MFA, passkeys en hardwaresleutels: veilig inloggen als ondernemer

Een wachtwoord alleen is al lang niet meer genoeg. Wachtwoorden worden hergebruikt, lekken uit bij datalekken van andere diensten of worden ontfutseld met een overtuigende phishingmail. Voor een aanvaller is één geldig wachtwoord vaak genoeg om in je mailbox, je boekhouding of het beheer van je website te komen. Gelukkig is de oplossing toegankelijker dan je misschien denkt. In dit artikel leggen we uit wat MFA is, wat passkeys en hardwaresleutels zijn en welke vorm het beste past bij jouw bedrijf.

Wat is MFA en waarom heb je het nodig?

MFA staat voor multifactorauthenticatie. Je bewijst wie je bent niet alleen met iets wat je weet, zoals een wachtwoord, maar ook met iets wat je hebt, zoals je telefoon of een sleutel, of met iets wat je bent, zoals je vingerafdruk. Een aanvaller die je wachtwoord heeft, komt daardoor nog niet binnen. Het kost je bij het inloggen hooguit een paar seconden extra, terwijl je de drempel voor een aanvaller flink verhoogt. Je hoort ook vaak de term tweestapsverificatie of 2FA, wat in de praktijk op hetzelfde neerkomt.

Niet elke vorm van MFA is even sterk. Grofweg zijn er deze opties, van minder naar meer veilig:

• Sms-codes: beter dan niets, maar kwetsbaar voor onder meer simkaartfraude en phishing.
• Authenticator-apps: die maken meestal elke dertig seconden een nieuwe code aan op je telefoon. Een flinke stap vooruit, maar zo'n code kan nog steeds op een nepsite worden ingevuld.
• Pushmeldingen: handig, maar let op dat medewerkers niet uit gewoonte op goedkeuren tikken bij een inlogpoging die ze niet zelf hebben gedaan.
• Passkeys en hardwaresleutels: bestand tegen phishing, omdat ze alleen werken op de echte website.

Wat zijn passkeys en hoe werken ze?

Een passkey vervangt je wachtwoord door een digitale sleutel die op je apparaat wordt bewaard, bijvoorbeeld op je telefoon, je laptop of in je wachtwoordmanager. Inloggen doe je met je vingerafdruk, gezichtsherkenning of de pincode van je toestel. Passkeys zijn gebaseerd op de open standaarden FIDO2 en WebAuthn, die zijn opgesteld door de FIDO Alliance en het W3C.

Het grote voordeel is dat er geen geheim meer is dat je kunt intypen of doorgeven. De passkey is gekoppeld aan de website waarvoor hij is gemaakt. Belandt een medewerker op een nagemaakte inlogpagina, dan werkt de passkey daar simpelweg niet. Steeds meer diensten ondersteunen passkeys, waaronder de grote e-mail- en cloudplatforms waar veel bedrijven mee werken.

Wanneer kies je voor een hardwaresleutel?

Een hardwaresleutel is een klein fysiek apparaatje dat je in een USB-poort steekt of tegen je telefoon houdt. Het werkt met dezelfde FIDO2-techniek als een passkey, maar de geheime sleutel kan het apparaatje niet verlaten. Dat maakt het een sterke keuze voor accounts met veel rechten, zoals die van de beheerders van je e-mailomgeving, je hosting, je domeinnamen of je financiële systemen.

Zorg wel altijd voor een reservesleutel die je op een veilige plek bewaart. Raak je je enige sleutel kwijt, dan wil je niet buitengesloten worden van je eigen systemen. Leg daarnaast vast wie welke sleutel heeft, zodat je een sleutel direct kunt blokkeren als een medewerker vertrekt of er een kwijtraakt.

MFA en NIS2: wat betekent dat voor jouw bedrijf?

Met NIS2 heeft de Europese Unie de regels voor digitale weerbaarheid flink aangescherpt. Nederland werkt deze richtlijn uit in de Cyberbeveiligingswet. Organisaties die eronder vallen, moeten passende maatregelen nemen om hun systemen te beschermen, en multifactorauthenticatie wordt daarbij in de richtlijn met zoveel woorden genoemd. Val je zelf niet onder NIS2, dan kun je er toch mee te maken krijgen. Grotere klanten vragen hun leveranciers steeds vaker om aan te tonen dat ze veilig werken. Ook dan is MFA een logische en relatief eenvoudige eerste stap.

Veilig inloggen hoeft niet ingewikkeld te zijn, zolang je het bewust inricht.

Wil je weten welke vorm van MFA het beste past bij jouw organisatie, of hoe je passkeys en hardwaresleutels invoert zonder je team te overvallen? Wij helpen je met een helder plan en praktische begeleiding bij de invoering. Neem contact met ons op voor advies over cybersecurity dat aansluit bij hoe jouw bedrijf werkt.