Een werknemer verlaat het bedrijf, maar zijn account blijft wekenlang actief. Een externe dienstverlener behoudt nog lang na afloop van de opdracht beheerdersrechten. Zulke situaties komen vaak voor, maar vormen kwetsbaarheden waar een aanvaller binnen enkele minuten misbruik van kan maken. Professionele toegang beveiligen draait niet alleen om het kiezen van een goed wachtwoord: het vraagt om een reeks technische en organisatorische beslissingen die een digitale gids helpt structureren.
Multifactorauthenticatie: niet alle methoden bieden dezelfde bescherming
U hebt vast weleens een code per sms ontvangen om een aanmelding te bevestigen. Dit mechanisme heet multifactorauthenticatie (MFA). Het principe is eenvoudig: uw identiteit bewijzen met minstens twee verschillende elementen, bijvoorbeeld een wachtwoord en een tijdelijke code die u op een ander apparaat ontvangt.
De valkuil is denken dat alle MFA-methoden dezelfde bescherming bieden. In maart 2025 publiceerde de CNIL een aanbeveling waarin passkeys worden onderscheiden van klassieke multifactorauthenticatie. Een passkey wordt niet automatisch als multifactorauthenticatie beschouwd. Dit onderscheid verandert de manier waarop een bedrijf de opties van softwareleveranciers beoordeelt.
In haar evaluatie van de DGFiP gaat de ANSSI nog een stap verder. De organisatie benadrukt dat een code die per e-mail wordt verstuurd weinig bescherming biedt als de mailbox toegankelijk is met dezelfde gecompromitteerde inloggegevens. Met andere woorden: de onafhankelijkheid van de authenticatiefactoren bepaalt hoe robuust MFA daadwerkelijk is. Een fysieke token of een authenticatie-app op een afzonderlijk apparaat biedt veel meer weerstand dan een eenvoudige code per e-mail.
Een goed opgezette digitale beveiligingsgids helpt u precies dit onderscheid te maken. In plaats van alleen het vakje ‘MFA ingeschakeld’ aan te vinken, spoort de gids u aan te controleren of de twee factoren daadwerkelijk van elkaar gescheiden zijn. Voor meer informatie over dit soort controles beschrijft de digitale gids van P U B de concrete stappen voor een implementatie die is afgestemd op het mkb.
Toegangsrechten tot gegevens: het probleem houdt niet op bij de voordeur
Stel u een verkoper voor die toegang heeft tot het CRM-systeem van het bedrijf. Hij moet zijn klanten kunnen raadplegen, niet de volledige database. Toegang hebben tot een applicatie betekent niet dat u alle gegevens daarin moet kunnen bekijken.
Dit principe heeft een technische naam: het principe van minimale bevoegdheden. Elke gebruiker krijgt alleen de rechten die strikt noodzakelijk zijn voor zijn functie. Als een account wordt gecompromitteerd, kan de aanvaller slechts bij een beperkt deel van het systeem, niet bij het volledige informatiesysteem.
De ANSSI adviseert om verder te gaan dan alleen toegangscontrole en limieten in te stellen voor verzoeken en de hoeveelheid uitgewisselde gegevens. Deze limieten beschermen tegen een specifiek scenario: het op grote schaal buitmaken van gegevens via een account dat wel degelijk bevoegd is. Een werknemer (of een aanvaller die diens account gebruikt) die een volledige database probeert te downloaden, wordt door deze limieten tegengehouden.
Voer regelmatig een controle van de toegangsrechten uit
Rechten toekennen is niet genoeg. U moet ze ook herzien. Een digitale beveiligingsgids adviseert doorgaans om op vaste momenten een controle van de toegangsrechten in te plannen. Controleer daarbij het volgende:
- Worden accounts van voormalige werknemers of dienstverleners binnen 24 uur na afloop van hun contract gedeactiveerd?
- Zijn beheerdersrechten beperkt tot een kleine, geïdentificeerde groep personen en wordt elke actie geregistreerd?
- Zijn tijdelijke toegangsrechten voor een project of probleemoplossing ingetrokken zodra de opdracht is afgerond?
Een vergeten account is een deur die permanent openstaat. De meeste incidenten met betrekking tot toegang zijn niet het gevolg van geavanceerde hacking, maar van een beheerfout.
NIS 2-richtlijn en verplichtingen voor toegangsbeveiliging in Frankrijk
Toegangsbeheer is niet langer alleen een goede gewoonte: het wordt een wettelijke verplichting. De Europese NIS 2-richtlijn, die momenteel in Frankrijk wordt omgezet in nationale wetgeving, breidt de groep bedrijven uit die aan cyberbeveiligingseisen moeten voldoen. Veel mkb-bedrijven die buiten de eerste versie vielen, vallen er nu wel onder.
Een van de verwachte maatregelen is dat identiteits- en toegangsbeheer expliciet deel uitmaakt van de NIS 2-vereisten. De betrokken bedrijven moeten aantonen dat ze gedocumenteerde procedures hebben ingevoerd om te controleren wie toegang heeft tot welke systemen en hoe die toegang wordt bewaakt.
Voor een mkb-bedrijf dat met deze verplichtingen te maken krijgt, helpt een digitale beveiligingsgids om ze te vertalen naar de praktijk. Abstracte wettelijke eisen worden zo omgezet in concrete acties:
- De informatiesystemen in kaart brengen en kritieke toegangsrechten identificeren
- Een wachtwoordbeleid documenteren dat voldoet aan de aanbevelingen van de ANSSI (minimale lengte, vervanging en verbod op hergebruik)
- Een toegangsregister bijhouden met tijdstempels, zodat een incident achteraf kan worden gereconstrueerd
- Een verantwoordelijke voor de beveiliging van informatiesystemen aanwijzen, ook als diegene deze taak slechts deeltijds uitvoert
Wachtwoorden op het werk: wat raden gidsen nu echt aan?
Het verplicht wijzigen van wachtwoorden om de 90 dagen gold lange tijd als een goede gewoonte. De huidige aanbevelingen van de ANSSI plaatsen deze aanpak in perspectief. Als gebruikers hun wachtwoord te vaak moeten wijzigen, kiezen ze sneller zwakke wachtwoorden of schrijven ze die op een post-it.
Een actuele digitale beveiligingsgids adviseert eerder een lang wachtwoord (minstens 12 tekens) in combinatie met een professionele wachtwoordmanager. Die genereert en bewaart complexe wachtwoorden, zodat werknemers ze niet zelf hoeven te onthouden.
Train teams in plaats van steeds meer beperkingen op te leggen
Techniek alleen biedt geen bescherming als gebruikers niet begrijpen waarom deze inspanningen van hen worden gevraagd. De effectiefste digitale beveiligingsgidsen bevatten korte bewustwordingsmodules, gericht op concrete voorbeelden: een nagebootste phishingmail of een demonstratie van hoe snel een kort wachtwoord kan worden gekraakt.
De beveiliging van professionele toegang hangt net zo goed af van menselijk gedrag als van de gebruikte hulpmiddelen. Een gestructureerde gids helpt om de inspanningen gericht in te zetten: hij rangschikt de risico’s, geeft aan waar u het beste kunt beginnen en biedt criteria om de voortgang te meten. De volgende stap voor elk bedrijf dat zijn toegangsbeheer nog niet heeft vastgelegd, is de actieve accounts in kaart brengen en één voor één controleren of ze nog nodig zijn.
