Multifactor-authenticatie, vaak afgekort als MFA, betekent dat een gebruiker naast een wachtwoord nog een extra controle moet doorlopen. Veel mensen lezen MFA als een los beveiligingsmiddel. In due diligence geldt de term als een aanwijzing voor de volwassenheid van toegangsbeveiliging en de mate waarin misbruik van accounts wordt beperkt.
Een organisatie met MFA op kritische accounts verkleint het risico dat gestolen wachtwoorden direct tot toegang leiden. De betekenis gaat dus verder dan techniek alleen. MFA laat ook zien of men structureel nadenkt over identiteiten, beheer, uitzonderingen en het onderscheid tussen gewone gebruikers en beheerders.
MFA is een sterke basismaatregel, maar alleen als de dekking breed genoeg is en uitzonderingen beperkt blijven.
MFA betekent dat een gebruiker zich met meer dan één factor moet bewijzen, bijvoorbeeld met een wachtwoord en een code op een telefoon. Binnen due diligence geldt dit als een maatstaf voor basisvolwassenheid van toegangsbeveiliging.
Sterke authenticatie betekent dat toegang moeilijker misbruikt kan worden dan met alleen gebruikersnaam en wachtwoord. In due diligence zegt dit iets over de kans op accountmisbruik en ransomware via inloggegevens.
Conditional Access betekent dat toegang afhankelijk wordt gemaakt van extra voorwaarden, zoals locatie, apparaat of risico. Dit laat zien dat een organisatie bij toegangsbeslissingen ook context gebruikt.
Een break glass account is een noodaccount voor uitzonderlijke situaties. In gewone taal: een reservesleutel voor als normale toegang faalt. In due diligence kijkt u dan vooral naar beheer, logging en afscherming.
MFA-fatigue is het verschijnsel dat gebruikers veel verzoeken krijgen en uiteindelijk per ongeluk op akkoord drukken. Dat klinkt klein, maar zegt veel over phishingweerbaarheid en de kwaliteit van de gekozen MFA-oplossing.
Uitzonderingen op MFA zijn accounts of systemen waarvoor de extra controle niet geldt. Juist die uitzonderingen bepalen vaak het werkelijke risico, zeker bij oudere applicaties of leveranciersverbindingen.
De kernvraag is op welke accounts en processen MFA daadwerkelijk is ingesteld.
Is MFA een bewuste standaard of een losse verzameling uitzonderingen? Dat verschil bepaalt de werkelijke beheersing.
Externe beheerders en MSP's horen niet buiten beeld te blijven. Toegang van derden zonder MFA is een duidelijk risicosignaal.
Een due diligence-onderzoek naar multifactor-authenticatie uitgelegd in de context van it due diligence maakt de feitelijke weerbaarheid, resterende kwetsbaarheden en benodigde verbeteringen concreet. Pravus verbindt de bevindingen aan waardering, voorwaarden en prioriteiten na closing.
Ga naar Pravus