In onze vorige blogs schreven we waarom identity de nieuwe perimeter van organisaties is en hoe lifecycle management helpt om controle te houden over wie toegang heeft tot systemen en data. Maar zelfs als je governance goed is ingericht, blijft er één cruciale vraag over: hoe weet je zeker dat degene die probeert in te loggen daadwerkelijk is wie hij zegt te zijn?
Authenticatie is daarmee een van de belangrijkste verdedigingslagen van moderne IT-omgevingen. Toch vertrouwen veel organisaties nog steeds op een combinatie van wachtwoorden en basis-MFA. En precies daar ligt vandaag de dag een groot risico.
De realiteit is dat aanvallers zich niet meer richten op het netwerk, maar op identiteiten. En traditionele authenticatiemethoden zijn daar vaak niet tegen bestand.
Wachtwoorden vormen al jaren de basis van digitale toegang. Maar ze hebben een fundamenteel probleem: ze zijn ontworpen voor een tijd waarin systemen simpel en geïsoleerd waren.
Vandaag werken medewerkers met tientallen cloudapplicaties, op verschillende apparaten, vanaf verschillende locaties. Het gevolg is voorspelbaar:
Voor aanvallers is het daardoor vaak eenvoudiger om een account over te nemen dan om een systeem daadwerkelijk te hacken.
Daarom zien we steeds vaker dat beveiligingsstrategieën verschuiven van password security naar passwordless authentication.
| Veel organisaties hebben inmiddels multi-factor authentication (MFA) ingevoerd. Dat is een belangrijke stap vooruit. MFA maakt het voor aanvallers aanzienlijk moeilijker om met alleen gestolen wachtwoorden toegang te krijgen. Maar MFA als enige beveiligingsmaatregel kent zwakke plekken met twee veel voorkomende aanvalstechnieken: |
Bij deze aanval wordt het telefoonnummer van een gebruiker overgenomen, waardoor sms-codes bij de aanvaller terechtkomen.
Hierbij sturen aanvallers herhaaldelijk authenticatieverzoeken naar een gebruiker, in de hoop dat die uiteindelijk uit frustratie of per ongeluk op ‘goedkeuren’ klikt.
Deze technieken laten zien dat MFA weliswaar essentieel is, maar niet voldoende als enige beveiligingsmaatregel.
Een steeds populairdere aanpak is passwordless authenticatie via passkeys en FIDO2-standaarden.
In plaats van een wachtwoord gebruikt de gebruiker een cryptografische sleutel die gekoppeld is aan een apparaat of biometrische verificatie, zoals windows hello, een beveiligingssleutel of biometrie op een smartphone.
Het grote voordeel hiervan is dat de geheime sleutel het apparaat nooit verlaat. Daardoor kan hij niet worden gestolen via phishing of datalekken. Microsoft Entra ID ondersteunt deze vormen van authenticatie al volledig. Organisaties kunnen bijvoorbeeld werken met:
Deze methoden bieden een aanzienlijk hoger beveiligingsniveau dan traditionele wachtwoorden.
De mogelijkheden voor moderne authenticatie verschillen deels per licentie. Binnen Microsoft 365 E3 kun je al veel realiseren. Voor veel organisaties begint de reis naar Zero Trust pas met het optimaal benutten van de tools die al aanwezig zijn.
In identity: de nieuwe perimeter en
Lifecycle management in Entra ID hebben we drie belangrijke onderdelen van identity security besproken:
Samen vormen deze elementen de basis van een volwassen identity strategie.
Organisaties die hier proactief mee aan de slag gaan, verkleinen niet alleen hun beveiligingsrisico’s, maar zijn ook beter voorbereid op regelgeving zoals NIS2 en toekomstige compliance-eisen.
De vraag voor veel organisaties is niet of deze maatregelen nodig zijn, maar waar ze vandaag staan.
Zonder dat inzicht blijft identity security vaak reactief. Daarom starten veel organisaties met een identity assessment waarin de huidige configuratie, risico’s en verbeterpunten in kaart worden gebracht. Vanuit daar ontstaat een concreet stappenplan richting een moderne en veilige identity-architectuur.
Benieuwd waar jouw organisatie staat? Neem vrijblijvend contact met ons op.
