat kwijtraken.
KICK-ICT helpt organisaties om hun toegang en huidige MFA-instellingen te beoordelen en passende inlogmethoden in te richten. Wil je weten waar voor jouw organisatie de grootste risico’s zitten? Neem contact met ons op.
Bron: NCSC – Kies je authenticatiemiddel op basis van het risico.