Bedrijven en organisaties worden zich steeds meer bewust van de noodzaak om hun data te beschermen. Daarom worden talloze technische maatregelen genomen die aanvallen van buitenaf kunnen voorkomen. De effectiviteit van zulke maatregelen is doorgaans hoog.

Hoewel technische maatregelen essentieel zijn, blijkt de menselijke factor keer op keer de zwakke schakel in de beveiliging. Daarom wordt veel tijd en aandacht besteed aan de bewustwording van de cyberrisico's en het aanleren van veiliger gedrag.

Onveilig wachtwoordgebruik staat met stip op 1 voor wat betreft onveilig gedrag! Je kunt gerust zeggen dat bijna elk cyberincident gepaard gaat met een wachtwoord incident. Goed wachtwoordbeheer is geen mensenwerk (zie Hoe lang duurt het voordat jouw wachtwoord gekraakt wordt).

Goed wachtwoordbeheer is alleen mogelijk met de juiste hulpmiddelen. Een wachtwoordmanager is dan meestal de tool die organisaties aan hun medewerkers aanbieden. In de praktijk blijkt echter dat de meeste medewerkers nadat ze een wachtwoordmanager van hun organisatie gekregen hebben deze helemaal niet gebruiken!

Gedrag mensen moeilijk te sturen

In 2019 onderzocht de Carnegie Melon University het gebruik en de adoptie van wachtwoordmanagers. Daaruit blijkt dat mensen maar moeilijk te bewegen zijn om hun bestaande gedrag aan te passen. Ze bedenken geitenpaadjes door makkelijke/ zwakke wachtwoorden in de wachtwoordmanager te plaatsen of ze negeren de wachtwoordmanager gewoon compleet en houden vast aan hun bestaande gedrag.

Uit een meer recente studie van de Universiteit van Twente uit 2022 blijkt hetzelfde: wachtwoordmanagers worden slecht gebruikt, zelfs als mensen vooraf aangeven dat wel te gaan doen.

Dat blijkt ook uit onze eigen waarneming!

Door middel van de MindYourPass Wachtwoord Scan meet MindYourPass van een groot aantal organisaties de online veiligheid, waaronder de kwaliteit van wachtwoorden en het gebruik van een wachtwoordmanager. Op basis van deze metingen blijkt dat binnen organisaties die een wachtwoordmanager aan hun medewerkers beschikbaar stellen, deze door slechts 3-4% (!) van de medewerkers daadwerkelijk wordt gebruikt. Ook na regelmatig aandringen vanuit de top van het bedrijf en de IT afdeling of het volgen van bewustwordingstrainingen stijgt dat percentage niet of nauwelijks.

Wij merken dat mensen zich allerlei verschillende manieren hebben aangeleerd om met wachtwoorden om te gaan. Het afleren van zulke bestaande patronen en het overstappen op een gestandaardiseerde manier van werken met een wachtwoordmanager vinden mensen lastig. Bovendien hebben mensen het druk en wordt het niet als voldoende urgent ervaren. Vaak blijft het bij even uitproberen en raakt men niet gewend aan het dagelijks gebruiken van een wachtwoordmanager.

Schijnveiligheid

In de praktijk is de aanschaf van een traditionele wachtwoordmanager daarom vaak weggegooid geld en leidt het niet tot een significante verbetering van de veiligheid. Het veiligheidsrisico blijft zo bestaan. Dit kan zelfs leiden tot schijnveiligheid omdat de organisatie meent een treffende maatregel genomen te hebben door de aanschaf van een traditionele wachtwoordmanager terwijl deze in de praktijk dus niet wordt gebruikt. Er verstrijkt vervolgens flink wat tijd voordat een organisatie tot dit inzicht komt en toe is aan een andere, effectievere aanpak en deze heeft geïmplementeerd. De risico's van slecht wachtwoordgebruik blijven al deze tijd onverminderd bestaan.

Kan het ook anders?

De wachtwoordhygiëne in een organisatie verbeteren is een grote verandering. Zo'n traject eindigt niet bij de aanschaf van een product maar begint daar eigenlijk pas. Vaak wordt dit vergeten of onderschat en dat is een belangrijke oorzaak van falend wachtwoordbeleid ondanks de aanschaf van een wachtwoordmanager.

MindYourPass doet het anders! De integrale aanpak van MindYourPass kijkt naar het hele verandertraject. Tijdens dit traject wordt niet alleen onze unieke wachtwoordoplossing in de organisatie uitgerold maar wordt de organisatie ook begeleid in het leren werken met goede wachtwoorden en het gebruik van het product. Met de MindYourPass wachtwoord scan wordt het proces voortdurend gemonitord zodat de verbeteringen gemeten kunnen worden en zodat hierover gerapporteerd kan worden. Een belangrijk onderdeel van de aanpak is dat gedurende dit traject de organisatie overstapt op het afdwingen van veilige wachtwoorden. Zo wordt op een gecontroleerde manier afscheid genomen van de vrijblijvendheid van het gebruik van goede wachtwoorden en wordt de organisatie gegarandeerd veiliger.

Met deze SMART methode wordt het gewenste wachtwoordbeleid dus niet alleen meetbaar en zichtbaar maar wordt deze ook verplicht en organisatiebreed afgedwongen. Hierdoor worden behaalde resultaten (en dus de return-on-investment) zichtbaar en wordt de online veiligheid van een organisatie eindelijk beheersbaar.

‍