MFA Verplicht Stellen in het MKB: Zonder Weerstand naar 100% Dekking
Meervoudige verificatie (MFA of 2FA) is de meest effectieve basismaatregel om ongeautoriseerde toegang via gestolen wachtwoorden te voorkomen. In het moderne MKB volstaat het beveiligen van alleen de beheerder of IT-afdeling niet meer: MFA hoort organisatiebreed verplicht te zijn voor alle medewerkers, externe krachten en beheerders op alle cloudomgevingen (zoals Microsoft 365 en Google Workspace), e-mail, VPN en bedrijfskritische SaaS-applicaties.
Dit artikel hoort bij het thema Toegangsbeheer en accounts, onderdeel van ICT-beveiliging voor het MKB.
Weerstand van medewerkers ontstaat vrijwel altijd door slechte communicatie of omslachtige methodes (zoals SMS-codes). Met moderne authenticator-apps, een duidelijk stappenplan en een vaste deadline haalt een MKB-organisatie binnen 14 dagen een dekkingsgraad van 100%.
Waarom een wachtwoord alleen allang niet meer beschermt
Bij meer dan 80% van de datalekken en inbraken op zakelijke cloudomgevingen spelen gecompromitteerde inloggegevens een rol. Medewerkers hergebruiken wachtwoorden, trappen in gerichte phishingmails of bewaren wachtwoorden in onbeveiligde documenten.
Zonder MFA heeft een aanvaller met alleen een gebruikersnaam en wachtwoord direct toegang tot:
- De volledige zakelijke e-mailbox (inclusief facturen, klantcontracten en personeelsdossiers).
- De cloudopslag (SharePoint, OneDrive of Google Drive).
- De mogelijkheid om namens de directeur betalingsopdrachten of gewijzigde bankrekeningnummers naar klanten te sturen (CEO-fraude en factuurfraude).
Met MFA stopt de aanval direct: zelfs als het wachtwoord op straat ligt, heeft de aanvaller geen toegang zonder de tweede factor op het fysieke toestel van de medewerker.
De Norm: Wat schrijven officiële beveiligingsstandaarden voor?
Vrijwel alle toonaangevende beveiligingskaders hanteren MFA als absolute minimumeis voor zakelijke IT:
- CIS Controls v8 (Safeguard 6.3 & 6.5): Vereist meervoudige authenticatie voor alle externe netwerktoegang (VPN/externe desktops) en voor alle toegang tot zakelijke cloudapplicaties en beheeraccounts.
- NCSC Richtlijnen voor meervoudige authenticatie: Het Nationaal Cyber Security Centrum adviseert pushberichten met nummerverificatie via authenticator-apps boven SMS-verificatie (dat vatbaar is voor SIM-swapping en interceptie).
- Cyberverzekeringen: Vrijwel alle verzekeraars hanteren organisatiebrede MFA als harde acceptatie-eis voor dekking tegen cyberincidenten.
Praktische ICTklaar-richtlijn: In 4 stappen naar 100% MFA zonder gedoe
Stap 1: Bepaal de methode (kies voor de Authenticator-app)
Stop met verificatie via SMS. SMS is storingsgevoelig, onveilig en kost geld per bericht.
- Standaard: Gebruik de officiële app (Microsoft Authenticator of Google Authenticator).
- Activeer nummerverificatie (Number Matching): De gebruiker ziet een tweecijferig nummer op het scherm van de laptop en toetst dat in op de telefoon. Dit voorkomt 'MFA fatigue' (waarbij een medewerker op de tast op 'Goedkeuren' drukt als een hacker 's nachts herhaaldelijk inlogt).
Stap 2: Kondig het aan vanuit de directie, niet vanuit IT
Weerstand ontstaat wanneer IT onaangekondigd een blokkade activeert. Laat de directie een korte, heldere mail sturen waarin het 'waarom' wordt uitgelegd:
Stap 3: Bied concrete hulp en stel een vaste inloopochtend in
Zorg dat de IT-beheerder of handige collega's op de vloer rondlopen op de ochtend dat MFA verplicht wordt gezet. Het instellen is eenmalig: op vaste werkplekken hoeft een medewerker doorgaans maar eens per 14 tot 30 dagen opnieuw te verifiëren, tenzij hij vanaf een nieuwe locatie inlogt.
Stap 4: Schakel de uitzonderingen definitief uit
De grootste valkuil in het MKB: "De directeur wil geen app installeren", "De buitendienst heeft geen zakelijke telefoon" of "De stagiair zit er maar drie maanden".
Aanvallers scannen geautomatiseerd naar het ene account in je domein waar MFA per ongeluk niet op aan staat. Eén uitzondering breekt de hele ringmuur af. Heeft een medewerker geen zakelijke telefoon en wil hij geen app op zijn privétoestel? Verstrek een hardwarebeveiligingssleutel (zoals een YubiKey via USB) of een eenvoudig zakelijk toestel.
Praktijkscenario: Het 'vergeten' service-account
Aantoonbaar Bewijs: Wat moet je bewaren voor je audit?
Om in een nulmeting of audit aan te tonen dat MFA daadwerkelijk werkt en actief is, volstaat een toezegging van de beheerder niet. Vraag je IT-partner om de volgende concrete bewijsstukken:
| Bewijsstuk | Waar te vinden? | Wat toont het aan? |
|---|---|---|
| MFA-registratierapport | Microsoft Entra ID admin center / Google Workspace beheerconsole | Lijst van 100% van de actieve gebruikers met status 'Capable' / 'Enforced'. |
| Conditional Access Policy export | Azure / Entra portal | Het beleid dat inloggen zonder MFA technisch onmogelijk maakt (blokkade bij ontbreken). |
| Auditlogboek van aanmeldingen | Inloglogboeken (Sign-in logs) van de afgelopen 30 dagen | Bewijs dat externe aanmeldingen daadwerkelijk met een tweede factor zijn afgehandeld. |
Veelgestelde vragen
Is SMS-verificatie echt niet meer voldoende?
SMS is beter dan niets, maar wordt door moderne standaarden (zoals NCSC en CIS Safeguards) afgeraden. SMS-berichten kunnen worden onderschept via SIM-swapping (waarbij criminelen je telefoonnummer overzetten) en zijn gevoelig voor phishing via nepsites. Een authenticator-app met nummerverificatie is veiliger, sneller en werkt ook als je even geen mobiel bereik hebt.
Moeten medewerkers nu bij elke muisklik een code invoeren?
Nee. Moderne authenticatiesystemen maken gebruik van vertrouwde apparaten. Als een medewerker inlogt op zijn vaste, door het bedrijf beheerde laptop, onthoudt het systeem die sessie meestal voor meerdere dagen of weken. De extra verificatiecode wordt alleen gevraagd bij inloggen vanaf een nieuw apparaat, een onbekende locatie of na een bepaalde periode.
Hoe regelen we MFA voor medewerkers zonder smartphone?
Voor medewerkers die geen smartphone hebben (of principieel geen zakelijke app op een privételefoon willen), is een fysieke USB-beveiligingssleutel (zoals een FIDO2/YubiKey) de beste oplossing. Deze sleutel steek je in de USB-poort en activeer je met een simpele aanraking.