MFA invoeren in een KMO van 15 medewerkers: een stappenplan zonder gedoe

Als we bij een KMO één maatregel mochten kiezen die het meeste risico wegneemt voor de minste moeite, dan is het tweestapsverificatie, meestal afgekort tot MFA. Toch stellen veel zaakvoerders het uit, uit vrees voor gedoe: medewerkers die klagen, mensen die niet meer binnen raken, een week productiviteitsverlies. Dat hoeft niet. Met een goede volgorde is MFA invoeren in een team van vijftien een kwestie van enkele dagen. Dit is het stappenplan dat we zelf gebruiken.

Wat MFA is, en waarom een wachtwoord alleen niet meer volstaat

MFA staat voor multifactorauthenticatie. In mensentaal: om in te loggen heb je naast je wachtwoord nog iets anders nodig, meestal een code of een goedkeuring op je telefoon. Iets dat je weet (het wachtwoord) plus iets dat je hebt (je telefoon). Iemand die enkel je wachtwoord kent, raakt dus niet binnen.

En dat is nodig, want wachtwoorden lekken, ook zonder dat je medewerkers slordig zijn.

• Na een datalek bij een willekeurige webshop belandt het wachtwoord van je medewerker op een lijst die geautomatiseerd wordt uitgeprobeerd op Microsoft 365 en Google Workspace.
• Een phishingmail die net echt genoeg lijkt, vangt in elk team vroeg of laat een wachtwoord.
• Een zaakvoerder is een aantrekkelijk doelwit: wie in zijn mailbox zit, kan facturen omleiden en collega's instructies sturen.

Met MFA wordt een gelekt wachtwoord een vervelend voorval in plaats van een inbraak. Een wachtwoordmanager voor je team zorgt voor unieke wachtwoorden, MFA vangt op wat toch lekt. Samen vormen ze de basis.

Welke vorm van MFA kies je?

Niet elke vorm is even sterk. In de praktijk komen er drie in aanmerking.

• Een authenticator-app op de smartphone (Microsoft Authenticator, Google Authenticator of een gelijkaardige app). Dit is onze standaardkeuze: gratis, werkt zonder mobiel bereik en is niet te onderscheppen zoals sms.
• Een code via sms. Beter dan niets, maar sms kan onderschept of omgeleid worden via je simkaart. Alleen als tussenstap of voor wie geen smartphone heeft.
• Een hardware key, een klein usb- of nfc-sleuteltje. De sterkste optie, en een verstandige extra voor beheerdersaccounts en de zaakvoerder. Voor de rest van het team is de app ruim voldoende.

Kies bij de app voor nummerinvoer, waarbij je een getal van het aanmeldscherm intikt in plaats van op 'goedkeuren' te tikken. Zo keurt niemand per ongeluk een aanmelding van een aanvaller goed.

Het stappenplan, in deze volgorde

De volgorde is belangrijk. Wie zonder voorbereiding met het hele team tegelijk begint, krijgt precies de chaos waar iedereen bang voor is.

1. Inventariseer je accounts. Mail en samenwerking (Microsoft 365 of Google Workspace), je boekhoudpakket, de bank, je CRM en de sociale media van het bedrijf. Noteer per dienst wie toegang heeft.
2. Begin met de beheerdersaccounts, de accounts die alles kunnen. Liefst met een hardware key als tweede methode.
3. Zet daarna MFA op de mail van iedereen. Mail is de sleutel tot alle andere accounts, want wie de mailbox heeft, kan overal op 'wachtwoord vergeten' klikken.
4. Communiceer naar het team met een datum. Een korte mail: wat verandert er, waarom, wat moet je vooraf doen (de app installeren) en wanneer het ingaat. Geef een week.
5. Rol per medewerker uit, liefst met iemand erbij: tien minuten per persoon, aan zijn eigen bureau.
6. Bewaar de back-upcodes. Elke dienst geeft herstelcodes voor als de telefoon kwijt is. Zet ze in de wachtwoordmanager, niet in een mailtje of op een briefje.
7. Regel de uitzonderingen. Gedeelde mailboxen zoals info@ krijgen geen eigen wachtwoord meer, mensen krijgen toegang via hun eigen account. Een scanner die mail verstuurt, krijgt een apart app-wachtwoord.
8. Doe na twee weken een controle. Staat MFA bij iedereen aan? Zijn er accounts vergeten? Staan er tijdelijke uitzonderingen nog open?

Veelgemaakte fouten

De invoering zelf gaat meestal vlot. De problemen komen daarna, wanneer de aandacht verslapt.

• Uitzonderingen laten staan. 'Even uitschakelen voor Jan, hij is op reis' is maanden later nog altijd een account zonder MFA. Zet bij elke uitzondering een einddatum.
• Oude aanmeldprotocollen open laten. In Microsoft 365 kunnen verouderde manieren van inloggen MFA volledig omzeilen als ze niet uitgeschakeld zijn. Vraag je IT-partner om 'legacy authentication' te blokkeren.
• Geen herstelprocedure voor wie zijn telefoon verliest of een nieuwe krijgt. Dan wordt MFA 'even' uitgeschakeld om snel te helpen, en dat is precies wat een aanvaller aan de telefoon ook vraagt.
• Alleen de mail beveiligen en de bank, de boekhouding of de sociale media vergeten.
• Geen afspraak over wie MFA mag resetten en hoe die persoon controleert dat het echt de juiste collega is.

Hoeveel tijd kost het voor een team van vijftien?

Een eerlijke inschatting, zonder precieze beloftes, want elk bedrijf heeft zijn eigenaardigheden.

• Voorbereiding: een halve dag voor de inventaris, de beheerdersaccounts, de communicatie en de uitzonderingen.
• Uitrol: ongeveer tien minuten per medewerker als iemand meehelpt. Voor vijftien mensen dus twee tot drie uur, verspreid over enkele dagen.
• Nazorg: een uurtje na twee weken voor de controle, en daarna af en toe een vraag van iemand met een nieuwe telefoon.

Reken op ongeveer een werkweek doorlooptijd en een dag effectief werk. De hulpvragen nadien zijn bijna altijd dezelfde: een nieuwe of verloren telefoon, of iemand die de app verwijderd heeft. Met een korte procedure ben je er in vijf minuten vanaf.