Een wachtwoord alleen is niet genoeg meer. Wachtwoorden worden hergebruikt, raken uitgelekt bij een datalek van een andere dienst of worden ontfutseld via phishing. Tweestapsverificatie, ook wel multifactorauthenticatie of MFA genoemd, voegt een tweede controle toe. Zelfs als iemand uw wachtwoord heeft, kan hij zonder die tweede stap niet inloggen. Het is daarmee een van de meest effectieve maatregelen die u kunt nemen, en vaak al beschikbaar in de diensten die u gebruikt.
In het kort
- Tweestapsverificatie combineert iets wat u weet met iets wat u heeft.
- Begin bij e-mail en beheeraccounts, daar is de winst het grootst.
- Neem medewerkers mee met korte uitleg en een vast moment van invoeren.
Hoe werkt het?
Bij het inloggen vult u eerst uw wachtwoord in. Daarna vraagt het systeem om een tweede bewijs dat u het echt bent. Dat kan op verschillende manieren:
- een code uit een authenticator-app op uw telefoon;
- een melding op uw telefoon die u bevestigt;
- een fysieke beveiligingssleutel die u in de laptop steekt of tegen de telefoon houdt;
- een code per sms.
Een sms-code is beter dan niets, maar minder veilig dan een app of sleutel, omdat sms-berichten kunnen worden onderschept of omgeleid. Kies daarom waar mogelijk voor een authenticator-app of een beveiligingssleutel.
Steeds meer diensten ondersteunen ook passkeys. Daarbij logt u in met uw vingerafdruk, gezicht of pincode op een vertrouwd apparaat, zonder wachtwoord. Dat is zowel veiliger als gebruiksvriendelijker, maar nog niet overal beschikbaar.
Waar begint u?
Zet tweestapsverificatie als eerste aan op de accounts met de meeste toegang:
- e-mail, zoals Microsoft 365 of Google Workspace;
- beheeraccounts van uw IT-omgeving en website;
- het boekhoudpakket en de online bankomgeving;
- clouddiensten waar klantgegevens in staan.
E-mail verdient extra aandacht. Via e-mail kan een aanvaller vaak de wachtwoorden van andere diensten opnieuw instellen. Wie uw mailbox heeft, heeft daardoor in feite toegang tot veel meer.
Zo neemt u medewerkers mee
Een nieuwe inlogstap roept soms weerstand op. Leg daarom in een paar zinnen uit waarom u dit doet: niet omdat u medewerkers wantrouwt, maar omdat gestolen wachtwoorden de meest gebruikte manier zijn om binnen te komen.
Kies een vaste dag waarop iedereen het instelt, met iemand in de buurt die kan helpen. Het instellen kost per persoon meestal maar een paar minuten. Leg uit welke app ze moeten installeren en hoe de eerste keer inloggen verloopt.
Zorg voor een terugvaloptie. Wat doet een medewerker als zijn telefoon kwijt of kapot is? Herstelcodes die veilig worden bewaard, of een tweede geregistreerde methode, voorkomen dat iemand een dag niet kan werken.
Veelgemaakte fouten
Een veelvoorkomende fout is tweestapsverificatie alleen voor een deel van de accounts aanzetten. Juist het vergeten account van een oud-medewerker, een gedeeld account of een oud testaccount wordt dan het zwakke punt. Loop daarom periodiek na welke accounts er zijn en sluit wat niet meer nodig is.
Een tweede valkuil is “MFA-moeheid”: medewerkers die meldingen gedachteloos goedkeuren. Een aanvaller met een gestolen wachtwoord kan proberen iemand te bestoken met inlogverzoeken, in de hoop dat er een keer op “goedkeuren” wordt gedrukt. Leer medewerkers een melding nooit te bevestigen als ze zelf niet aan het inloggen zijn, en kies waar mogelijk voor een methode waarbij een code moet worden overgenomen.
Wachtwoorden blijven belangrijk
Tweestapsverificatie maakt een goed wachtwoord niet overbodig. Gebruik voor elke dienst een uniek wachtwoord en laat medewerkers een wachtwoordmanager gebruiken. Dan hoeven ze geen tientallen wachtwoorden te onthouden, en is het lekken van één wachtwoord minder schadelijk.
Veelgestelde vragen
Is tweestapsverificatie hetzelfde als MFA?
In de praktijk wel. Tweestapsverificatie (2FA) gebruikt twee factoren, multifactorauthenticatie (MFA) twee of meer. Voor de meeste organisaties gaat het om hetzelfde: naast het wachtwoord een tweede bewijs.
Wat als een medewerker geen zakelijke telefoon heeft?
Dan kan een fysieke beveiligingssleutel een goede oplossing zijn. Die werkt zonder telefoon en zonder app. Sommige medewerkers vinden het ook geen bezwaar om een authenticator-app op hun privételefoon te zetten, maar verplicht dat niet zonder overleg.
Moet ik tweestapsverificatie ook aanzetten voor gedeelde accounts?
Gedeelde accounts zijn lastig te beveiligen, omdat meerdere mensen het wachtwoord kennen. Vervang ze waar mogelijk door persoonlijke accounts met toegang tot een gedeelde mailbox of map. Lukt dat niet, gebruik dan een wachtwoordmanager met een gedeelde kluis.