Het aantal cyberaanvallen is sinds de coronacrisis vervijfvoudigd. Alleen al in de Microsoft cloud zijn er 300 miljoen frauduleuze inlogpogingen per dag. Jouw bedrijf neemt waarschijnlijk allerlei maatregelen om de kans op een datalek te verkleinen. Het instellen van tweestapsverificatie voor medewerkers is hierbij enorm belangrijk. Want 80 procent van de hacking-gerelateerde aanvallen komen binnen via wachtwoorden.
Belangrijke en effectieve beveiligingsmaatregel
Het instellen van tweestapsverificatie verkleint het risico op een datalek via wachtwoorden al snel met 99,9 procent. Het is dus een heel belangrijke en effectieve beveiligingsmaatregel. Je houdt de meeste hackers namelijk pas tegen als je meer dan één verificatiestap instelt. Want hackers achterhalen je wachtwoorden vaak vrij makkelijk, of deze zijn zelfs al bij hen bekend. Het wordt pas echt lastig voor hen als zij andere stappen moeten doorlopen. Ze hebben hiervoor informatie nodig waar zij moeilijk aan komen. Een systeem of applicatie binnenkomen is dan bijna onmogelijk.
Tom Abbing, CIO bij OGD: “Toepassing van tweestapsverificatie is een eenvoudige maatregel om te nemen, met groot effect op het veiligheidsniveau. Het is daarom een van de eerste, zo niet de eerste maatregel om te overwegen als je je ict-beveiliging wilt aanpakken.”
Met tweestapsverificatie speel je in op de volgende veelvoorkomende securityrisico’s:
- Hackers die toegang krijgen tot zakelijke e-mail: als e-mailaccounts met slechts één wachtwoord zijn beveiligd, komen mensen hier vrij makkelijk onrechtmatig binnen. Vanuit daar kunnen zij de bedrijfsvoering ontwrichten en geld stelen.
- Het hergebruik van wachtwoorden: uit onderzoek blijkt dat het merendeel van de werknemers voor verschillende accounts en applicaties hetzelfde wachtwoord gebruikt. De schade kan dan enorm zijn wanneer het wachtwoord in verkeerde handen valt en het systeem geen extra authenticatie vraagt van de hacker.
Wat is tweestapsverificatie precies?
Tweestapsverificatie is een manier om mensen ergens toegang toe te verlenen waarbij zij twee of meer beveiligingsstappen succesvol moeten doorlopen. Zo moeten gebruikers bijvoorbeeld een persoonlijk wachtwoord invoeren én een unieke, eenmalige code invullen die zij per sms ontvangen op hun telefoon, voordat zij een bepaalde applicatie in kunnen.
De mogelijke beveiligingstappen die je met tweestapsverificatie kunt instellen zijn onder te verdelen in vijf factoren. Het is bij tweestapsverificatie belangrijk dat de twee gekozen beveiligingsstappen zijn terug te voeren op twee verschillende van de vijf onderstaande factoren. Hieronder lees je welke vijf factoren er zijn binnen tweestapsverificatie:
-
Iets dat je weet
Het gaat bij deze factor om iets dat de gebruiker zelf weet en onthoudt: bijvoorbeeld een persoonlijk wachtwoord of het antwoord op een beveiligingsvraag (bijvoorbeeld: ‘Wat is de voornaam van je vaders vader?’).
-
Iets dat je bent
Het gaat hierbij om digitale herkenning van de persoon die inlogt, bijvoorbeeld via een vingerafdruk of irisscan.
-
Iets dat je hebt
Hieronder vallen gegevens die de gebruiker heeft ontvangen, zoals een hardware token of een eenmalige inlogcode die via e-mail of sms is verzonden.
-
Locatie
Met deze factor krijgen gebruikers alleen toegang wanneer zij zich op een bepaalde geografische plek bevinden, bijvoorbeeld binnen de muren van het bedrijf of in een bepaald land.
-
Tijd
Deze factor legt beperkingen op wat betreft het tijdstip waarop mensen kunnen inloggen. Bijvoorbeeld alleen op één bepaalde dag, of dagelijks tussen 09:00 en 13:00 uur.
Hoe stel je tweestapsverificatie in?
Tweestapsverificatie is een beveiligingsmaatregel die je relatief simpel instelt. Binnen Office 365 volg je bijvoorbeeld gewoon zelf een overzichtelijk stappenplan. Is deze (nog) niet helemaal toepasbaar op jouw organisatie en ict-landschap, dan kan een ict-dienstverlener natuurlijk altijd met je meedenken.
-
Zet het volgende eerst eens op een rijtje, dan weet je beter waar je aan begint.
- Welke systemen en applicaties wil je beveiligen met tweestapsverificatie?
- Welke tweestapsverificatie-technologie wil je gebruiken?
- Wat zal de impact op werknemers zijn? Hoe verandert hun werkwijze?
-
Zoek uit of de systemen en applicaties die je wilt beveiligen geschikt zijn voor tweestapsverificatie.
Verouderde software (legacy) heeft vaak minder goede opties qua beveiliging. Het is hier niet altijd mogelijk om een tweestapsverificatie in te stellen. Kijk dan of je legacy zoveel mogelijk kunt updaten of vervangen. Een proxyserver speciaal voor tweestapsverificatie biedt hier soms uitkomst.
-
Soms is het een goed idee om tweestapsverificatie eerst alleen deels door te voeren in je organisatie.
Bijvoorbeeld alleen binnen bepaalde applicaties, of voor een selecte groep gebruikers. Zo krijg je er meer feeling mee en weet je of het werkt voor jouw organisatie.
-
Onderschat de menselijke kant van de implementatie niet.
Waarschijnlijk krijgen alle mensen in de organisatie te maken met de nieuwe manier van inloggen. Soms voelen zij weerstand tegen het doorlopen van extra stappen. Of ze willen bepaalde gegevens niet delen uit angst voor datalekken. Het is belangrijk om hen te helpen begrijpen dat MFA hun (persoons)gegevens juist beter beveiligt.
Tweestapsverificatie is een effectieve en toegankelijke manier om je cyber security flink te verbeteren. Wil je weten hoe jouw organisatie tweestapsverificatie effectief kan inzetten en wat hierbij komt kijken? Neem dan vrijblijvend contact op met onze security experts.
Tweestapsverificatie nog niet voor alles beschikbaar
Helaas is elke dienst nog niet voorzien van tweestapsverificatie, maar steeds meer E-mailproviders, internetdiensten en sociale media bieden tweestapsverificatie aan. Een toegangscode kun je instellen bij de volgende diensten:
Bron: diensten, ogd.nl, agconnect.nl
Meer info over Cybercrime lees je hier
Tips of verdachte activiteiten gezien? Meld het hier.
Cybercrime gerelateerde berichten
Minstens 10 miljoen mensen potentieel doelwit van cyberaanvallen
Het beheer van gebouwen wordt steeds verder geautomatiseerd, waarbij de systemen die worden gebruikt voor het bedienen van bijvoorbeeld alarmsystemen, stroomvoorziening, toegangsdeuren en -poorten, ventilatie of schuifdeuren steeds vaker zijn verbonden met internet. Doordat er te weinig aandacht is voor de digitale beveiliging, worden de systemen kwetsbaarder voor cyberaanvallen, terwijl de mogelijke impact van zulke aanvallen toeneemt.
Cybercriminelen wonen niet altijd om de hoek
Hackende pubers en doorgewinterde internetcriminelen: het cybercrime-team van de politie heeft er zijn handen vol aan. “Bedrijf had net zonder te weten 600.000 euro overgemaakt aan criminelen.”
De belangrijkste cyberdreigingen voor 2020
Het dreigingslandschap blijft zich ontwikkelen. Cybercriminelen zetten in toenemende mate in op ransomware. Ook blijven cyberaanvallen onder de radar doordat gebruik wordt gemaakt van kwaadaardige Android-apps. In andere gevallen maken aanvallers misbruik van misconfiguratie in de cloud en misbruik van machine learning.
Medische gegevens grotere goudmijn voor cybercriminelen dan creditcards
Het stelen van medische gegevens via hacken van zorginstellingen en universiteiten is lucratievere handel.
Georgië getroffen door massale cyberaanval
De aanval heeft vele gevolgen voor het dagelijks leven in het land. Het is nog niet bekend wie er achter de aanval zit. Vanwege de omvang wordt gespeculeerd dat het om een aanval gaat met staatssteun. Volgens beveiligingsonderzoekers zijn veel sites in Georgië slecht beveiligd. In veel gevallen werden website home pagina's vervangen door een beeld van de voormalige president Michail Saakasjvili, en de titel "Ik kom terug". Saakashvili was president van het land tussen 2004 en 2013. Toen hij daarna de Oekraïense nationaliteit kreeg, verloor hij zijn Georgische paspoort. Saakashvili woont tegenwoordig in Nederland. Hij kreeg een verblijfsvergunning, omdat hij een Nederlandse vrouw heeft. De BBC schrijft dat ook websites van rechtbanken doelwit waren van de aanval en dat kwaadwillenden het op persoonlijke informatie hadden gemunt. Daarbij is niet bekend hoeveel websites er nog steeds offline zijn en of de aanval daadwerkelijk informatie heeft buitgemaakt.
CBS: Cybercrime aanpakken?
Bedrijven en overheid tasten voor een groot deel nog in het duister over de beste manier om cybercriminaliteit tegen te gaan. Dat komt doordat veel digitale aanvallen of hacks onder de radar blijven, schrijft het Centraal Planbureau (CPB) in een nieuw rapport. Een gebrek aan informatie maakt het moeilijk om te bepalen welke maatregelen passend zijn.