Achter menig bureau in het MKB hangt een geeltje met een wachtwoord tegen het scherm geplakt, of ligt er een briefje in een bureaula. Dat is geen onzorgvuldigheid van de medewerker. Het is het logische gevolg van een wachtwoordbeleid dat wordt afgedwongen zonder dat iemand heeft uitgelegd waarom het nodig is. Elke regel die mensen niet begrijpen, roept een omweg op. En die omweg vind je niet terug in een rapportage, want hij speelt zich af in hoofden en bureaula’s, niet in een systeem dat jij kunt controleren.
Een regel zonder uitleg roept een omweg op
Twaalf tekens, een hoofdletter, een cijfer, een leesteken, en elke negentig dagen wijzigen. Op papier is dat een streng wachtwoordbeleid. In de praktijk levert het Welkom2024! op, dat negentig dagen later Welkom2025! wordt. Of een wachtwoord dat op drie systemen hetzelfde is, omdat niemand twaalf verschillende combinaties kan onthouden. Medewerkers zijn niet lui of onverantwoordelijk. Ze lossen een praktisch probleem op de manier op die voor hen het snelst werkt. Als die oplossing buiten het beleid om gaat, heb je als bedrijf geen zicht meer op wat er daadwerkelijk gebeurt.
Eerst meten, dan pas iets verplichten
Voordat je een nieuw wachtwoordbeleid uitrolt, is het verstandig om eerst te kijken hoe medewerkers er nu mee omgaan. Welke wachtwoorden worden hergebruikt. Welke systemen draaien nog op een standaardwachtwoord dat nooit is aangepast. Gebruikt een team stiekem al een wachtwoordbeheerder, en waarom juist dat team wel. Zonder dat beeld maak je beleid over iets wat je niet kunt zien, en loop je het risico dat de nieuwe regels net zo min aansluiten op de werkelijkheid als de oude. Een korte ronde gesprekken en een scan van de belangrijkste systemen geven al een realistisch startpunt.
Beleid komt voor techniek
Pas als je weet waar je vandaan komt, kun je bepalen welk beleid logisch is voor jouw bedrijf. Voor een transportbedrijf met veel wisselende diensten ligt de praktijk anders dan voor een kantoor met vaste werktijden. Techniek, zoals een technisch afgedwongen wachtwoordlengte of meervoudige authenticatie, is het sluitstuk, niet het startpunt. Wie eerst de techniek regelt en daarna pas nadenkt over wat werkbaar is, bouwt een slot op een deur zonder dat iemand weet waarom die dicht moet.
Mensen meenemen voordat je iets verplicht
Leg uit wat er kan gebeuren als een wachtwoord in verkeerde handen valt, niet met een dreigend verhaal maar met een voorbeeld dat dicht bij het werk van je medewerkers ligt. Bij een groothandel betekent een gedeeld wachtwoord voor het bestelsysteem dat iedereen onder de naam van een collega bestellingen kan plaatsen. Geef mensen ook een alternatief dat het makkelijker maakt om het goed te doen, zoals een wachtwoordbeheerder die onthouden overbodig maakt. Betrek een team bij het testen van nieuw beleid voordat je het bedrijfsbreed invoert. Wie zich gehoord voelt, zoekt minder snel een omweg.
Aantoonbaar in plaats van gevoelsmatig
Wanneer je de nulmeting, het beleid en de manier waarop je medewerkers hebt meegenomen vastlegt, heb je meer dan een onderbuikgevoel dat het wel goed zit. Je hebt een overzicht waarmee je aantoonbaar richting NIS2 kunt werken, en waarmee je bij een verzekeraar of een opdrachtgever kunt laten zien hoe je met wachtwoordgedrag omgaat. Dat overzicht ontstaat niet door een beleidsdocument te kopiëren van een andere organisatie. Het ontstaat door te beginnen bij wat er nu echt gebeurt.
Wat je deze week kunt doen
Vraag in een paar teams, niet alleen bij ICT, hoe wachtwoorden nu bewaard en gekozen worden, zonder oordeel. Breng in kaart welke systemen nog met een standaardwachtwoord draaien. Kijk of er al een wachtwoordbeheerder in gebruik is, al dan niet officieel, en overweeg die te omarmen in plaats van te verbieden. Leg vast wat je nu aantreft, voordat je een nieuw beleid aankondigt. Die nulmeting is het verschil tussen beleid dat mensen volgen en beleid waar ze omheen werken.
Een paar vragen die we vaak krijgen
Is een wachtwoordbeheerder niet gewoon een nieuw risico?
Een wachtwoordbeheerder die je als bedrijf kiest en beheert is veiliger dan de situatie waarin iedereen zelf wachtwoorden verzint en onthoudt. Het risico zit niet in het hulpmiddel zelf, maar in het ongecontroleerd gebruik ervan. Door het mee te nemen in je beleid en nulmeting, bepaal je zelf hoe het wordt ingericht.
Moeten we stoppen met het verplicht periodiek wijzigen van wachtwoorden?
Vaak werkt periodiek wijzigen averechts, omdat mensen voorspelbare variaties gaan gebruiken. Veel bedrijven hebben meer baat bij lange, unieke wachtwoorden in combinatie met meervoudige authenticatie dan bij een wijzigingsplicht. Wat voor jouw bedrijf verstandig is, bepaal je op basis van de nulmeting en niet op basis van een algemene vuistregel.
Hoe lang duurt een nulmeting voordat we beleid kunnen maken?
Dat hoeft geen groot project te zijn. Een paar gesprekken met teams en een scan van de belangrijkste systemen geven binnen enkele weken al een realistisch beeld. Belangrijker dan snelheid is dat je met die informatie beleid maakt dat aansluit op hoe er daadwerkelijk wordt gewerkt.
Wat als medewerkers na de uitleg toch wachtwoorden blijven delen?
Dan is het de moeite waard om te kijken waarom dat nog gebeurt, bijvoorbeeld omdat een systeem geen aparte gebruikersaccounts toelaat. Het delen van wachtwoorden is vaak een symptoom van een onderliggend probleem in de inrichting van systemen, niet alleen van gedrag. Door dat probleem op te lossen, verdwijnt vaak ook de behoefte aan de omweg.
Wil je weten hoe wachtwoordgedrag er in jouw bedrijf nu echt uitziet? Wij denken graag met je mee over een nulmeting en een beleid dat aansluit op de praktijk.
