Het gevolg: bedrijven die hun personeel verplichten om regelmatig een nieuw, complex wachtwoord te verzinnen, bereiken daarmee soms precies het tegenovergestelde van wat ze willen.
Waarom ingewikkelde wachtwoorden niet altijd veiliger zijn
Een hoofdletter, cijfer of uitroepteken toevoegen aan een wachtwoord lijkt misschien veiliger. Toch bieden zulke verplichte combinaties niet altijd de bescherming die organisaties verwachten. Aanvallers gebruiken geautomatiseerde technieken en lijsten met veelgebruikte wachtwoorden om toegang te krijgen tot accounts.
Daar komt bij dat grote datalekken miljoenen inloggegevens hebben blootgelegd. Criminelen proberen deze gegevens vervolgens ook bij andere diensten. Vooral wanneer medewerkers wachtwoorden hergebruiken, levert dat risico’s op.
De nieuwste richtlijnen van het Amerikaanse National Institute of Standards and Technology (NIST) leggen daarom meer nadruk op wachtwoordlengte en minder op ingewikkelde combinaties van tekens. Ook adviseren ze om medewerkers niet zonder aanleiding regelmatig hun wachtwoord te laten wijzigen.
Whitepapers
Voordat je aan de slag gaat met het verbeteren van je cybersecurity, is het belangrijk om in kaart te brengen waar binnen je organisatie knelpunten zitten. Pelle Aardewerk is cybersecurity expert bij HP, hij legt uit dat je moet starten met risicomanagement.
Downloaden
De aanvalsvector zit bij je medewerkers
Een gehackt account kan grote gevolgen hebben voor een organisatie. Via de endpoints van medewerkers, zoals laptops en smartphones, kunnen criminelen toegang proberen te krijgen tot bedrijfsapplicaties en gevoelige gegevens.
Nu medewerkers steeds vaker op afstand werken en bedrijfsgegevens in de cloud staan, speelt het endpoint een belangrijke rol in de beveiliging. Wanneer medewerkers op meerdere apparaten dezelfde of vergelijkbare wachtwoorden gebruiken, vergroot dat het risico op misbruik.
Waarom endpoint security steeds belangrijker wordt
Nu steeds meer bedrijfsapplicaties en gegevens vanuit verschillende locaties toegankelijk zijn, vormt het endpoint een belangrijk doelwit voor cybercriminelen.
In onderstaande video legt cybersecurity-expert Pelle Aardewerk van HP uit waarom zoveel securityincidenten bij het endpoint beginnen en wat dit betekent voor de beveiliging van organisaties.
Van wachtwoorden naar veilig inloggen zonder wachtwoord
Steeds meer organisaties stappen over op manieren van inloggen waarbij een traditioneel wachtwoord niet meer nodig is. Denk aan passkeys en Windows Hello for Business. Daarbij wordt gebruikgemaakt van cryptografische sleutels die gekoppeld zijn aan een apparaat of beveiligde authenticatiemethode.
Medewerkers kunnen zich bijvoorbeeld aanmelden met een pincode, vingerafdruk of gezichtsherkenning. De geheime sleutel wordt niet als wachtwoord naar de website of applicatie verstuurd. Dat maakt deze vormen van authenticatie beter bestand tegen phishing.
Ook multifactor-authenticatie (MFA) blijft belangrijk. Daarbij zijn meerdere vormen van verificatie nodig om toegang te krijgen. Niet iedere MFA-methode biedt dezelfde bescherming. Vooral phishingbestendige oplossingen, zoals FIDO2-beveiligingssleutels en passkeys, maken het voor aanvallers moeilijker om inloggegevens te misbruiken.
Wat betekent NIS2 voor toegangsbeveiliging?
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Deze wet stelt strengere eisen aan de digitale beveiliging van organisaties die essentiële of belangrijke diensten leveren.
Voor organisaties die onder deze wet vallen, is veilig toegangsbeheer een belangrijk onderdeel van de zorgplicht. Denk aan duidelijke toegangsrechten, het beveiligen van endpoints en het toepassen van multifactor-authenticatie (MFA) waar dat passend is. Zo wordt het moeilijker voor onbevoegden om toegang te krijgen tot bedrijfsgegevens en systemen.
De wet onderstreept daarmee het belang van een bredere beveiligingsaanpak, waarin technologie, beleid en medewerkers samenkomen.
En dan is er nog het BIOS
Goede endpointbeveiliging gaat verder dan het besturingssysteem. Ook het BIOS, de firmware die een computer helpt opstarten en de hardware aanstuurt, moet goed beveiligd zijn. Wanneer organisaties voor het beheer daarvan gedeelde wachtwoorden gebruiken, kan dat risico’s opleveren.
HP biedt hiervoor onder andere HP Sure Admin. Deze oplossing maakt gebruik van certificaten en cryptografie om BIOS-instellingen veilig te beheren, zonder afhankelijk te zijn van traditionele BIOS-beheerderswachtwoorden. Daarmee kunnen IT-afdelingen ook op dit niveau de beveiliging van zakelijke laptops versterken.
Lengte telt meer dan complexiteit
Voor organisaties die nog met traditionele wachtwoorden werken, geldt een belangrijke vuistregel: lengte is belangrijker dan ingewikkelde combinaties van tekens.
Volgens de NIST-richtlijnen moeten wachtwoorden die als enige inlogbeveiliging dienen minimaal 15 tekens bevatten. Verplichte combinaties van hoofdletters, cijfers en speciale tekens zijn niet nodig. Ook hoeven medewerkers hun wachtwoord niet regelmatig te wijzigen, tenzij er aanwijzingen zijn dat het is buitgemaakt.
Daarnaast is het belangrijk om hergebruikte en gelekte wachtwoorden tegen te gaan. Een wachtwoordmanager helpt medewerkers om voor ieder account een uniek en sterk wachtwoord te gebruiken.
De belangrijkste les: goede beveiliging draait niet alleen om sterke technologie, maar ook om gebruiksgemak. Want beveiliging die te ingewikkeld is, wordt sneller omzeild.
De businesscase van goede security
Wil je als IT-manager graag genoeg geld en aandacht voor security binnen je bedrijf, maar weet je niet goed hoe je dit aan moet pakken? In deze longread lees je hoe je de directie kunt overtuigen met een ijzersterke businesscase.
Downloaden
