Bij inloggen met een tweede stap, ook wel MFA of tweestapsverificatie genoemd, is een wachtwoord niet meer genoeg. Na het wachtwoord bevestigt u op uw telefoon dat u het zelf bent. Een aanvaller die uw wachtwoord heeft buitgemaakt, komt dan niet verder. Dit artikel legt uit hoe u MFA invoert zonder dat het bedrijf een dag stilligt, en welk gat er vaak openblijft terwijl iedereen denkt dat het geregeld is.
Waarom het nodig is
Wachtwoorden lekken. Via een nepinlogpagina in een phishingmail, via een andere website waar iemand hetzelfde wachtwoord gebruikte, of omdat het simpelweg te raden was. Een aanvaller met toegang tot een zakelijke mailbox leest mee, wacht op een factuur en stuurt daarna een "gewijzigd rekeningnummer" naar uw klant. Met MFA aan is het buitgemaakte wachtwoord alleen niet genoeg.
Microsoft dwingt MFA inmiddels zelf af voor iedereen die in de beheerportalen inlogt. Voor gewone gebruikers moet u het zelf regelen.
Welke tweede stap?
- Microsoft Authenticator-app. De standaard en voor de meeste mensen de beste keuze. Bij het inloggen verschijnt een getal op het scherm dat u in de app overtypt. Dat voorkomt dat iemand per ongeluk een inlogpoging van een ander goedkeurt.
- Passkey of beveiligingssleutel. Nog sterker, omdat een nepinlogpagina er niets mee kan. Geschikt voor beheerders en voor medewerkers die met betalingen werken.
- SMS of telefoontje. Beter dan niets, maar het zwakst. Microsoft bouwt deze methoden af. Gebruik ze alleen als het echt niet anders kan.
Zo voert u het in
- Kondig het aan. Een korte mail een week vooraf: wat er verandert, waarom, en dat iedereen de Authenticator-app op zijn telefoon moet zetten.
- Begin bij de beheerders. Accounts met beheerrechten zijn het interessantst voor aanvallers. Die gaan eerst, met een strengere regel dan de rest.
- Laat iedereen zich registreren. Bij de eerstvolgende keer inloggen vraagt Microsoft om de app te koppelen. Dat kost een paar minuten per persoon. Plan een moment waarop iemand kan helpen.
- Denk aan gedeelde accounts. Een algemeen account waar meerdere mensen op inloggen, werkt slecht met MFA. Maak er een gedeelde mailbox van waar iedereen met zijn eigen account bij kan.
- Zet de oude inlogmethoden uit. Zie hieronder. Dit is de stap die het vaakst vergeten wordt.
Met Microsoft 365 Business Premium kunt u dit preciezer regelen dan met de standaardinstellingen. Bijvoorbeeld: op een beheerde laptop op kantoor minder vaak vragen, buiten de deur vaker. Het verschil leest u in Security Defaults of Conditional Access.
MFA alleen is niet genoeg
Oudere programma's en apparaten loggen in op een manier die de tweede stap overslaat. Denk aan een oude mailapp, een scanner die mailt of software die rapporten verstuurt. Dat heet legacy authentication. Staat die nog open, dan kan een aanvaller via die route met alleen een wachtwoord naar binnen, MFA of niet.
Microsoft bouwt deze oude methoden af, maar in veel omgevingen staan nog uitzonderingen open. Bij een kantoor van zestien medewerkers stond de oude route volledig open, terwijl de beheerder ervan uitging dat MFA alles dekte. Wij zetten daarom bij elke klant een regel aan die oude inlogmethoden blokkeert. Van alle instellingen die we doen, levert deze het meest op.
Let op wat er daarna kan stoppen: een multifunctional die scans mailt, een netwerkschijf die aan SharePoint gekoppeld is, of software die eens per kwartaal iets verstuurt. Meldt iemand na de omschakeling "de scanner mailt niet meer", dan is dit de eerste verdachte. Zulke apparaten zijn bijna altijd om te zetten naar een veilige manier van verzenden.
Wat medewerkers merken
Minder dan ze vrezen. Op hun eigen laptop en telefoon wordt de tweede stap zelden gevraagd, omdat Microsoft het apparaat na de eerste keer herkent. Vooral op een nieuw apparaat of vanaf een vreemde plek komt de vraag terug. Wie een nieuwe telefoon krijgt, moet de app opnieuw koppelen. Zorg dat iemand weet hoe dat moet, of dat uw beheerder het kan regelen.
Wat wij doen
Bij elke klant zetten we MFA aan voor iedereen, met een strengere regel voor beheerders, en blokkeren we de oude inlogmethoden. Eerst meten we een week wat er geraakt zou worden, zodat de scanner niet op maandagochtend stilvalt. Wat er verder standaard aanstaat, leest u op Microsoft 365 beheer voor het MKB.