5 vragen die je jezelf moet stellen bij het opstellen van een MFA policy

In het domein van cybersecurity is Multi-Factor Authentication (MFA) van cruciaal belang voor de veiligheid van elke organisatie. Bij bijna alle audits en securityscans constateren wij dat MFA niet is ingericht zoals de organisatie verwacht. Voor mij een reden om er eens dieper in te duiken. In deze eerste blog bespreek ik vragen die je helpen bij het opstellen van een effectief MFA policy.

Geschreven door: Jacco Wildeman

Vijf vragen om jezelf te stellen

Multi-Factor Authentication (MFA) is een belangrijk onderdeel van elke beveiligingsstrategie. Het voegt een extra laag van bescherming toe aan het inlogproces en helpt organisaties om gegevens te beschermen tegen ongeautoriseerde toegang. Het gebruik van MFA kan echter complex zijn en er zijn meerdere manieren om het te licenseren, in te schakelen en te configureren. Daarom is het belangrijk om jezelf als organisatie de volgende vragen te stellen:

1. Heb je uitzonderingen op het gebruik van MFA en waarom zijn deze uitzonderingen nodig? Kun je deze uitzonderingen vermijden en hoe ga je om met de uitzonderingen? Het is belangrijk om te bepalen welke accounts, medewerkers, admins en clouddiensten MFA moeten gebruiken. Hoewel het aan te raden is om MFA actief te hebben voor alle accounts, zijn er altijd uitzonderingen die in aanmerking moeten worden genomen. Het is belangrijk om te bepalen waarom deze uitzonderingen bestaan en of ze kunnen worden vermeden. Als de uitzonderingen noodzakelijk zijn, is het belangrijk om na te denken over de beste manier om met deze uitzonderingen om te gaan.
2. Heb je Break the Glass-accounts? Een Break the Glass-account is een account waarmee je alsnog kunt inloggen als de MFA-service niet werkt. Dit account is bedoeld voor noodgevallen en moet alleen beschikbaar zijn voor degenen die het nodig hebben. Zorg ervoor dat je dit account op een veilige plek bewaart, dat het alleen wordt gebruikt wanneer dat nodig is en dat je monitoring en alerts zijningesteld, zodat zichtbaar is wanneer deze accounts gebruikt worden.
3. Zijn kantoorlocaties veilige locaties waarvandaan geen MFA nodig is? Veel organisaties beschouwen hun kantoren als veilige locaties waar geen MFA nodig is. Het is echter belangrijk om te bepalen of dit ook daadwerkelijk het geval is. Zorg ervoor dat je de beveiliging van je kantoorlocaties regelmatig beoordeelt om er zeker van te zijn dat ze veilig zijn en dat er geen ongeautoriseerde toegang mogelijk is. En ga anders uit van zero trust principe, never trust always verify.
4. Kan je laptop dienen als tweede factor bij authenticatie om het aantal MFA-verzoeken te beperken? Sommige organisaties staan hun medewerkers toe om hun laptop te gebruiken als tweede factor bij het inloggen. Dit kan helpen om het aantal MFA-verzoeken te beperken en het gemakkelijker te maken om in te loggen. Zorg er echter voor dat je laptop voldoet aan de gestelde regels en dat de compliance policies worden nageleefd. Wij kunnen hierbij helpen met Managed Desktop.
5. Weet je zeker dat alle legacy authentication is uitgeschakeld? Legacy authentication is een oudere vorm van authenticatie die MFA niet ondersteunt. Het is daarom belangrijk om ervoor te zorgen dat alle legacy authentication is uitgeschakeld om te voorkomen dat MFA wordt omzeild.

Kortom

Beantwoord deze vragen om je MFA-policy te toetsen of te gebruiken als basis voor het opstellen van een nieuw beleid. In mijn volgende blog over MFA zal ik verder ingaan op welke aspecten van een MFA-policy je moet letten.