5 tips om uw toegangsbeveiliging op orde te krijgen

14 augustus 2019

informatiebeveiliging risicomanagement

Bedrijven en organisaties gebruiken een steeds groter aantal applicaties voor hun werkzaamheden. Steeds vaker zijn deze applicaties online beschikbaar. De informatie die binnen dergelijke applicaties wordt opgeslagen, is vaak gevoelig en omvangrijk. Hoe zorgt u dat alleen de juiste personen op het juiste moment toegang hebben tot deze applicaties en de informatie daarbinnen? Wij geven u vijf tips die u helpen om uw toegangsbeveiliging op orde te krijgen.

Verschillende aspecten spelen een rol bij de toegangsbeveiliging tot applicaties. Aan de hand van onderstaande punten geven wij u tips hoe u dit voor uw medewerkers makkelijker en veiliger kunt maken:

Gebruik lange wachtwoorden in combinatie met Two-Factor Authentication
Gebruik een wachtwoordmanager
Multi Factor Authentication en biometrische parameters
Single Sign On
Mobiele devices en Identity Access Management

Weten hoe het staat met de informatiebeveiliging binnen uw organisatie? Beantwoord de vragen van onze quickscan of download gratis “De 7 basisprincipes van digitale hygiëne” en controleer of uw organisatie de benodigde veiligheid waarborgt.

Lees verder onder de afbeelding.

1. Gebruik lange wachtwoorden in combinatie met Two-Factor Authentication

Wachtwoorden zijn vooralsnog een noodzakelijk kwaad. Hoewel er ontwikkelingen zijn om het gebruik van wachtwoorden overbodig te maken, zullen we er voorlopig nog veel mee moeten werken. Een groot aantal organisaties hanteert een wachtwoordbeleid waarbij er minimaal hoofdletters, kleine letters, getallen en speciale tekens gebruikt moeten worden. Wachtwoorden mogen vaak ook niet hergebruikt worden of opeenvolgend zijn (Welkom01, Welkom02 et cetera). Daarnaast moeten wachtwoorden bij veel organisaties eens in de zoveel tijd vernieuwd worden, soms wel elke 3 maanden.

Allemaal nuttig maar voor gebruikers een zware last. De sterkte van een wachtwoord wordt voornamelijk bepaald door de lengte er van. Een wachtwoord van acht karakters is bijvoorbeeld binnen enkele weken te kraken, één karakter extra maakt het al snel 5,5 jaar! Een lengte van 12 karakters wordt tegenwoordig als praktisch veilig gezien. Hierbij hoeft de complexiteit (vreemde tekens et cetera) niet per se groot te zijn, wat het voor gebruikers een stuk makkelijker te onthouden maakt.

Toch blijft het een wachtwoord. En een wachtwoord kan nu eenmaal gehackt of afgekeken worden. Het is daarom een goed idee om een extra factor voor beveiliging toe te voegen: bijvoorbeeld een beveiliging op basis van een tijdsafhankelijke code. Een dergelijke Two-Factor Authentication (2FA) maakt de gevoeligheid van het wachtwoord een heel stuk minder. Een hacker zal nauwelijks in staat zijn om beide (wachtwoord en 2FA) te gebruiken zonder medeweten van de gebruiker zelf, bijvoorbeeld door verlies of diefstal van de 2FA token generator. Dit kan ook een smartphone zijn.

Een extra voordeel bij gebruik van lange wachtwoorden en een 2FA-code is dat gebruikers hun wachtwoord gemakkelijker kunnen onthouden. Er hoeven minder strenge eisen gesteld te worden aan een wachtwoord, terwijl de beveiliging door 2FA hoog blijft. Daarnaast hoeft deze minder vaak vernieuwd te worden.

2. Gebruik een wachtwoordmanager

Organisaties en bedrijven gebruiken steeds meer verschillende applicaties die elk een eigen login vereisen. Het is onverstandig om voor iedere applicatie hetzelfde wachtwoord te hanteren. Als het wachtwoord geraden is, heeft diegene direct toegang tot meerdere applicaties.

Hiervoor zijn verschillende oplossingen beschikbaar waarvan het gebruik van een wachtwoordmanager de meest eenvoudige is. Hierdoor hoeven gebruikers maar één wachtwoord te onthouden, namelijk het hoofdwachtwoord voor de wachtwoordmanager. De wachtwoordmanager onthoudt de verschillende wachtwoorden en kan deze vaak ook nog (semi-) automatisch invullen binnen de webbrowser. Aangezien de verschillende wachtwoorden nu niet meer onthouden hoeven te worden, kunnen deze ook nog eens extra complex en/of lang worden gemaakt. Bijvoorbeeld een lengte van 24 of zelfs 32 willekeurige karakters.

3. Multi Factor Authentication en biometrische parameters

Een extra mogelijkheid om de beveiliging verder op te voeren is het gebruikmaken van meerdere factoren (Multi Factor Authentication, ofwel MFA). Een medewerker die vanuit het bedrijfsnetwerk toegang zoekt tot een applicatie kan bijvoorbeeld makkelijker toegang krijgen dan wanneer diezelfde medewerker dat doet vanaf een openbaar netwerk. Er zit immers een bepaalde vorm van betrouwbaarheid in het werken binnen het eigen bedrijfsnetwerk (mits dat goed beveiligd is). Hiermee wordt het in veel gevallen makkelijker voor gebruikers om toegang te verkrijgen tot een applicatie.

Een andere optie is om biometrische parameters te gebruiken, zoals bijvoorbeeld een vingerafdruk. Dit is bij gebruik van smartphones steeds makkelijker toe te passen zonder speciale apparatuur/voorzieningen.

4. Single Sign-On

Waarom nog inloggen op alle afzonderlijke applicaties? Waarom niet éénmalig inloggen op het bedrijfsnetwerk en daarna automatisch toegang verkrijgen tot alle applicaties? Deze zogeheten ‘single sign-on’ (SSO) is inderdaad ideaal, maar naarmate steeds meer applicaties online beschikbaar zijn en niet gekoppeld zijn aan het interne bedrijfsnetwerk, is het soms lastig te organiseren.

Gelukkig zijn hier inmiddels wel mogelijkheden toe en kunnen online webapplicaties steeds makkelijker gekoppeld worden aan de interne gebruikersadministratie van een organisatie. Daarmee is de toegang tot deze applicaties geautomatiseerd op basis van de toegang tot het bedrijfsnetwerk.

5. Mobiele devices en Identity Access Management

Door het gebruik van mobiele devices is het echter niet altijd mogelijk of wenselijk om toegang tot het interne bedrijfsnetwerk te bieden en daarmee toegang tot de verschillende applicaties. Een organisatie kan hier verschillende zogeheten Identity Access Management (IAM) oplossingen voor inzetten.

Met IAM richt u een cross-platform oplossing in die uw gebruikers toegang geeft tot alle benodigde applicaties en informatie inclusief centraal beheer. Deze oplossingen bieden vaak een combinatie van Multi Factor Authentication en Single Sign On waarmee gebruikers in het ideale geval vrijwel zonder inlog-procedures kunnen werken in verschillende applicaties.

Dit vereist uiteraard wel een flinke investering van de organisatie in geld en tijd om alles hiervoor in te richten en te onderhouden. Dit is daarmee niet voor elke organisatie haalbaar.

Is met IAM dan alles opgelost? Helaas, niet alle applicaties kunnen zonder meer worden ‘aangesloten’ op IAM oplossingen of er wordt (tijdelijk) gebruik gemaakt van applicaties waarvoor het de moeite niet loont om deze aan te sluiten. Goed wachtwoordbeheer (zie met name de eerste tips) blijft dus nuttig en noodzakelijk.

Met deze tips heeft uw organisatie nu toegang op een veilige en makkelijke(re) manier. Hebben uw medewerkers nu toegang tot alle informatie binnen een applicatie? Nee, natuurlijk niet. Daarom is het belangrijk om ook de autorisatie op orde te hebben.