De IBD adviseert gemeenten dringend om per direct (maar uiterlijk voor het einde van Q2 2021) 2-factorauthenticatie (2FA/MFA) af te dwingen* op ten minste:
– Alle beheeraccounts (intern en extern)
– De kantoorautomatisering
– E-mailaccounts incl. webmail en webapps
– Cloud toepassingen
*Afdwingen wil zeggen dat inloggen met slechts een gebruikersnaam en wachtwoord niet meer mogelijk is.
Waarom nu dit advies?
De IBD ziet in de afgelopen maanden een sterke toename van pogingen om gebruikersnamen en wachtwoorden te achterhalen en veel misbruik van bekende of zwakke gebruikersnaam/wachtwoordcombinaties. 2FA/MFA zorgt voor een extra authenticatiestap bovenop de gebruikersnaam/wachtwoord-combinatie door middel van een tijdelijke code via bijvoorbeeld een app op de smartphone of met een token. De maatregel beschermt in hoge mate tegen misbruik van buitgemaakte inloggegevens, zoals het versturen van spam/phishing via accounts van medewerkers. De maatregel voorkomt dat hackers met deze inloggegevens toegang krijgen en verder kunnen bewegen in uw systemen voor bijvoorbeeld het uitvoeren van een ransomware/gijzelsoftware aanval.
Impact en risico’s
De IBD beseft dat de implementatie van de maatregel een zekere impact heeft. Ook weten we dat 2FA niet 100% waterdicht is. Dat staat beschreven in de handreiking 2FA voor gemeenten. De maatregel beschermt echter zo goed, en misbruik maken van 2FA is zo moeilijk, dat de voordelen sterk opwegen tegen de nadelen. De IBD stelt dat veel ernstige incidenten kunnen worden voorkomen door 2FA af te dwingen op de bovenstaande componenten.
Advies aan gemeenten
Dit advies is opgesteld in afstemming met de Taskforce Samen Organiseren. De IBD adviseert gemeenten om directe prioriteit te geven aan de implementatie van 2FA.
Meer informatie:
Meer informatie treft u in de handreiking 2-factorauthenticatie van de IBD. Uw ICT-leverancier kan u adviseren over de implementatie van 2FA. Deze maatregel past binnen de aanpak van Verhogen Digitale Weerbaarheid.