Multi-Factor Authenticatie (MFA): De complete gids voor compliance- en beveiligingsteams

Wat is multi-factor authenticatie?

Multi-factor authenticatie (MFA) is een beveiligingsmechanisme dat vereist dat gebruikers hun identiteit verifiëren met twee of meer onafhankelijke factoren voordat ze toegang krijgen tot een systeem, applicatie of gegevens. Door meerdere authenticatiefactoren uit verschillende categorieën te combineren, zorgt MFA ervoor dat het compromitteren van een enkele referentie (zoals een wachtwoord) onvoldoende is voor een aanvaller om toegang te verkrijgen.

Met diefstal van referenties en phishing-aanvallen die verantwoordelijk zijn voor het merendeel van de inbreuken, is MFA een baseline beveiligingscontrole geworden die door vrijwel elk compliance-framework wordt vereist, waaronder ISO 27001, SOC 2, NIS2 en DORA.

Typen authenticatiefactoren

Factortype	Categorie	Voorbeelden	Sterkte
Wachtwoord/PIN	Iets dat u weet	Wachtwoorden, PIN's, beveiligingsvragen	Laag (phishbaar, raadbaar)
TOTP-code	Iets dat u heeft	Google Authenticator, Authy, Microsoft Authenticator	Gemiddeld (phishbaar via proxy)
SMS-code	Iets dat u heeft	Eenmalige code via SMS	Laag-Gemiddeld (onderschepbaar)
Pushmelding	Iets dat u heeft	Duo Push, Microsoft Authenticator push	Gemiddeld (vatbaar voor fatigue-aanvallen)
Hardware beveiligingssleutel	Iets dat u heeft	YubiKey, Google Titan, Feitian	Hoog (phishing-bestendig)
Biometrie	Iets dat u bent	Vingerafdruk, gezichtsherkenning, irisscan	Hoog (gebonden aan individu)
Passkey	Iets dat u heeft + bent	FIDO2 gesynchroniseerde referenties met biometrische ontgrendeling	Hoog (phishing-bestendig, wachtwoordloos)

Vergelijking MFA-methoden

Methode	Phishing-bestendig	Gebruikerservaring	Implementatiecomplexiteit	Kosten
SMS OTP	Nee	Gemiddeld	Laag	Laag
TOTP-app	Nee	Gemiddeld	Laag	Gratis
Pushmelding	Nee	Hoog	Gemiddeld	Per-gebruiker licentie
Hardware beveiligingssleutel	Ja	Gemiddeld	Gemiddeld	Per-sleutel hardwarekosten
Platform biometrie	Ja	Hoog	Laag	Ingebouwd in apparaten
Passkey	Ja	Zeer hoog	Gemiddeld	Gratis
Smartcard + PIN	Ja	Laag	Hoog	Per-kaart + infrastructuur

Conditionele toegangsbeleid

Conditie	Risiconiveau	MFA-vereiste
Bekend apparaat + bekende locatie	Laag	Geen MFA (sessietoken geldig)
Bekend apparaat + nieuwe locatie	Gemiddeld	MFA vereist
Nieuw apparaat + elke locatie	Hoog	MFA vereist + apparaatregistratie
Bevoorrechte actie	Hoog	Step-up MFA vereist
Admin-/bevoorrecht account	Kritiek	MFA altijd vereist (phishing-bestendig voorkeur)
Onmogelijke reis gedetecteerd	Kritiek	MFA vereist + beveiligingsonderzoek

MFA-implementatiearchitectuur

Component	Functie	Voorbeelden
Identity provider (IdP)	Gecentraliseerde authenticatie en MFA-afdwinging	Azure AD, Okta, Google Workspace, Auth0
MFA-dienst	Tweede-factor verificatie	Duo, RSA SecurID, ingebouwde IdP MFA
SSO-integratie	Single sign-on met MFA bij de IdP	SAML 2.0, OIDC, OAuth 2.0
Directory-dienst	Gebruikers- en groepsbeheer voor MFA-beleid	Active Directory, LDAP, SCIM
Authenticator-apps	Client-side TOTP/push-generatie	Google Authenticator, Microsoft Authenticator, Authy
FIDO2-server	WebAuthn referentiebeheer	Ingebouwd in moderne IdP's

MFA-uitrolstrategie

Fase	Acties	Tijdlijn
Fase 1	MFA inschakelen voor alle beheerders- en bevoorrechte accounts	Week 1-2
Fase 2	MFA inschakelen voor IT- en beveiligingsteams	Week 3-4
Fase 3	MFA inschakelen voor alle medewerkers die toegang hebben tot gevoelige systemen	Maand 2
Fase 4	MFA inschakelen voor alle gebruikers en externe medewerkers	Maand 3
Fase 5	Migreren naar phishing-bestendige MFA (FIDO2/passkeys)	Maand 4-6
Fase 6	Conditionele toegang en adaptieve MFA implementeren	Maand 6-9

Compliancevereisten

Framework-mapping

Vereiste	ISO 27001	SOC 2	NIS2	DORA
Multi-factor authenticatie	A.8.5	CC6.1	Art. 21(2)(j)	Art. 9(4)(c)
Bevoorrechte toegangscontroles	A.8.2	CC6.3	Art. 21(2)(i)	Art. 9(4)(c)
Toegangsbeoordeling	A.5.18	CC6.2	Art. 21(2)(i)	Art. 9(2)
Authenticatielogging	A.8.15	CC7.2	Art. 21(2)(g)	Art. 10(2)
Beveiliging op afstand	A.8.1	CC6.6	Art. 21(2)(j)	Art. 9(4)(c)
Wachtwoordbeleid	A.8.5	CC6.1	Art. 21(2)(j)	Art. 9(4)(b)

Auditbewijs

Bewijstype	Beschrijving	Framework
MFA-beleid	Gedocumenteerd beleid dat MFA vereist voor gespecificeerde gebruikersgroepen	Alle frameworks
MFA-inschrijvingsrapport	Percentage gebruikers met MFA ingeschakeld per methodetype	Alle frameworks
Conditionele toegangsregels	Configuratie van risicogebaseerde MFA-beleidsregels	ISO 27001, SOC 2
Authenticatielogs	Records die MFA-uitdagingen en resultaten tonen	Alle frameworks
MFA-uitzonderingenregister	Gedocumenteerde uitzonderingen met risico-acceptatie en herzieningsdata	Alle frameworks
Audit bevoorrechte accounts	Bewijs dat alle bevoorrechte accounts MFA ingeschakeld hebben	Alle frameworks
Documentatie herstelprocedure	Proces voor MFA-reset en accountherstel	ISO 27001, SOC 2

Veelgemaakte fouten

Fout	Risico	Oplossing
MFA alleen voor beheerders	Reguliere gebruikersaccounts gecompromitteerd via phishing	MFA inschakelen voor alle gebruikers, te beginnen met hoog-risicogroepen
Uitsluitend vertrouwen op SMS	SIM-swapping en onderscheppingsaanvallen	Migreren naar TOTP-apps, push of FIDO2 beveiligingssleutels
Geen MFA voor serviceaccounts	Bevoorrechte serviceaccounts gecompromitteerd	Certificaat-gebaseerde auth of managed identities gebruiken voor serviceaccounts
MFA-fatigue kwetsbaarheid	Gebruikers keuren frauduleuze pushmeldingen goed	Number matching implementeren, push-pogingen beperken, FIDO2 gebruiken
Geen MFA-bypass procedures	Gebruikers buitengesloten zonder herstelmogelijkheid	Herstelprocedures documenteren en testen met identiteitsverificatie
Legacy-applicaties uitsluiten	Onbeschermde toegangspunten tot de omgeving	Reverse proxy of VPN met MFA gebruiken voor legacy-apps

Hoe Orbiq MFA-compliance ondersteunt

Orbiq helpt u authenticatiebeveiligingscontroles aan te tonen:

• Bewijsverzameling — Centraliseer MFA-beleid, inschrijvingsrapporten en authenticatielogs
• Continue monitoring — Volg MFA-adoptiepercentages en authenticatiebeveiligingshouding
• Trust Center — Deel uw authenticatiebeveiligingscontroles via uw Trust Center
• Compliance-mapping — Map MFA-controles naar ISO 27001, SOC 2, NIS2 en DORA
• Auditgereedheid — Vooraf samengestelde bewijspakketten voor auditorsbeoordeling

Verder lezen

• Identiteits- en toegangsbeheer — Uitgebreide IAM-strategie
• Privileged Access Management — Bevoorrechte accounts beveiligen
• Zero Trust — MFA als zero trust-fundament
• Gegevensprivacy — Authenticatie voor privacycompliance
• Security Awareness Training — Gebruikers trainen in MFA best practices