Naar inhoud
IT-Checklist

Identiteit & toegang: checklist en advies

Laatst bijgewerkt: · Redactie IT-Checklist · Alle wijzigingen

Bij de meeste inbraken in kleine bedrijven logt de aanvaller gewoon in met een geldig wachtwoord. Dat wachtwoord is gelekt bij een andere dienst, geraden of afgevangen met een phishingmail. Een technisch lek is meestal niet nodig. Regel je de accounts goed, dan sluit je de deur die aanvallers het vaakst gebruiken.

Dit thema gaat over wie er bij je systemen kan, hoe die persoon laat zien wie hij is en hoe je toegang weer intrekt als iemand vertrekt. De meeste maatregelen zijn gratis. Je regelt ze in een middag.

Kijk waar jouw bedrijf staat op identiteit & toegang

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit ertoe doet

Een overgenomen e-mailaccount is voor een aanvaller veel waard. Van daaruit kan hij wachtwoorden van andere diensten resetten, facturen van leveranciers onderscheppen en uit naam van je bedrijf betaalverzoeken sturen. Klanten en leveranciers vertrouwen een bericht dat echt van jouw adres komt.

Bij gedeelde accounts en vergeten toegang van oud-medewerkers kun je achteraf bijna niet meer uitzoeken wat er gebeurd is. Je weet niet wie wat deed. Je kunt ook niemand gericht buitensluiten.

De 12 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

  1. Wij gebruiken multifactorauthenticatie (MFA) op alle belangrijke accounts (e-mail, boekhouding, cloud).

    Eerst regelen

    Zet MFA aan op minimaal je e-mail, bankzaken en cloudomgeving. Dit is de belangrijkste maatregel tegen accountovername.

  2. Wij gebruiken een wachtwoordmanager en geen hergebruikte of zwakke wachtwoorden.

    Belangrijk

    Kies een wachtwoordmanager (bijv. Bitwarden of 1Password) en laat die unieke wachtwoorden genereren voor elke dienst.

  3. Iedere medewerker heeft een eigen account; er worden geen accounts gedeeld.

    Belangrijk

    Gedeelde accounts maken het onmogelijk te zien wie wat deed en zijn lastig te beveiligen. Geef iedereen een persoonlijk account.

  4. Als iemand uit dienst gaat, worden alle toegangen dezelfde dag ingetrokken.

    Belangrijk

    Maak een offboarding-checklist: accounts blokkeren, wachtwoorden van gedeelde systemen wijzigen, bedrijfsdata terughalen.

  5. Medewerkers hebben alleen toegang tot de systemen en data die ze nodig hebben voor hun werk.

    Aanbevolen

    Pas het 'least privilege'-principe toe: standaard zo min mogelijk rechten, en admin-rechten alleen waar echt nodig.

  6. Wij hebben een actueel overzicht van alle accounts, licenties en wie waar toegang toe heeft.

    Aanbevolen

    Houd een simpel overzicht bij (spreadsheet of tool) van alle diensten, accounts en rechten. Loop het elk kwartaal na.

  7. Beheerdersaccounts worden alleen gebruikt voor beheertaken, niet voor dagelijks werk zoals e-mail en internet.

    Belangrijk

    Geef beheerders twee accounts: een gewoon account voor dagelijks werk en een apart admin-account. Malware die binnenkomt via e-mail heeft dan geen beheerrechten.

  8. Toegangsrechten worden minimaal Ă©Ă©n keer per jaar gecontroleerd: wie heeft nog toegang nodig en wie niet meer?

    Aanbevolen

    Plan een jaarlijkse 'opschoonronde': loop alle accounts en rechten na en trek in wat niet meer nodig is. Oud-medewerkers en oude leverancierstoegangen zijn een klassiek lek.

  9. Standaardwachtwoorden van nieuwe software, apparaten en online diensten worden direct bij ingebruikname gewijzigd.

    Aanbevolen

    Standaardwachtwoorden (admin/admin, 12345) staan in openbare lijsten die aanvallers automatisch proberen. Wijzig ze altijd vóórdat iets in gebruik gaat.

  10. Wij krijgen een melding bij verdachte inlogpogingen (bijv. inloggen vanuit het buitenland of buiten werktijd).

    Aanbevolen

    Zet beveiligingsmeldingen aan in Microsoft 365/Google Workspace en controleer af en toe de inloggeschiedenis. Zo zie je een accountovername vroeg in plaats van te laat.

  11. Wij controleren periodiek welke apps en add-ins toegang hebben gekregen via 'inloggen met Google/Microsoft' en trekken ongebruikte toegang in.

    Aanbevolen

    Bekijk in de beveiligingsinstellingen van Microsoft 365/Google Workspace welke apps toegang hebben tot je mail, agenda en bestanden. Een vergeten koppeling met een gestopte dienst is een onnodig lek.

  12. Waar mogelijk gebruiken wij passkeys of hardware-beveiligingssleutels in plaats van alleen een wachtwoord.

    Aanbevolen

    Passkeys en fysieke sleutels (bijv. YubiKey) zijn lastiger te phishen dan een wachtwoord met sms-code. Zet ze aan voor je belangrijkste accounts, te beginnen bij e-mail.

Hier begin je

  • Zet vandaag nog multifactorauthenticatie (MFA) aan op je e-mail, je boekhoudpakket, je bank en je cloudopslag. Kies liever een authenticator-app of passkey dan sms.
  • Kies Ă©Ă©n wachtwoordmanager voor het hele bedrijf. Laat die voor elke dienst een uniek, lang wachtwoord maken.
  • Maak een lijst van alle accounts en wie erbij kan. Loop die lijst af bij elke uitdiensttreding.
  • Gebruik een apart beheerdersaccount, alleen voor beheer. Lees geen mail en surf niet met dat account.

Veelgemaakte fouten

  • MFA aanzetten op het hoofdaccount en vergeten dat oude accounts, gedeelde mailboxen of een tweede beheerder nog zonder MFA kunnen inloggen.
  • Een wachtwoord resetten of een nieuwe MFA-koppeling maken na Ă©Ă©n telefoontje of chatbericht, zonder te controleren wie de aanvrager is.
  • Nooit meer nalopen welke apps ooit toegang kregen via 'inloggen met Google of Microsoft'.

Officiële bronnen

Lees verder

Alle thema's in de checklist