De evolutie van wachtwoordbeleid

Je herkent het vast: Welkom123! Het wordt vaak gebruikt als wachtwoord voor nieuwe gebruikers in applicaties en websites. Natuurlijk wordt je gevraagd om dit wachtwoord direct te wijzigen in een zelfgekozen wachtwoord. Iets met een hoofdletter, een cijfer en een speciaal teken: Wachtwoord1! Dit lijkt misschien veilig, maar helaas is het dat niet. 

In de beginperiode van het internet waren gebruikers vrij om hun eigen wachtwoorden te kiezen, maar na verloop van tijd kwamen er steeds meer regels. 

De Britse stand-up comedian Michael McIntyre legt op grappige wijze uit hoe deze regels door de jaren heen zijn veranderd en hoe gebruikers daarop reageerden.

Omdat wachtwoorden de eerste verdedigingslinie vormen voor het beveiligen van informatie (en daarmee ook privacy), is het belangrijk dat ze niet bij de eerste de beste aanval bezwijken. 

Hier komt de noodzaak van een goed wachtwoordbeleid om de hoek kijken. De meeste gebruikers zitten er niet op te wachten om een ingewikkeld wachtwoord te verzinnen, laat staan te onthouden. Daarom is het een goed idee om gebruikers te helpen met het kiezen van een veilig wachtwoord, door middel van suggesties en door het afdwingen van bepaalde regels.

Periodieke wachtwoordwijzigingen is de verplichting om gebruikers elke zoveel tijd (vaak elke 30 dagen) een nieuw wachtwoord te laten kiezen. 

Deze maatregel blijkt in de praktijk eerder zwakke wachtwoorden op te leveren dan sterke wachtwoorden. Gebruikers vinden het lastig om steeds opnieuw een sterk wachtwoord te verzinnen, met als gevolg dat ze een nieuw wachtwoord kiezen met slechts kleine variaties op het oorspronkelijke wachtwoord. Hackers weten dit en kunnen hier bij een aanval slim gebruik van maken wanneer het originele wachtwoord bij een eerdere hack is gestolen.

Het inzicht in welke wachtwoorden wel of niet veilig zijn en welke maatregelen voor wachtwoorden goed of juist averechts werken, verandert regelmatig. De inzichten voor best practices op dit gebied komen hoofdzakelijk voort uit onderzoek van het Amerikaanse NIST (National Institute of Standards and Technology) en zijn beschreven in de NIST Special Publication 800-63B. 

Een van de veranderde inzichten is het advies om het periodiek wijzigen van wachtwoorden niet meer verplicht te stellen, een maatregel die onder andere is overgenomen door Microsoft.

Bij Finalist vinden we het belangrijk dat de applicaties en data van onze klanten en hun gebruikers veilig zijn. We adviseren en helpen onze klanten om goede maatregelen, zoals een goed wachtwoordbeleid, te implementeren. 

Maar wachtwoorden zijn slechts een deel van het verhaal als het gaat om informatiebeveiliging. Informatiebeveiliging is een breed en complex veld dat veel verder gaat dan alleen het beheren van wachtwoorden. Het omvat alle maatregelen en controles die nodig zijn om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen. 

Informatiebeveiliging is niet iets wat je kunt instellen en vervolgens kunt vergeten. Het vereist een proactieve aanpak om ervoor te zorgen dat beveiligingsmaatregelen voortdurend worden geëvalueerd en verbeterd. 

Bij Finalist helpen we onze klanten bij het implementeren van een proactief beveiligingsprogramma dat regelmatig wordt beoordeeld en aangepast aan de veranderende dreigingen en omstandigheden.

Ben je na het lezen nieuwsgierig geworden en wil je meer informatie over dit onderwerp? Neem dan contact met ons op voor een vrijblijvende kennismaking.