Skip to main content

Wachtwoord policy in het multifactor tijdperk, keep it simple, stupid

De opmars van multifactor authenticatie, mfa, in organisaties doet het beleid rond paswoorden veranderen. Complexe regels en procedures moeten op de schop.

Na twintig jaar zijn we er eindelijk in geslaagd om mensen wachtwoorden te laten kiezen die moeilijk te onthouden zijn, maar makkelijk vallen te raden. Het is een bekende quote van Bill Burr, manager bij het National Institute of Standards and Technology, eigenlijk de vader van de wachtwoordregels. Burr gaf met zijn regels indertijd de aanzet om mensen te dwingen om veilige wachtwoordregels te kiezen, en liet die door it beheerders ook afdwingen. Maar intussen heeft de man al spijt van zijn richtlijnen .

Meeste organisaties hanteren oude regels

Toch klinken de aanpak en richtlijnen rond wachtwoorden in organisaties, en daarbuiten, bekend in de oren. Een veilig wachtwoord verandert regelmatig, is minstens twaalf tekens lang en bevat letters, cijfers en symbolen. In 80 procent van de bedrijven die ik aandoe, hanteren ze nog dergelijke wachtwoordregels, stelt Reinaert Van de Cruys, ethical hacker en mede oprichter van Fox and Fish.

Het is ook een klassieker in it, oppert Van de Cruys, die onlangs ook bij gebruikersvereniging SAI een webinar verzorgde rond wachtwoord policy. Wij hebben de voorbije dertig jaar als it ers onze gebruikers gedwongen om veilige wachtwoorden te kiezen, en dat op manieren die eenvoudig te checken zijn, stelt hij. Maar als gebruikers persoonlijke informatie in hun wachtwoord stoppen, zoals naam van partner of kinderen of postcode, valt dat al veel moeilijker te controleren.

Aangeraden wordt ook om voor de keuze van wachtwoorden om te opteren voor beheerders of generators. Met zoveel wachtwoorden die mensen hebben, is het erg moeilijk voor individuen om unieke, sterke wachtwoorden te hebben voor elk account, stelde Lorrie Cranor, directeur van CyLab Security and Privacy Institute aan de Carnegie Mellon University enkele maanden geleden naar aanleiding van Password Day. Maar het hergebruiken van wachtwoorden is extreem gevaarlijk, vindt ze. Een van de beste dingen die u kunt doen om uw gevoelige informatie te beschermen, is een wachtwoordbeheerder gebruiken en deze willekeurig wachtwoorden voor u laten genereren.

Verder lezen bij de bron
IB&P

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Informatiebeveiliging is geen ICT-feestje
Informatiebeveiliging wordt zichtbaar via MFA, logging, back-ups en pentests. Maar de risico’s die er echt toe doen ontstaan in inkoop, procesinrichting, gegevensdeling en bestuurlijke prioriteiten. Erna Havinga over hoe je daar het goede gesprek over voert.
De nieuwe Archiefwet: waarom informatiebeveiliging hierbij moet aanhaken
Op 1 januari 2027 treedt de nieuwe Archiefwet in werking. Op het eerste gezicht lijkt dat vooral een onderwerp voor informatiebeheer, DIV, de gemeentearchivaris of juridische zaken. Toch raakt de nieuwe wet ook duidelijk aan informatiebeveiliging.
Waarom BIO2 vooral om eigenaarschap in de lijn vraagt
BIO2 maakt informatiebeveiliging nadrukkelijk onderdeel van goed management: proceseigenaren moeten risico’s kennen, keuzes maken en opvolging organiseren. Daarmee verschuift de focus van losse maatregelen naar aantoonbaar eigenaarschap, samenwerking en risicogestuurde sturing binnen de gemeentelijke praktijk.

Meer recente berichten

‘Jonge juristen gebruiken vaker AI, maar ervaren collega’s zijn kritischer’
Verder lezen
Ondernemers Waadhoeke praten tijdens nazomerborrel over cyberveiligheid
Verder lezen
Be­las­ting­dienst mag bijzondere gegevens gebruiken voor dis­cri­mi­na­tie­con­tro­le
Verder lezen
Duizenden organisaties nog niet klaar voor nieuwe cyberwet, vakbeurs Cybersec Netherlands in teken van digitale weerbaarheid
Verder lezen
Datalek CJIB na koppelen verkeersovertredingen en strafzaken aan verkeerde personen
Verder lezen
Hoe verbeter je ot-security?
Verder lezen
Overheid scherpt privacy-afspraken met Salesforce aan
Verder lezen
Waarom cybersecurity-awarenesstraining medewerkers in de steek laat
Verder lezen
De FRIA voor AI-systemen komt eraan: bereid u voor
Verder lezen
BIO2: dit verandert voor de informatiebeveiliging bij de overheid
Verder lezen