In een recent webinar gaan Merijn en zijn collega Rick Swinkels, Commercial Lead bij MindYourPass, in op een probleem dat veel organisaties onderschatten: onzichtbare inlogrisico’s. Organisaties investeren veel in securitymaatregelen zoals SSO, MFA en wachtwoordmanagers, maar toch blijven hacks en datalekken plaatsvinden. Volgens Rick en Merijn ligt dat vaak niet aan een gebrek aan maatregelen, maar aan een gebrek aan inzicht. Veel organisaties weten simpelweg niet hoe er daadwerkelijk wordt ingelogd binnen hun organisatie en hoeveel applicaties en accounts er in werkelijkheid bestaan.

In het webinar leggen zij uit waarom het zichtbaar maken van inloggedrag de eerste stap is naar betere beveiliging, en hoe organisaties dat kunnen aanpakken.

We hebben beleid. Maar wordt het ook echt gevolgd?

Volgens Merijn ligt de kern van het probleem in het gebrek aan inzicht in het werkelijke gedrag van medewerkers. Organisaties nemen maatregelen om hun beveiliging te verbeteren, maar baseren die vaak op aannames in plaats van op feiten.  

Veel organisaties hebben wel beleid rond wachtwoorden en toegang. Maar dat betekent nog niet dat medewerkers dat beleid ook volgen. Merijn ziet in de praktijk dat organisaties vaak een ander beeld hebben van hun beveiliging dan wat er daadwerkelijk gebeurt. “Als je mensen interviewt, dan krijg je bijna nooit een antwoord dat op feiten is gebaseerd. Hoe indringend je het ook vraagt, zonder meting kun je die vraag simpelweg niet beantwoorden,” legt hij uit. Daardoor ontstaat een situatie waarin organisaties denken dat hun beveiliging op orde is, terwijl belangrijke risico’s buiten beeld blijven.

Organisaties onderschatten hun eigen applicatielandschap

Een belangrijk inzicht uit de metingen die MindYourPass uitvoert, is dat organisaties hun eigen applicatielandschap vaak onderschatten. Veel bedrijven denken precies te weten welke applicaties hun medewerkers gebruiken. In werkelijkheid blijkt dat aantal vaak aanzienlijk hoger te liggen. Dat is op zichzelf al een risico: elke onbekende applicatie is een potentiële ingang tot systemen of data, en het gebruik van ongeautoriseerde tools (zoals AI-diensten) kan leiden tot datalekken of complianceproblemen. Als je niet exact weet wat er wordt gebruikt, is het simpelweg onmogelijk om de bijbehorende risico’s goed te managen.

Merijn ziet dat vrijwel overal terug. “Bij de meeste organisaties waar wij over de vloer komen en waar wij onze metingen uitvoeren, zien we dat er een bepaalde aanname is over het aantal applicaties dat gebruikt wordt, maar dat dat een ongelooflijke onderschatting is van het werkelijke aantal applicaties.” Elke applicatie vormt immers een mogelijke toegangspoort tot bedrijfsdata en processen.

Rick legt uit dat juist al die accounts en logins samen het echte aanvalsoppervlak van een organisatie vormen. “Het aantal accounts dat je gebruikt voor al die webapplicaties vormt eigenlijk je aanvalsoppervlak. Dat zijn allemaal poorten waar een hacker aan zou kunnen rammelen om bij je binnen te komen.” Zonder inzicht in dat landschap is het volgens hem vrijwel onmogelijk om de juiste beveiligingsmaatregelen te nemen.

​Hoe het meten van inloggedrag in de praktijk werkt

Om inzicht te krijgen in het daadwerkelijke inloggedrag, gebruikt MindYourPass een privacy-friendelijke browserextensie die door organisaties zelf wordt uitgerold op de browsers van medewerkers. Deze software staat los van de wachtwoordmanager en heeft als specifiek doel om inzicht te krijgen in de veiligheid van alle logins.

De browserextentie bevat sensoren die verschillende aspecten van inloggen meten. Zo wordt bijvoorbeeld geregistreerd op welke websites en webapplicaties medewerkers inloggen, welke gebruikersnaam daarbij wordt gebruikt en hoe sterk het wachtwoord is. Ook kan worden vastgesteld of een wachtwoord hergebruikt wordt of voorkomt in datalekken.

Het doel van die metingen is niet om individuele gebruikers te volgen, maar om een objectief beeld te krijgen van hoe toegang tot applicaties binnen een organisatie daadwerkelijk werkt.

“De meetsoftware ziet waar wordt ingelogd, hoe dat gebeurt en hoe sterk een wachtwoord is, zonder te weten wie de gebruiker is,” legt hij uit. De metingen zijn dus gericht op patronen en risico’s op organisatieniveau, niet op individuele medewerkers. Door die gegevens te analyseren ontstaat een overzicht van het applicatielandschap, de kwaliteit van wachtwoorden en de manieren waarop medewerkers toegang krijgen tot systemen. Dat maakt het mogelijk om vast te stellen waar de grootste risico’s zitten en waar beveiligingsmaatregelen moeten worden genomen of aangescherpt.

Waarom meten de enige manier is om gedrag te begrijpen

Volgens Rick kun je het werkelijke inloggedrag van medewerkers niet achterhalen met interviews of enquêtes. Mensen weten vaak zelf niet precies wat ze doen, of geven antwoorden die sociaal wenselijk zijn. Daarom is meten essentieel. “Echt weten wat er gebeurt kun je eigenlijk alleen doen als je het daadwerkelijke gedrag kunt meten.”

Die metingen vinden plaats in de browser, waar medewerkers daadwerkelijk inloggen op applicaties. Vanuit daar ontstaat een data-gedreven beeld van het applicatielandschap, het gebruik van wachtwoorden en de effectiviteit van bestaande beveiligingsmaatregelen. Rick: “De gebruiker gaat naar de browser en vanaf daar gaat hij inloggen en verdwijnt hij eigenlijk steeds verder buiten beeld.” Juist dat deel van het digitale gedrag blijft bij veel organisaties onzichtbaar.

Van inzicht naar gerichte beveiliging

Het doel van meten is uiteindelijk niet alleen inzicht, maar vooral verbetering. Volgens Rick helpt het organisaties om hun beveiliging gerichter en effectiever in te richten. “Omdat we dat zo concreet in kaart kunnen brengen, kun je ook heel gericht je acties uitzetten.”

Dat maakt het mogelijk om security structureel te verbeteren volgens een continue cyclus. Door continu te meten kunnen organisaties zien of maatregelen daadwerkelijk effect hebben en waar nieuwe risico’s ontstaan. Zo verandert beveiliging van een eenmalig project in een continu proces. Rick: “Je kunt continu je risico’s meten, maatregelen plannen, uitvoeren en controleren of ze ook daadwerkelijk effectief zijn.”

‍