Een tijdje geleden stond ik voor een groep directieleden om een lezing te geven. Tijdens mijn presentatie stelde ik een eenvoudige vraag die altijd tot nadenken stemt: “Hoe lang denk je dat je zonder je data kunt?”
Het antwoord was unaniem: “Nog geen minuut. De afhankelijkheid van data in ons bedrijf is groot. We kunnen niet zonder!”
Maar wanneer ik vervolgens vroeg wat ze zelf deden om te voorkomen dat ze hun data zouden verliezen, kreeg ik een antwoord dat ik maar al te vaak hoor: “Dat is toch iets voor de ICT-afdeling om te regelen?”
Dat antwoord begrijp ik. ICT regelt veel: back-ups, accounts, rechten, updates, monitoring, beleid. Zonder goede techniek ben je nergens.
Maar techniek alleen beschermt je data niet. Er ligt ook verantwoordelijkheid bij jezelf om een verdachte mail te herkennen. Een MFA-melding moet je niet zomaar goedkeuren. Iedereen zou ICT moet durven bellen als een verzoek vreemd voelt. En iedereen moet weten dat een wachtwoord vervangen niet altijd hetzelfde is als daadwerkelijk veiliger worden.
Waarom dit meer dan een ICT-vraag is
Informatiebeveiliging wordt vaak gezien als iets technisch. Iets van firewalls, updates, back-ups, wachtwoordbeleid en rechtenbeheer. Dat klopt ook voor een deel, want zonder een goede technische basis kun je niet veilig werken. Alleen ontstaat er een risico wanneer de rest van de organisatie daardoor achteroverleunt.
Want data verdwijnt zelden omdat één instelling verkeerd staat. Vaak is het een combinatie van techniek, gedrag en proces. Een medewerker logt in op een nagemaakte Microsoft-pagina. Een wachtwoord is hergebruikt op een privéaccount. Iemand keurt uit automatisme een MFA-verzoek goed. Of een verdachte mail wordt niet gemeld, omdat niemand zeker weet of dat nodig is.
Op dat moment is security niet meer alleen iets van ICT. Dan gaat het over dagelijkse keuzes van mensen die met systemen, klantgegevens, dossiers, offertes, facturen of personeelsinformatie werken. Precies daarom ben je als medewerker niet de zwakste schakel, maar juist een belangrijke schakel in de securityketen.
Een nieuw wachtwoord lost niet alles op
Veel organisaties hebben jarenlang vertrouwd op verplichte wachtwoordwissels. Elke paar maanden moest iedereen een nieuw wachtwoord kiezen. Liefst met hoofdletters, cijfers, leestekens en een minimale lengte. Dat voelt streng en professioneel, maar streng beleid is niet automatisch goed beleid.
In de praktijk doen mensen iets heel menselijks. Ze veranderen `Welkom123!` in `Welkom124!`. Ze gebruiken een seizoensnaam, een jaartal of een herkenbaar patroon. Of ze schrijven het wachtwoord ergens op, omdat het beleid te lastig wordt om normaal mee te werken. Het gevolg is dat de organisatie op papier veiliger lijkt, terwijl het echte risico blijft bestaan.
Moderne richtlijnen kijken daarom anders naar wachtwoorden. NIST adviseert om wachtwoorden niet willekeurig of periodiek te laten wijzigen, tenzij de gebruiker dat wil of er aanwijzingen zijn dat het wachtwoord is buitgemaakt. Ook Microsoft benoemt dat te strenge wachtwoordregels vaak botsen met menselijk gedrag en daardoor juist zwakkere keuzes kunnen opleveren.
Dat zegt niet dat wachtwoorden onbelangrijk zijn. Het betekent dat een wachtwoord vervangen alleen helpt als het wachtwoord zelf het probleem was. Als het wachtwoord is hergebruikt, als MFA ontbreekt, als rechten te ruim staan of als medewerkers phishing niet herkennen, is een nieuw wachtwoord hooguit een klein stukje van de oplossing.
Betere security begint bij jezelf
Goede security hoeft niet ingewikkeld te beginnen. Een paar gewoontes maken al veel verschil, zeker wanneer de organisatie ze goed ondersteunt.
- Gebruik voor iedere dienst een uniek wachtwoord. Niet één sterk wachtwoord overal, maar overal een ander wachtwoord. Als één dienst dan ooit wordt getroffen door een datalek, ligt niet meteen de rest van je digitale leven of zakelijke toegang open.
- Werk met een wachtwoordmanager. NCSC adviseert zo’n manager omdat die lange en unieke wachtwoorden kan maken en bewaren. Je hoeft dan niet tientallen wachtwoorden te onthouden. Je hoeft vooral één sterk hoofdwachtwoord of een goede wachtzin te beschermen.
- Zet MFA aan waar dat kan, zeker bij e-mail, Microsoft 365, VPN, financiële systemen en accounts met beheerrechten. MFA moet je niet zien als een irritante extra klik. Zie het als een tweede controle: probeer ik zelf in te loggen, of probeert iemand anders dat namens mij?
Maar eigenlijk wel het belangrijkste: meld twijfel. Niet alleen wanneer je zeker weet dat iets fout is, maar juist wanneer iets vreemd voelt. Een snelle melding aan ICT of de securityverantwoordelijke is geen overreactie. Hiermee voorkom je dat een klein signaal pas wordt ontdekt als het een groot incident is.
MFA is sterk, maar niet vanzelfsprekend
Multi-factor-authenticatie maakt het voor aanvallers veel lastiger om toegang te krijgen. Zeker wanneer een wachtwoord is gelekt of via phishing is buitgemaakt. NCSC legt uit dat tweefactorauthenticatie extra zekerheid geeft, omdat alleen een gebruikersnaam en wachtwoord niet meer genoeg zijn.
Toch is MFA geen magische oplossing. Een sms-code is bijvoorbeeld minder sterk dan een authenticator-app of hardwaretoken. En als medewerkers zonder nadenken elk verzoek goedkeuren, blijft er risico bestaan. Zeker bij MFA-vermoeidheid, waarbij iemand meerdere verzoeken krijgt totdat hij uit irritatie of gewoonte op goedkeuren drukt.
Daarom moet MFA onderdeel zijn van bewustwording. Wanneer krijg je een melding? Wat doe je als je zelf niet probeert in te loggen? Waar meld je dat? En wat gebeurt er daarna? Hoe duidelijker dit is, hoe beter MFA werkt in de praktijk.
Passkeys veranderen langzaam het speelveld
Steeds meer diensten ondersteunen passkeys. Daarmee log je in zonder traditioneel wachtwoord, bijvoorbeeld via gezichtsherkenning, vingerafdruk of pincode op je apparaat. Dat maakt phishing lastiger, omdat je geen wachtwoord intypt dat iemand kan onderscheppen.
NCSC noemt passkeys sneller, makkelijker en veiliger dan alleen een ouderwets wachtwoord. Voor organisaties is dat interessant, maar de invoering vraagt wel aandacht. Denk aan beheer van apparaten, herstelprocedures, uitzonderingen, adoptie door medewerkers en de vraag welke systemen passkeys al goed ondersteunen.
De sterkste schakel werkt niet alleen
Jij bent zelf de sterkste (en zwakste) schakel in de securityketen, maar dat betekent niet dat je alles alleen moet dragen. Een sterke schakel werkt binnen een keten die klopt. Goede techniek, duidelijke processen, begrijpelijke regels en regelmatige oefening versterken elkaar.
Daarom helpt het om wachtwoorden niet als los onderwerp te behandelen. Kijk naar het geheel: unieke wachtwoorden, wachtwoordmanagers, MFA, passkeys, rechtenbeheer, phishingbewustzijn en duidelijke meldlijnen. Dan wordt informatiebeveiliging niet iets wat ICT “wel regelt”, maar iets waar de hele organisatie aan bijdraagt.
Wil je weten hoe jouw organisatie omgaat met wachtwoorden, phishing en toegang in de praktijk? Cybernext denkt graag mee over een passende aanpak. Via onze contactpagina weet je ons te vinden.
