Zet tweestapsverificatie eerst aan voor de mensen met de meeste schade-potentie: uzelf, de boekhouding en iedereen met beheerdersrechten. Kies een app op de telefoon boven sms. Regel vóór de uitrol wat er gebeurt als iemand zijn telefoon kwijt is, want daar loopt het anders binnen een week op vast.
Waarom dit belangrijker is dan de rest
Bijna elk incident dat ik bij kleine bedrijven zie, begint bij een wachtwoord dat op straat ligt. Soms via een nepmail, soms omdat hetzelfde wachtwoord jaren eerder bij een webshop is gelekt. Zonder tweede stap is zo'n wachtwoord genoeg om in de mailbox te komen, mee te lezen en op het juiste moment een nepfactuur te sturen.
Met een tweede stap wordt datzelfde gestolen wachtwoord ineens vrijwel nutteloos. Dat is een enorm verschil voor een maatregel die u geen licentie extra kost en die u in één avond kunt aanzetten.
Welke methode kiest u
Er zijn drie manieren die u in de praktijk tegenkomt. Ze zijn niet gelijkwaardig.
- Een app op de telefoon die een code toont of een melding stuurt. Dit is voor het MKB de beste keuze: gratis, snel en veilig genoeg.
- Sms. Beter dan niets, maar een sms is te onderscheppen en werkt niet in een magazijn zonder bereik. Gebruik het als uitzondering, niet als standaard.
- Een fysieke sleutel die u in de usb-poort steekt. Het veiligst, en het overwegen waard voor de eigenaar en de boekhouding. Reken op enkele tientjes per sleutel en koop er altijd twee per persoon.
Kies één standaard voor het hele bedrijf. Drie verschillende methodes door elkaar is precies de situatie waarin niemand meer weet hoe het zat.
De volgorde waarin u uitrolt
Alles tegelijk aanzetten op een maandagochtend is de klassieke fout. Doe het in deze volgorde, met een week ertussen:
- Uzelf en de beheerdersaccounts. Die zijn het waardevolst en u merkt meteen waar het schuurt.
- Boekhouding en inkoop. Daar zit het geld, dus daar zit het risico.
- De rest van kantoor. Plan dit op een rustige dag, niet vlak voor een deadline.
- Werkvloer en buitendienst. Deze groep heeft de meeste uitzonderingen en verdient de meeste aandacht.
De vragen die altijd komen
Bereid deze antwoorden voor, dan is de uitrol een kwestie van een kwartier per persoon.
- "Ik wil mijn privételefoon niet gebruiken." Een legitiem punt. De app leest niets van de telefoon en kost geen abonnement, maar u kunt niemand dwingen. Houd een paar goedkope sleutels achter de hand voor wie dit weigert.
- "Moet ik dit nu elke keer doen?" Nee. Op een vertrouwd apparaat vraagt het systeem het meestal eens per maand. Zeg dat er vooraf bij, anders is dat de eerste klacht.
- "Mijn telefoon is kapot." Hier gaat het mis als u niets heeft geregeld. Zorg dat er iemand is die opnieuw kan instellen, en dat die persoon kan controleren dat de aanvrager echt is wie hij zegt. Bel terug op een nummer uit uw eigen administratie.
Wat u daarna nog aanzet
Tweestapsverificatie sluit de voordeur, maar er zijn een paar achterdeuren die open blijven staan.
- Oude protocollen uitschakelen. Sommige verouderde mailkoppelingen omzeilen de tweede stap volledig. Zolang die aan staan, is uw maatregel deels schijn.
- Waarschuwen bij vreemde aanmeldingen. Een melding wanneer er vanuit een ander land wordt ingelogd kost niets en scheelt dagen.
- Doorstuurregels controleren. Na een inbraak stelt een aanvaller vaak in dat mail stilletjes wordt doorgestuurd. Die regel blijft staan, ook als u het wachtwoord wijzigt.
Dat laatste punt is de reden dat ik na elk incident eerst de regels in de mailbox nakijk en pas daarna het wachtwoord reset. Andersom lijkt het opgelost terwijl het dat niet is.