Veel bedrijven laten medewerkers om de drie maanden een nieuw wachtwoord kiezen. Dat voelt veilig, maar de richtlijnen zijn daar inmiddels anders over gaan denken.
Wat de richtlijnen zeggen
De Amerikaanse standaardenorganisatie NIST adviseert in haar richtlijnen voor digitale identiteit om wachtwoorden niet periodiek te laten wijzigen, tenzij er aanwijzingen zijn dat een wachtwoord bekend is geworden.
Microsoft haalde in 2019 de verplichte wachtwoordverversing ook uit de aanbevolen beveiligingsinstellingen voor Windows.
Waarom regelmatig wijzigen niet helpt
Wie elke drie maanden moet wisselen, kiest een voorspelbaar patroon, bijvoorbeeld Zomer2026! gevolgd door Herfst2026!. Aanvallers kennen die patronen. Daarnaast schrijven mensen wachtwoorden sneller op of hergebruiken ze, omdat onthouden te veel moeite kost.
Wanneer u het wachtwoord wel wijzigt
Er zijn duidelijke momenten waarop wijzigen verstandig of nodig is.
Reden om direct te wijzigen
- Er is een datalek of het vermoeden dat het wachtwoord bekend is.
- Het wachtwoord is ingevuld op een phishingpagina.
- Een medewerker vertrekt en het account werd gedeeld.
- Het wachtwoord is hergebruikt bij een dienst die is gelekt.
- Het is een standaardwachtwoord van een apparaat of leverancier.
Wat de veiligheid wel verbetert
Besteed uw aandacht aan deze maatregelen. Die leveren meer op dan een vaste wisselfrequentie.
Maatregelen die werken
- Lang in plaats van ingewikkeld: een zin van vier of vijf woorden is sterker en makkelijker te onthouden dan een korte reeks tekens.
- Een uniek wachtwoord voor elk account.
- Een wachtwoordmanager, zodat niemand ze hoeft te onthouden.
- Multifactor-authenticatie, zodat een gelekt wachtwoord alleen niet genoeg is.
- Een controle op wachtwoorden die al in datalekken zijn opgedoken.
Als een klant of audit toch een wisseling eist
Sommige klanten of audits eisen nog een vaste wisselfrequentie. Volg die eis dan, maar bespreek of hij nog bij de huidige richtlijnen past. Soms is er ruimte om af te spreken dat MFA en controle op gelekte wachtwoorden volstaan.
Wachtwoordbeleid dat klopt
- Er is geen verplichte wisseling zonder reden.
- Wachtwoorden zijn lang en uniek per account.
- Medewerkers gebruiken een wachtwoordmanager.
- MFA staat aan op e-mail en andere belangrijke diensten.
- Bij een vermoeden van een lek wordt direct gewijzigd.