Auditbare veiligheid op het gebied van wachtwoorden

Iedereen weet wel dat je eigenlijk voor elke applicatie een uniek, sterk wachtwoord moet gebruiken. Maar bijna niemand doet dat, want het is lastig om al die wachtwoorden te onthouden. Begrijpelijk, maar wel een groot veiligheidsrisico. Want bijna alle cyberincidenten beginnen met misbruik van een zwak wachtwoord. MindYourPass ontwikkelde een veilige en zeer gebruiksvriendelijke oplossing, die Centric implementeert.

Merijn de Jonge van MindYourPass wil meteen iets ophelderen: MindYourPass is géén wachtwoordkluis. Het is een oplossing die je gebruikt om een uniek, sterk wachtwoord te genereren voor elke applicatie die je gebruikt. De toepassing bestaat uit een wachtwoordengenerator die op basis van onder meer een wachtwoord dat makkelijk te onthouden is, voor elke applicatie een eigen, sterk wachtwoord maakt. Plus een firewall waarin een organisatie bepaalt voor welke applicaties sterke wachtwoorden nodig zijn. Het gebruik wordt continu gemeten. Niet de wachtwoorden zelf, want die worden niet opgeslagen en bovendien zijn de gebruikers anoniem, maar wel of ze worden gebruikt. Met die informatie meten organisaties hoe veilig het wachtwoordgebruik is en zien ze waar ze kunnen verbeteren.

Controleerbaar

“Meestal bestaat wachtwoordbeleid alleen op papier: de organisatie schrijft voor dat mensen sterke wachtwoorden gebruiken, maar of ze dat daadwerkelijk doen, dat weet je niet. Met MindYourPass weet je dat wel, want de toepassing genereert rapporten die je dat inzicht geven. Wij bieden auditbare veiligheid op het gebied van wachtwoorden,” zegt De Jonge. Voor gebruikers verandert de invoering van MindYourPass weinig, want zij loggen nog steeds in bij een applicatie. Daar is echter een stapje tussengekomen: als ze inloggen, dan opent MindYourPass en daar tikken gebruikers een wachtwoord in dat ze makkelijk kunnen onthouden. De technologie van MindYourPass genereert dan een sterk wachtwoord, dat automatisch wordt ingevoerd in het inlogscherm van de applicatie. De gebruiker mag voor elk account hetzelfde, gemakkelijk te onthouden wachtwoord gebruiken. De gegenereerde wachtwoorden worden niet bewaard. De toepassing werkt dus heel anders dan een wachtwoordkluis waarin wachtwoorden wél bewaard worden. In deze animatie wordt duidelijk hoe het werkt.

In de bijbehorende firewall kunnen organisaties bepalen voor welke applicaties een sterk wachtwoord nodig is en aanvullende maatregelen nemen. Zoals bepalen dat het inloggen multifactor moet zijn. In dat geval gebruikt MindYourPass de biometrische identificatie op de mobiele telefoon van de gebruiker voor het genereren van een wachtwoord. De Jonge: “Op deze manier krijg je als organisatie goed grip op de veiligheid van je applicaties, zonder dat je daarvoor dure hardware hoeft aan te schaffen.”

Kopgroep

MindYourPass is een Nederlands bedrijf, dat samenwerkt met Centric. Centric wil de gepatenteerde technologie van MindYourPass inzetten voor de decentrale overheid. Voor veel overheden staat het verbeteren van de informatieveiligheid, met als belangrijk onderdeel een sterk wachtwoordengebruik, hoog op de prioriteitenlijst. De Baseline Informatiebeveiliging Overheid (BIO) dwingt dit bovendien af. Luc Beelen, product manager Burgerzaken bij Centric: “Goed wachtwoordenbeleid is voor veel van onze klanten een uitdaging. MindYourPass helpt om hier controle over te krijgen.” Centric helpt met de implementatie ervan en met de doorontwikkeling. Daarvoor heeft het een kopgroep opgericht. Met onder meer de gemeente Pijnacker-Nootdorp gaat Centric ervaring opdoen met MindYourPass. Beelen: “We gaan met de deelnemers aan de kopgroep de functionaliteit beproeven en kijken aan welke functionaliteit nog meer behoefte is. Op die manier kunnen we verder ontwikkelen en scherpen wij ook onze dienstverlening aan.” Organisaties die deelnemen aan de kopgroep krijgen een reductie op de licentieprijs van de MindYourPass software en op de bijbehorende dienstverleningskosten. De licentieprijs is overigens vergelijkbaar met die van een wachtwoordenkluis. Zie onder dit artikel de website voor deelname aan de kopgroep.

Voldoen aan de AVG

Voor organisaties biedt het gebruik van MindYourPass het grote voordeel dat afdwingbaar wordt dat medewerkers sterke wachtwoorden gebruiken. En dat ze hierin gericht actie kunnen ondernemen. Via het bijgeleverde Cyber Dashboard en rapportages krijgen ze immers inzicht in het wachtwoordgebruik – niet voor niets heeft De Jonge het over “auditbare veiligheid”. Voor medewerkers is het voordeel dat MindYourPass gemakkelijk te gebruiken is: veiligheid, gemak én privacy gaan daarbij samen, vertellen De Jonge en Beelen. Dat het product echt veilig is en de privacy van gebruikers waarborgt, heeft Centric uiteraard laten onderzoeken, vertelt Beelen: “Niet alleen onze eigen mensen hebben dat gedaan, we hebben ook een externe partij, de Software Improvement Group, onderzoek laten doen. Beide onderzoeken bevestigden de kwaliteit. Er kwamen ook een paar aanbevelingen uit, die MindYourPass heeft verwerkt in hun product.”

Een belangrijk aanvullend argument voor organisaties om deze oplossing te gebruiken, is dat MindYourPass is in te zetten als een instrument om te voldoen aan de eisen van de privacywetgeving AVG. De Jonge legt uit: “De firewall monitort waar mensen inloggen. Dit gebeurt aan de hand van sleutels die door MindYourPass niet tot personen te herleiden zijn omdat de sleutels niet compleet zijn. Als er een datalek is, dan kan de getroffen organisatie ons vragen om de sleutels aan hen te leveren. De klant heeft het andere stuk van de sleutels en door deze te combineren met de sleutels die ze van ons krijgen, kunnen ze zien welke gebruiker een applicatie benaderde.” Met die informatie kan de Functionaris Gegevensbescherming of de CISO reconstrueren wat er is gebeurd en de nodige maatregelen nemen, vertelt De Jonge. Voor de duidelijkheid: dit is geen informatie over wachtwoorden, want het genereren van wachtwoorden is gescheiden van de firewall. Na afloop maakt MindYourPass nieuwe sleutels waardoor de privacy weer optimaal is beschermd.

Al met al belooft MindYourPass een goede oplossing te zijn voor een vraagstuk waarmee veel organisaties kampen. Dat is de reden dat Centric met het bedrijf samenwerkt en de toepassing inzet, samen met en bij overheden.

Meer informatie

Meer over MindYourPass vind je hier: Altijd en overal sterke wachtwoorden met MindYourPass | Centric

Webinar

Centric en MindYourPass organiseerden op 26 mei 2021 een webinar over informatieveiligheid. Hierin komen een aantal bestuurders aan het woord, zoals burgemeester Sebastiaan van ’t Erve van de gemeente Lochem. En gaan Luc Beelen en Merijn de Jonge onder leiding van Brenno de Winter met elkaar in gesprek over de toepassing van MindYourPass en wat Centric hierin voor gemeenten doet. U kunt het webinar hier terugkijken.