Multifactor authenticatie

Multifactor authenticatie, vaak afgekort tot MFA of tweefactorauthenticatie, betekent dat inloggen meer vraagt dan een wachtwoord alleen. Van alle losse maatregelen is dit degene met de beste verhouding tussen kosten en effect: een gestolen wachtwoord is er niet meer genoeg mee.

Waar u begint

Niet bij de gewone gebruikers, maar bij de accounts die het meeste waard zijn voor een aanvaller:

1. Beheeraccounts. Wie hier binnenkomt, kan alles.
2. Alles wat van buiten bereikbaar is. Webmail, VPN, klantportalen, beheerinterfaces.
3. Toegang tot klantomgevingen, als u die beheert.
4. Financiële systemen, waar betalingen worden goedgekeurd.
5. Daarna de rest.

Veel organisaties doen dit precies andersom: iedereen krijgt MFA behalve de beheerders, omdat die het onhandig vinden. Dat is de gevaarlijkste volgorde die er is.

De vormen naast elkaar

Gewone pushmeldingen zonder nummerbevestiging zijn kwetsbaar: aanvallers blijven meldingen sturen tot iemand uit irritatie goedkeurt. Zet daarom nummerbevestiging aan als uw systeem dat kan.

Systemen die het niet ondersteunen

Die zijn er, en dat is geen reden om de eis te laten vallen. Leg vast welk systeem het betreft, waarom het niet kan, en welke maatregel het risico afdekt: bijvoorbeeld alleen bereikbaar vanaf het interne netwerk, extra logging, of een kortere wachtwoordtermijn.

Zet er een datum bij waarop u het opnieuw beoordeelt. Zonder die datum blijft de uitzondering jaren staan.

Wat het oplevert

De overgrote meerderheid van de aanvallen op accounts gebruikt gestolen of geraden wachtwoorden. MFA maakt die aanvallen in één klap grotendeels waardeloos. Geen andere enkele maatregel heeft dat effect voor dit geld.

Verzekeraars weten dat ook: MFA op van buiten bereikbare toegang is inmiddels een standaardeis op de acceptatievragenlijst. Zie cyberverzekering.

Verhouding tot NIS2

De wet noemt multifactor authenticatie expliciet in maatregel 10, met de toevoeging "waar passend". Die toevoeging betekent niet dat u het mag overslaan, maar dat u moet onderbouwen waar u het wel en niet toepast.

Wat de uitrol werkelijk kost aan tijd

Voor een organisatie met enkele tientallen accounts is de techniek zelf geen groot project. Een authenticatie-app instellen kost per medewerker een paar minuten, en de meeste clouddiensten hebben het al ingebouwd. De tijd gaat zitten in twee andere dingen: de accounts die niet bij een persoon horen, en de vragen die binnenkomen zodra het verplicht wordt.

Reken op een middag om de belangrijkste systemen te inventariseren en de volgorde te bepalen, een week om de eerste groep beheerders en extern bereikbare toegang om te zetten, en daarna geleidelijk de rest. De grootste tijdsvreter is niet de instelling maar de helpdesk in de eerste weken: mensen die hun telefoon kwijt zijn, een nieuw toestel hebben, of de app niet geïnstalleerd krijgen. Plan die drukte in en zet er iemand op die dat afhandelt, anders loopt de invoering vast op ergernis.

Wat er in de praktijk misgaat

• Gedeelde accounts. Een algemeen mailadres of een gezamenlijk inlogaccount voor een kassasysteem heeft geen eigen telefoon om een code op te ontvangen. Los dit op met een gedeeld apparaat op een vaste plek, niet door het account uit te zonderen.
• De uitzondering die blijft staan. Een systeem krijgt tijdelijk vrijstelling omdat de leverancier nog geen MFA ondersteunt, en drie jaar later staat die vrijstelling er nog. Zonder herbeoordelingsdatum verdwijnt hij nooit uit beeld.
• Beheerders die zichzelf overslaan. Precies de accounts die het eerst aan de beurt horen te zijn, worden het vaakst als laatste gedaan omdat de beheerder het zelf onhandig vindt.
• Herstelcodes die nergens liggen. Bij verlies van het toestel is er geen manier meer om binnen te komen, en de enige oplossing is een account dat weken buiten gebruik staat.

Klein versus groot

Bij een organisatie tot een man of twintig regelt u dit meestal zelf, in een paar sessies achter elkaar: eerst uzelf en de andere beheerders, dan de rest in één ronde. Bij een grotere organisatie werkt gefaseerd per afdeling beter, met een vaste contactpersoon per team die vragen opvangt voordat ze bij de helpdesk landen. Hoe groter de organisatie, hoe belangrijker een kort stappenplan is dat iedereen dezelfde volgorde en dezelfde instructie geeft; anders ontstaan er per afdeling andere afspraken die u later weer moet gladstrijken.

Hoe u het aantoonbaar maakt

Een toezichthouder of een klant die uw leveranciersverklaring beoordeelt, vraagt niet alleen of u MFA gebruikt maar of u kunt laten zien waar. Houd daarom een overzicht per systeem bij: staat MFA aan, sinds wanneer, en is er een uitzondering met reden en herbeoordelingsdatum. Dat overzicht, samen met uw toegangsbeleid, is precies wat er bij een controle gevraagd wordt. Zie ook de zorgplicht voor hoe dit past in het geheel.

Veelgestelde vragen

Is sms voldoende?

Beter dan niets, maar zwakker dan een app of sleutel. Onderbouw uw keuze vanuit uw risicoanalyse.

Moeten medewerkers hun privételefoon gebruiken?

Dat mag u niet zomaar verplichten. Bied een alternatief, bijvoorbeeld een fysieke sleutel of een zakelijk apparaat.

Geldt dit ook voor systemen op kantoor?

Voor beheeraccounts zeker. Voor gewone werkplekken op een intern netwerk kunt u een andere afweging maken, mits u die vastlegt.

Wat als iemand zijn tweede factor kwijt is?

Regel vooraf een herstelprocedure met identiteitscontrole. Zonder die procedure ontstaat er onder druk een uitzondering die de hele maatregel ondermijnt.

Moeten wij een uitzonderingenregister bijhouden?

Ja. Elke uitzondering hoort met reden, datum en een moment van herbeoordeling vastgelegd te worden, anders blijft hij onopgemerkt jaren staan.

Hoeveel tijd kost de uitrol ons ongeveer?

Voor de kern van uw organisatie meestal een tot twee weken verspreid werk, plus enkele weken nasleep voor vragen en uitzonderingen.

Wie is verantwoordelijk als een medewerker het weigert?

De organisatie. Leg de verplichting vast in uw beleid en communiceer die vooraf, dan is weigeren geen technische discussie meer maar een personeelskwestie.

Telt een wachtwoordmanager als tweede factor?

Nee. Een wachtwoordmanager beheert alleen het eerste factor, het wachtwoord. De tweede factor moet iets zijn wat u heeft of bent, los van het wachtwoord zelf.