1 februari is de Wereldwijde Dag van het Wachtwoord Wijzigen. Deze dag, die in 2012 in het leven werd geroepen om het bewustzijn van goede wachtwoordbeheerpraktijken te vergroten, dient als een jaarlijkse herinnering om de online beveiliging te verbeteren en te beschermen tegen cyberdreigingen. Voor bedrijven is het waarborgen van een goede wachtwoordhygiëne onder werknemers een goede praktijk – en van essentieel belang.

Cyberdreigingen evolueren, met een opkomst van geavanceerde, door AI aangedreven dreigingen zoals deepfakes en AI-phishing. Aanvallen op de toeleveringsketen blijven grootschalige incidenten veroorzaken. Maar fouten van werknemers zijn nog steeds de belangrijkste oorzaak van datalekken: een onderzoek van Mimecast uit 2025 wees uit dat 95% van de datalekken te wijten is aan menselijke fouten.

In dit complexe cyberlandschap kan het aanpakken van basisvereisten op het gebied van cyberbeveiliging, zoals een goed wachtwoordbeleid, een deel van het risico beperken. Het kan tevens een solide basis vormen voor het creëren van een cultuur van informatiebeveiligingsbewustzijn.

Het belang van goed wachtwoordbeheer

Wachtwoorden zijn de sleutels tot onze digitale voordeur. Goed wachtwoordbeheer is een essentieel onderdeel van elke bedrijfsstrategie voor risicomanagement. Zwakke, gemakkelijk te raden wachtwoorden vergroten het risico op succesvolle datalekken, waardoor hackers toegang krijgen tot privé-e-mails, netwerken en gevoelige bedrijfs- en klantgegevens.

Datalekken zijn het meest voorkomende type cyberbeveiligingsincident. Ons State of Information Security Report 2025 toonde aan dat bijna een op de drie (31%) organisaties de afgelopen 12 maanden een datalek heeft meegemaakt, gevolgd door phishing en vishing (30%) en malware-infecties (29%). Deze datalekken brengen ook reputatie- en financiële risico's met zich mee. Het IBM Cost of a Data Breach 2025- rapport concludeerde dat de gemiddelde wereldwijde kosten van een datalek voor een bedrijf $ 4.4 miljoen bedragen, een daling van 9% ten opzichte van 2024.

Reputatieschade kan ook een aanzienlijke impact hebben. Onderzoek van Vercara toonde aan dat de meerderheid (66%) van de Amerikaanse klanten een bedrijf dat slachtoffer wordt van een datalek niet zou vertrouwen met hun gegevens, en 44% zou cyberincidenten toeschrijven aan een gebrek aan beveiligingsmaatregelen bij een bedrijf.

Daarnaast kan een goede wachtwoordbeveiliging bijdragen aan een betere naleving van regelgeving op het gebied van gegevensbescherming, zoals de Algemene Verordening Gegevensbescherming (AVG) van de EU , normen voor gegevensprivacy zoals ISO 27701 en normen voor informatiebeveiliging zoals ISO 27001.

Uitdagingen voor wachtwoordbeheer

In een ideale wereld zou elke medewerker een uniek wachtwoord gebruiken voor elke login. In de praktijk is het onthouden van meerdere verschillende wachtwoorden echter niet praktisch en kan het leiden tot wachtwoordmoeheid. Het handhaven van een wachtwoordbeleid kan ook lastig zijn. Een goede eerste stap is het instellen van systeemregels voor de wachtwoordlengte en het vereisen dat wachtwoorden na een bepaalde tijd worden bijgewerkt.

Best practices voor zakelijk wachtwoordbeheer

Organisaties kunnen ervoor zorgen dat werknemers de beste praktijken op het gebied van wachtwoordbeveiliging volgen door middel van verschillende best practices:

Wachtwoordlengte en -complexiteit

Overweeg om te eisen dat wachtwoorden tussen de 12 en 20 tekens lang zijn, met een combinatie van kleine en hoofdletters, speciale tekens en cijfers voor extra beveiliging. Een onderzoek van het CyLab Security and Privacy Institute van Carnegie Mellon University wees uit dat een minimale sterkte en een minimale lengte van 12 tekens een goede balans creëren tussen beveiliging en gebruiksgemak.

Beleid bijwerken

Hoewel Global Change Your Password Day een tijdige herinnering is om wachtwoorden bij te werken, zou dit niet de enige keer moeten zijn dat wachtwoorden worden gewijzigd. Beveiligingssoftwarebedrijf McAfee raadt aan om wachtwoorden elke drie maanden te wijzigen.

Wachtwoord opnieuw gebruiken

Voor medewerkers kan het verleidelijk zijn om voor meerdere accounts binnen hun werkomgeving hetzelfde wachtwoord te gebruiken. Dit verhoogt echter het risico op accountovername. Als een bedreigingsacteur toegang heeft tot één account met dat wachtwoord, heeft hij/zij feitelijk toegang tot alle accounts. Het trainen en opleiden van medewerkers kan dit risico helpen beperken door hergebruik van wachtwoorden te ontmoedigen.

Hulpmiddelen voor wachtwoordbeheer

Of ze nu losstaand zijn of in browsers geïntegreerd, deze tools zijn ontworpen om de kloof tussen beveiliging en gebruiksgemak te overbruggen door sterke, unieke wachtwoorden voor elke website en applicatie op te slaan en veilig op te halen. Het is echter van essentieel belang om te weten dat als een hacker toegang krijgt tot de wachtwoordbeheertool, hij of zij alle daarin opgeslagen wachtwoorden kan bemachtigen.

Implementatie van meervoudige authenticatie

Multifactorauthenticatie (MFA) vereist dat de gebruiker twee (of meer) verificatiemethoden gebruikt om toegang te krijgen tot een account. MFA kan bijvoorbeeld vereisen dat de gebruiker inlogt met zijn gebruikersnaam en wachtwoord, en vervolgens een eenmalig wachtwoord (OTP) invoert dat naar zijn telefoon wordt gestuurd. De gebruiker moet zowel zijn wachtwoord als het eenmalige wachtwoord invoeren om toegang tot het account te krijgen, wat een extra beveiligingslaag toevoegt.

Er zijn verschillende soorten MFA:

OTP's en op tijd gebaseerde OTP's

OTP’s zijn een sterke vorm van MFA en kunnen worden verzonden via authenticator-apps, wachtwoordmanagers of sms-berichten. Zodra het wachtwoord is gebruikt, is het niet langer geldig om opnieuw te gebruiken. Op tijd gebaseerde eenmalige wachtwoorden (TOTP’s) voegen een extra beveiligingslaag toe omdat ze slechts een beperkte tijd geldig zijn.

Het gebruik van OTP’s en TOTP’s met een authenticator-app of wachtwoordbeheerder is veiliger dan het ontvangen ervan via sms. Sms-berichten zijn vatbaar voor sim-hacking, onderscheppingsaanvallen en social engineering.

E-mail MFA

E-mail-MFA houdt in dat de tweede vorm van authenticatie van de gebruiker wordt afgeleverd op zijn e-mailadres. Deze vorm van MFA is weliswaar eenvoudig en toegankelijk voor gebruikers, maar brengt vergelijkbare risico's met zich mee voor sms-OTP's als een hacker toegang heeft tot het e-mailaccount waarop de code wordt afgeleverd.

Biometrische MFA

Biometrische MFA maakt gebruik van gezichtsherkenning, een vingerafdrukscan of een irisscan om de identiteit van de gebruiker te verifiëren en kan een sterke vorm van authenticatie zijn. Het wordt veel gebruikt op mobiele telefoons, omdat de gebruiker biometrische gegevens kan instellen in plaats van een pincode te gebruiken om de telefoon te ontgrendelen en deze zelfs kan gebruiken om toegang te krijgen tot beveiligde apps zoals authenticatie- en bankapps.

Hoewel biometrische MFA een van de robuustere vormen van authenticatie is, kunnen gebruikers nog steeds vatbaar zijn als hun biometrische gegevens worden gestolen. In tegenstelling tot wachtwoorden kunnen deze gegevens niet worden gereset of gewijzigd.

Voorlichting aan werknemers en handhaving van het beleid

Een van de belangrijkste obstakels voor verbeterde wachtwoordbeveiliging is het risico op menselijke fouten. Het opleiden van medewerkers is van cruciaal belang om ervoor te zorgen dat iedereen in de organisatie op de hoogte is van de risico's die gepaard gaan met slecht wachtwoordbeheer en hun verantwoordelijkheden op het gebied van cyberbeveiliging. Het is echter ook essentieel om oplossingen te bieden waarmee medewerkers zich op hun werk kunnen concentreren en wachtwoordmoeheid kunnen voorkomen.

Cybersecurity-training

Investeren in cyberveiligheidstrainingen voor werknemers kan de bedrijfsbeveiliging verbeteren en ervoor zorgen dat medewerkers risico's, zoals phishingaanvallen, kunnen herkennen en melden. Veel gespecialiseerde trainingsplatformen stellen organisaties in staat om cursussen binnen het hele bedrijf aan te bieden, bij te houden wie de vereiste training heeft voltooid en automatisch e-mailherinneringen te versturen.

Wachtwoordbeleid

Ontwikkel een wachtwoordbeleid dat is afgestemd op best practices en communiceer dat beleid binnen het hele bedrijf. Dit kan worden gedaan naast cyberbeveiligingstraining om iedereen in het bedrijf te helpen de besluitvorming achter het beleid te begrijpen en de naleving door medewerkers te verbeteren.

Beleid zou de minimale wachtwoordlengte, complexiteit, toegestane tekentypen en andere elementen kunnen specificeren. Zoals gezegd kan het IT-team de apparaten van werknemers ook zo instellen dat updates na een bepaalde periode, bijvoorbeeld 90 dagen, nodig zijn.

Hoe ISO 27001 en andere raamwerken kunnen helpen

Kaders voor informatiebeveiliging zoals ISO 27001 en regelgeving zoals de AVG vereisen dat bedrijven actie ondernemen op het gebied van wachtwoordbeveiliging.

De AVG vereist bijvoorbeeld dat bedrijven persoonsgegevens veilig verwerken met behulp van "passende technische en organisatorische maatregelen", terwijl ISO 27001:2022 Bijlage A Controle 5.17 vereist dat authenticatiegegevens veilig worden bewaard. De richtlijnen voor de controle stellen ook dat gebruikers moeilijk te raden, sterke wachtwoorden moeten kiezen die voldoen aan de industrienormen.

  • Wachtwoorden mogen niet gebaseerd zijn op persoonlijke informatie die gemakkelijk kan worden verkregen, zoals namen of geboortedata.
  • Wachtwoorden mogen niet gebaseerd zijn op informatie die gemakkelijk te raden is.
  • Wachtwoorden mogen geen woorden of woordcombinaties bevatten die veel voorkomen.
  • Gebruik alfanumerieke tekens en speciale tekens in uw wachtwoord.
  • Wachtwoorden moeten een minimumlengtevereiste hebben.

Vijf stappen om het wachtwoordbeleid te verbeteren

1) Controleer het huidige wachtwoordbeleid

Controleer het bestaande wachtwoordbeleid van de organisatie. Moet het vernieuwd of verbeterd worden? Als er geen actueel wachtwoordbeleid bestaat, ontwikkel er dan een in overeenstemming met de industriestandaarden.

2) Communiceer binnen het hele bedrijf

Zorg ervoor dat alle medewerkers op de hoogte zijn van het nieuwe of bijgewerkte wachtwoordbeleid. Definieer het beleid en leg uit waarom het essentieel is. Overweeg om medewerkers hierover te trainen. Organisaties zouden ook managers moeten trainen, zodat zij het beleid aan anderen kunnen uitdragen.

3) Implementeer tools voor wachtwoordbeheer

Kies goedgekeurde tools voor wachtwoordbeheer. Het gebruik van een beheertool verlicht de last van het onthouden van verschillende inloggegevens voor verschillende accounts, waardoor de kans groter wordt dat werknemers dit accepteren.

4) Gebruik MFA

Implementeer MFA als een extra manier om gebruikers te authenticeren en het risico op phishing te beperken.

5) Investeer in de opleiding van werknemers

Train medewerkers om een ​​nieuw of bijgewerkt wachtwoordbeleid te volgen en leer ze over het gebruik van wachtwoordbeheer en MFA-tools. Dit kan de buy-in verbeteren en het personeel helpen het belang van goed wachtwoordbeheer te begrijpen.

Het is tijd om actie te ondernemen

Geconfronteerd met steeds geavanceerdere cyberdreigingen, is het belangrijker dan ooit dat bedrijven hun cybersecuritypositie onder de loep nemen. Global Change Your Password Day is een oproep aan bedrijfsleiders om actie te ondernemen. Door proactief kwetsbaarheden te identificeren, de beste cybersecuritypraktijken te implementeren en medewerkers te informeren over hun verantwoordelijkheden op het gebied van informatiebeveiliging, kunnen leiders de risico's van cyberdreigingen aanpakken en beperken.

Bent u klaar om actie te ondernemen om uw wachtwoordbeheer te verbeteren en de weerbaarheid van uw organisatie te vergroten? Ontdek hoe de gecentraliseerde informatiebeveiligingsbeheersysteemoplossing (ISMS) van IO uw organisatie kan helpen de beveiliging te verbeteren en het wachtwoordbeleid af te stemmen op krachtige informatiebeveiligingsframeworks.