Tweestapsverificatie op alles wat vanaf internet bereikbaar is
Van alles wat in dit dossier staat, houdt dit de meeste ellende tegen voor het minste werk. Een gestolen wachtwoord alleen is dan niet genoeg om binnen te komen.
De meeste kleine bedrijven hebben het aan staan op de mail, en verder niet. Juist de systemen die vergeten worden, zijn de systemen waar iemand ongemerkt in kan zitten: de beheerpagina van de website, de boekhouding, de VPN, en het beheeraccount van de IT-partner.
Passkeys zijn de nieuwere en veiligere vorm. Ze werken met je vingerafdruk of de pincode van je telefoon, en er valt geen code te ontfutselen. Waar het kan zijn ze de betere keuze; waar het niet kan, is een app met codes ruim voldoende.
Tweestapsverificatie op alle accounts inschakelen
Begin bij wat vanaf internet bereikbaar is en waar de meeste schade zit: mail, de boekhouding, de bank, de beheerpagina van je website, de VPN, en de wachtwoordmanager.
Kies waar het kan voor een app met codes of voor een passkey, en niet voor sms. Een telefoonnummer is over te nemen; dat gebeurt zelden, maar het is precies de aanval waarmee iemand het bij een bedrijf probeert.
Het beheerdersaccount is het belangrijkste en wordt het vaakst overgeslagen, omdat het van de IT-partner is. Vraag hem hoe dat account beveiligd is en leg het antwoord vast.
Regel de herstelcodes voordat je begint. Zet ze op papier in de kluis. Een telefoon die kapot valt terwijl de codes alleen daarop stonden, kost een middag bellen.
Doe het in een uur met iedereen tegelijk in de kantine, in plaats van per persoon. Dan is het in een keer klaar en helpen mensen elkaar.
- 01Maak een lijst van systemen die vanaf internet bereikbaar zijn.
- 02Zet ze op volgorde van schade: mail, bank, boekhouding, website, VPN.
- 03Zet per systeem tweestapsverificatie aan, met een app of een passkey.
- 04Print de herstelcodes en leg ze in de kluis.
- 05Vraag je IT-partner hoe zijn eigen beheeraccount is beveiligd.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt op welke systemen het aan staat, niet of je het gebruikt. Een lijst met vijf regels is het antwoord.
De beheerdersaccounts als eerste
Een beheerdersaccount is het account dat alles kan: wachtwoorden opnieuw instellen, andermans mail lezen, tweestapsverificatie uitzetten. Wie dat account heeft, heeft alles.
Precies daar wordt het vaakst overgeslagen. "Overal aan" gaat meestal over de gewone gebruikers, terwijl de beheerder of de IT-partner een apart account heeft dat de uitrol niet meepakte.
Ga het na in plaats van het aan te nemen. In Microsoft 365 en Google Workspace kun je per account zien of er een tweede stap aan staat; filter op de accounts met beheerrechten en kijk.
Vraag je IT-partner hetzelfde over zijn eigen account bij jou. Hij heeft beheerrechten in jouw omgeving, dus zijn tweede stap is jouw beveiliging.
- 01Maak een lijst van accounts met beheerrechten. Meestal zijn dat er twee of drie.
- 02Kijk per account of er een tweede stap aan staat.
- 03Zet hem aan waar hij ontbreekt, en print de herstelcodes.
- 04Vraag je IT-partner schriftelijk hoe zijn beheeraccount is beveiligd.
- 05Zet een afspraak in de agenda om dit over een half jaar opnieuw te bekijken.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt naar de beheerdersaccounts, niet naar de gewone. Dat is het account waarmee iemand de rest openzet.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Is sms als tweede stap goed genoeg?
- Het is beter dan niets en het is de zwakste vorm. Een telefoonnummer is over te nemen bij de provider, en dan is de tweede stap weg. Kies waar het kan een app met codes of een passkey.
- Wat is een passkey?
- Inloggen met de vingerafdruk of de pincode van je telefoon of laptop, zonder wachtwoord. Er valt niets te ontfutselen, want er is geen code die iemand kan navragen. Waar een dienst het aanbiedt, is het de betere keuze.
- Op welke systemen moet tweestapsverificatie aan?
- Op alles wat vanaf internet bereikbaar is: mail, bank, boekhouding, de beheerpagina van je website, de VPN en de wachtwoordmanager. En op het beheeraccount van je IT-partner, want dat wordt het vaakst vergeten en heeft de meeste rechten.
- Wat als iemand zijn telefoon kwijtraakt?
- Daarvoor zijn de herstelcodes. Print ze bij het inschakelen en leg ze in de kluis. Zorg dat er per systeem iemand anders is die kan helpen, zodat een kwijtgeraakte telefoon geen dag werk kost.
- Mijn mensen vinden het gedoe. Hoe pak ik dat aan?
- Zet het in een uur met iedereen tegelijk aan, in plaats van per persoon. Leg uit dat het na de eerste keer alleen nog op een nieuw apparaat wordt gevraagd. Het gedoe zit bijna helemaal in het instellen, niet in het dagelijks gebruik.