Hoe makkelijk kan een hacker toegang krijgen via 1 gestolen of hergebruikt wachtwoord?
Je zou zeggen dat, met de hoge beveiligingsstandaarden van vandaag de dag, hackers van goeden huize moeten komen om nog zomaar toegang te kunnen krijgen tot de kritieke systemen van grote organisaties. De praktijk blijkt echter weerbarstiger: verreweg de meeste cyberincidenten ontstaan door een gestolen wachtwoord; een beheeraccount dat nooit is opgeruimd of een medewerker die meer rechten heeft dan nodig. Oftewel: aspecten die elke cybersecurity-expert als ‘basishygiëne’ zou omschrijven.
Toch gaat het met die basishygiëne nog zorgelijk vaak mis. Dat blijkt ook uit de volwassenheidscijfers uit
Basis op orde blijkt lastiger dan gedacht
Waarom blijft het op orde krijgen van de basishygiëne zo achter, terwijl de urgentie overduidelijk is? Dat vraagt security-professional en podcastmaker Fleur van Leusden zich ook hardop af. “Voor sommige organisaties begrijp ik werkelijk niet waarom er zoveel aandacht naar quantum gaat”, zegt ze. “De technologie bestaat nog niet. En ondertussen worden we nog steeds geransomwared. Begin met MFA, goed wachtwoordbeleid en inzicht in wat je wilt beveiligen. Dat is innovatie waar je vandaag iets aan hebt.”
Die opmerking raakt een gevoelige snaar. Want hoewel CISO’s graag praten over wachtwoordloos werken en phishing-resistente authenticatie, kampen veel organisaties nog met problemen die al decennia bekend zijn. Niet voor niets vormen hergebruikte wachtwoorden, slecht beheerde beheeraccounts en opgeslagen browserwachtwoorden op privé-apparaten samen het grootste risicocluster van het onderzoek. Bij veel organisaties ontbreekt eenvoudigweg het zicht op wie precies toegang heeft tot welke systemen en waarom.
Alom gecertificeerd, maar toch kwetsbaar
Die situatie zorgt voor voor schijnveiligheid. Je kan allerlei security-certificeringen in de wacht hebben gesleept en talloze audits met vlag en wimpel doorkomen. Als je toegangsbeheer niet op orde is, kan je echter alsnog slachtoffer worden van relatief eenvoudige fouten. Het is alsof je ramen met peperdure, hypermoderne, drievoudige sloten hebt beveiligd, terwijl je voordeur openstaat.
“Organisaties worden, ondanks diverse security-certificeringen, toch gehackt door een account dat actief blijft na uitdiensttreding, een verouderd systeem waarvoor niemand zich meer verantwoordelijk voelt, of een inkoopbeleid waarbij geen rekening wordt gehouden met de beveiliging van leveranciers”, zegt security-expert Sjoerd Resink over identity-problemen die hij in de praktijk tegenkwam.
Eigenaarschap: toegangsbeheer als organisatievraagstuk
Sjoerd snijdt daarmee direct een cruciaal aspect van effectief toegangsbeheer aan: het eigenaarschap. Juist dat eigenaarschap blijkt bij organisaties namelijk een terugkerend probleem. Identity-beheer raakt HR-processen, IT-beheer, leveranciersmanagement en security. Daardoor ontstaat gemakkelijk een situatie waarin iedereen een beetje verantwoordelijk is, maar niemand eindverantwoordelijk.
“Vrijheid is mooi, tot niemand meer weet wie de stekker ergens uit mag trekken”, aldus Sjoerd. “Wie is waarvoor verantwoordelijk en accountable? Als iemand niet weet wat binnen zijn of haar verantwoordelijkheid of beslissingsbevoegdheid ligt, zal deze persoon ook geen eigenaarschap voelen.”
Toegangsbeheer is daarmee niet alleen een technisch vraagstuk, maar vooral een organisatorisch vraagstuk. Technologie kan veel automatiseren, maar alleen als processen en verantwoordelijkheden vooraf helder zijn ingericht. Gedeelde verantwoordelijkheid is dan geen verantwoordelijkheid.
De volgende uitdaging: de Europese eWallet
Alsof de huidige problematiek nog niet uitdagend genoeg is, dient de volgende ontwikkeling op identity zich alweer aan. De Europese Digital Identity Wallet (EUDI) moet burgers en organisaties vanaf volgend jaar in staat stellen om identiteiten en verificaties digitaal uit te wisselen via verifieerbare credentials. Dat is enerzijds een mooie ontwikkeling: organisaties kunnen straks eenvoudiger vaststellen wie iemand is, zonder telkens opnieuw identiteitsgegevens uit te vragen. Tegelijkertijd voegt het een extra laag complexiteit toe aan een IAM-landschap dat bij veel organisaties nu al niet goed op orde is.
Je kan als organisatie wel de ambitie hebben om toe te werken naar Zero Trust, wachtwoordloos werken en digitale identiteits-wallets. Maar zolang accounts blijven bestaan na uitdiensttreding, wachtwoorden worden hergebruikt en rechten handmatig worden beheerd, is identity niet zozeer je eerste verdedigingslinie, maar vooral de plek waar aanvallers het vaakst binnenkomen.
Ontmantel je tikkende tijdbom
Gijs Roeffen, CISO bij Castor, vindt dan ook dat er te veel getreuzeld wordt en maant tot actie. “De basis is nog steeds hetzelfde: weet wat je bezit, wie toegang heeft en wat de staat ervan is. We moeten minder praten en meer patchen. Tien jaar geleden riepen we dit ook al, en het is nog steeds waar.” De basis op orde krijgen zou voor organisaties waar dat nog niet het geval is dan ook absolute topprioriteit moeten zijn.
De meest volwassen organisaties kiezen voor hun toegangsbeheer voor vergaande centralisatie. Zij brengen medewerkers-, leverancier- en klantidentiteiten onder in 1 centraal identity-platform en beperken het aantal lokale accounts tot een minimum. Dat levert meer overzicht, betere controle en sterkere beveiliging op.
En ja, daarin schuilt ook een risico, want hoe centraler identity wordt georganiseerd, hoe groter de impact wanneer dat centrale platform zelf wordt gecompromitteerd: een potentieel single point of failure. Maar afhankelijk blijven van handmatige controles, losstaande procedures en gedeelde verantwoordelijkheden is geen optie. Het is een tikkende tijdbom die je alleen ontmantelt met geautomatiseerd centraal toegangsbeheer dat organisatie-breed is geïmplementeerd.
