(Blog) Vanuit security-oogpunt vertellen organisaties hun medewerkers dat zij voor elk account een uniek wachtwoord moeten aanmaken om de veiligheid te verbeteren. Vervolgens vragen we voortdurend aan helpdeskmedewerkers om deze complexe wachtwoorden opnieuw in te stellen omdat wij ze vergeten zijn. Mensen hebben nu eenmaal een beperkt vermogen om complexe, willekeurige geheimen te onthouden. Kunnen we de helpdesk niet ontlasten door slimmer met wachtwoorden om te gaan of liever nog, waarom nemen we geen afscheid van het wachtwoord?
We streven naar een sterke beveiliging wanneer we met een laptop of mobile op een netwerk willen of toegang nodig hebben tot een bepaalde applicatie. Dat gebeurt vaak nog op een traditionele manier met een inlognaam en een wachtwoord. Als de tussenkomst van de IT-helpdesk vereist is om wachtwoorden te herstellen, blijken organisaties daar graag budget voor vrij te maken. Volgens Gartner bestaat 20 tot 50 procent van alle oproepen uit het opnieuw instellen van wachtwoorden. Een dure last voor iedere onderneming. Gartner wees er ook op dat de kosten voor een organisatie niet alleen bestaan uit het salaris van de helpdeskmedewerker, maar ook uit de verloren productiviteit. Je hoeft geen bedrijfseconoom te zijn om te weten dat een wachtwoord reset tegenwoordig aardig in de kosten kan lopen. Gebruikers dwingen om de helpdesk te bellen draagt ook niet bij tot een oplossing. Het verhoogt de IT-kosten, irriteert de gebruiker en verlaagt de productiviteit. Dit zijn veel knelpunten en kosten voor iets dat niet hoog op de prioriteitenlijst staat bij een onderneming.
Verzacht de pijn van wachtwoordbeheer
Veel cyberaanvallen die verband houden met het gebruik van wachtwoorden worden niet beïnvloed door de complexiteit en lengte van wachtwoorden. Keyboard logging, phishing en social engineering-aanvallen zijn even effectief op lange, complexe wachtwoorden als op eenvoudige. Het voordeel van (complexe) wachtwoorden is lang niet zo groot als aanvankelijk gedacht, hoewel de impact op bruikbaarheid en de mate waarin gebruikers deze kunnen onthouden, groot is. Nu we dus kunnen vaststellen dat het gebruik van complexe wachtwoorden geen garanties biedt en ook ten koste gaat van de productiviteit, wordt het dan niet tijd om alternatieven te gaan overwegen?
Je kunt als organisatie beginnen gebruikers te laten wennen aan wachtwoordloze authenticatie. Aan het einde van dit traject kun je een echte “passwordless onderneming’ zijn. Tot het zover is, zul je wachtwoorden moeten beheren. Terwijl het IT-team zich concentreert op het creëren van een veilige infrastructuur voor wachtwoordloos werken, kun je de knelpunten van het wachtwoordbeheer aanzienlijk verminderen met een oplossing als Password Self Service Management. Ook wanneer je organisatie nog niet klaar is om van wachtwoorden af te stappen, kan Password Self Service worden gebruikt om het proces veel gebruiksvriendelijker te maken.
Geef gebruikers een doe-het-zelf-functie
Met Password Self Service Management kunnen gebruikers zelfstandig hun active directory/domein-wachtwoord resetten als ze het zijn vergeten of het wachtwoord wijzigen als het is verlopen. Zij kunnen hierbij vertrouwen op bestaande verificatiemethoden om hun wachtwoorden veilig te verifiëren, opnieuw in te stellen of te wijzigen. Als een bedrijfsomgeving bijvoorbeeld het gebruik van mobiele telefoons niet toestaat, kunnen gebruikers gebruik maken van een patroon gebaseerde authenticatiemethode (GrIDsure) om hun wachtwoord te verifiëren, opnieuw in te stellen of te wijzigen. Deze technologie is ook een uitstekende oplossing voor externe of tijdelijke medewerkers.
Password Self-service management verhoogt de productiviteit, zeker in combinatie met Single Sign On (SSO), adaptieve authenticatie en Multi Factor Authentication (MFA) methoden. SSO verhoogt het gemak voor gebruikers en vermindert het aantal telefoontjes naar de helpdesk, gewoonweg omdat gebruikers minder wachtwoorden hoeven te onthouden. Adaptieve authenticatie en MFA verkleinen de kans op datalekken door kwetsbare wachtwoorden te vervangen door sterkere vormen van identiteitsvalidatie. Regel- en risicogebaseerd toegangsbeleid optimaliseren het gemak en de identiteitsbescherming door het juiste authenticatieniveau af te dwingen en het risiconiveau te bewaken. Een bedrijfskritische applicatie voor finance heeft nu eenmaal andere bescherming nodig dan een tool om een vergaderruimte te reserveren.
Geef gebruikers zelf de tools in handen om hun wachtwoorden te beheren tot het moment dat je als organisatie zonder wachtwoorden kunt werken. Helpdeskmedewerkers en IT-medewerkers kunnen zich concentreren op problemen met een hogere prioriteit. Dit leidt tot het ontlasten van de helpdesk, het verlagen van de operationele kosten en het omzeilen van kwetsbaarheden. De user experience krijgt een impuls evenals je reputatie als het gaat om cybersecurity.
Sandra Wauters
Regional Sales Director IAM Benelux & Nordics
Thales