Als er één maatregel is die de veel impact heeft tegen de minste kosten en inspanning, is het multifactorauthenticatie, vaak afgekort tot MFA. Toch staat het bij veel organisaties nog niet overal aan, of wordt het gezien als een vervelende extra stap in plaats van een fundamentele beveiligingslaag.
Dat is een gemiste kans, want de cijfers zijn overtuigend. Microsoft rapporteerde dat MFA meer dan 99 procent van de account-gerichte aanvallen blokkeert. Geen enkele andere losse maatregel komt in de buurt van dat effect tegen die inspanning.
Wat MFA precies doet
Een wachtwoord is, op zichzelf, een zwakke verdediging. Wachtwoorden worden gestolen via phishing, hergebruikt over meerdere diensten, of simpelweg geraden als ze te eenvoudig zijn. Zodra een aanvaller een wachtwoord heeft, heeft hij toegang.
MFA voegt een tweede, onafhankelijke verificatiestap toe. Naast iets dat je weet, het wachtwoord, moet je ook iets bewijzen dat je hebt, zoals een code op je telefoon, of iets dat je bent, zoals een vingerafdruk. Een aanvaller die het wachtwoord heeft gestolen, komt niet binnen zonder ook die tweede factor te bezitten.
Dat is waarom MFA zo effectief is tegen de meest voorkomende aanvalsmethode: gestolen of geraden inloggegevens. Het wachtwoord alleen is niet langer genoeg.
Niet elke vorm van MFA is gelijk
Een belangrijke nuance: niet alle MFA-methoden bieden dezelfde bescherming.
SMS-codes zijn beter dan geen MFA, maar wel de zwakste vorm. Aanvallers kunnen via social engineering bij telefoonproviders, een techniek die sim swapping wordt genoemd, een telefoonnummer overnemen en zo de SMS-code onderscheppen.
Authenticator-apps, die een tijdelijke code genereren op een apparaat, zijn aanzienlijk veiliger dan SMS, omdat ze niet afhankelijk zijn van het telefoonnetwerk.
Push-notificaties, waarbij een gebruiker een melding op zijn telefoon goedkeurt, zijn gebruiksvriendelijk maar gevoelig voor een specifieke aanvalsvorm: MFA-fatigue, waarbij een aanvaller herhaaldelijk inlogpogingen doet in de hoop dat een vermoeide gebruiker per ongeluk goedkeurt.
Hardware-sleutels en passkeys bieden de sterkste bescherming. Deze methoden zijn fysiek gebonden aan een apparaat en vrijwel niet op afstand te onderscheppen of te misleiden.
Voor de meeste organisaties is een authenticator-app een goede balans tussen veiligheid en gebruiksgemak. Voor systemen met de hoogste gevoeligheid, zoals beheerdersaccounts, is een hardware-sleutel of passkey de voorkeur.
Waarom organisaties het toch niet overal inschakelen
Als MFA zo effectief is, waarom staat het dan niet overal aan? De meest gehoorde redenen zijn gebruiksgemak en weerstand van medewerkers. Een extra stap bij het inloggen wordt als hinderlijk ervaren, vooral als het systeem niet goed is ingericht en gebruikers bij elke handeling opnieuw moeten verifiëren.
Die weerstand is grotendeels op te lossen met een goede inrichting. Moderne MFA-systemen onthouden vertrouwde apparaten voor een bepaalde periode, vragen alleen om herverificatie bij verdachte signalen, zoals een nieuwe locatie of apparaat, en kunnen worden gecombineerd met single sign-on, zodat een gebruiker maar één keer per dag de extra stap doorloopt in plaats van bij elke applicatie afzonderlijk.
Een andere reden is simpelweg prioriteit. MFA wordt vaak gezien als een project dat “nog moet gebeuren”, zonder dat iemand er concreet verantwoordelijk voor is. Gezien het bewezen effect, verdient dit een hogere plek op de prioriteitenlijst dan het in de praktijk vaak krijgt.
Waar te beginnen als het nog niet overal aanstaat
Niet elk systeem heeft dezelfde urgentie. Een logische volgorde:
E-mail eerst. E-mailaccounts zijn vaak de ingang naar de rest van de organisatie, omdat wachtwoordresets van andere systemen via e-mail lopen. Dit is meestal de eerste prioriteit.
Beheerdersaccounts. Accounts met verhoogde rechten zijn het meest waardevol voor een aanvaller en moeten als eerste worden beveiligd, idealiter met de sterkste vorm van MFA die beschikbaar is.
Externe toegang. VPN-verbindingen en externe toegangspunten tot het bedrijfsnetwerk zijn een directe ingang voor aanvallers van buiten en verdienen prioriteit boven interne systemen.
Cloudapplicaties. Diensten zoals Microsoft 365 of Google Workspace bevatten vaak grote hoeveelheden bedrijfsgegevens en zijn rechtstreeks vanaf het internet bereikbaar.
De rest van de organisatie. Zodra de meest kritieke systemen zijn beveiligd, kan MFA breder worden uitgerold naar overige applicaties en systemen.
Wat RiskGuard hierin doet
RiskGuard helpt organisaties MFA in te richten op een manier die zowel veilig als praktisch werkbaar is, met aandacht voor de juiste prioritering en een implementatie die weerstand bij medewerkers minimaliseert. We beoordelen welke systemen het grootste risico vormen en stellen een realistisch uitrolplan op.
Wil je weten waar in jouw organisatie MFA nog ontbreekt en wat de prioriteit zou moeten zijn? Neem contact op voor een vrijblijvend gesprek.
Benieuwd hoe jouw organisatie scoort?
Doe de gratis zelfscan en ontdek waar de risico's zitten.
