Het beleid dat niemand volhoudt, is geen beleid. Dat is waar de meeste regels op stuklopen.
Werkbaar wachtwoordbeleid draait om drie dingen: een wachtwoordmanager zodat niemand hoeft te onthouden, tweefactorauthenticatie op alles wat toegang geeft tot geld of gegevens, en een vaste procedure voor wanneer iemand vertrekt. Verplichte maandelijkse wijzigingen werken averechts.
STAP VOOR STAP
Zo pak je het aan
- Neem een wachtwoordmanagerDat is de enige maatregel die uniek en sterk gelijktijdig mogelijk maakt. Zonder manager hergebruikt iedereen wachtwoorden, hoe streng je beleid ook is.
- Zet tweefactor aan op wat ertoe doetE-mail eerst, dan domein, hosting, boekhouding en bank. E-mail als eerste, want daarmee reset je al het andere.
- Deel accounts niet, maar geef eigen toegangEén gedeeld inlog waar iedereen bij kan, betekent dat je nooit weet wie wat deed en dat vertrek altijd een probleem is.
- Maak een uitdienstprocedureWelke toegang moet worden ingetrokken als iemand weggaat. Schrijf dat één keer op; tijdens een vertrek is het uitzoeken het probleem.
- Laat lange zinnen toe in plaats van kunstgrepenEen lange gewone zin is veiliger dan een kort wachtwoord vol tekens, en makkelijker te onthouden voor de paar die je uit het hoofd moet kennen.
- Stop met verplicht periodiek wijzigenDat leidt tot voorspelbare varianten met een cijfer erachter. Wijzig bij een vermoeden van een lek, niet volgens een kalender.
VALKUILEN
Wat averechts werkt
Regels die te streng zijn, worden omzeild. Verplicht elke maand wijzigen levert wachtwoorden op met een oplopend cijfer erachter, en dat is zwakker dan één sterk wachtwoord dat blijft staan.
En een gedeeld account voor het gemak. Dat is de meest voorkomende reden dat een vertrokken medewerker maanden later nog toegang heeft.
- Geen verplichte maandelijkse wijziging — levert voorspelbare varianten op.
- Geen gedeelde accounts — niemand weet wie wat deed.
- Wel een wachtwoordmanager — de enige werkbare oplossing.
- Wel tweefactor op e-mail — de belangrijkste van allemaal.
- Wel een uitdienstprocedure — schrijf hem één keer op.
- Wel lange zinnen toestaan — veiliger en beter te onthouden.
VEELGESTELDE VRAGEN
Meer over toegang
Welke wachtwoordmanager?
Er zijn meerdere goede opties, waaronder open source varianten die je zelf kunt hosten. Belangrijker dan de keuze is dat iedereen dezelfde gebruikt, want anders ontstaan er weer eilandjes.
Wat als iemand plotseling wegvalt?
Daarom moet toegang nooit bij één persoon liggen. Zorg dat er minstens twee mensen bij de kritieke accounts kunnen, en leg vast wie dat zijn.
Regelen jullie dit?
Wij zorgen dat de accounts die wij beheren goed staan en dat er meer dan één beheerder is. Voor je bredere bedrijfsbeleid denken we mee, maar dat is geen dienst van ons.
Toegang op orde?
Wij kijken welke accounts kritiek zijn en waar je beveiliging het eerst tekortschiet.