Waarom verlopende wachtwoorden niet helpen
Het idee achter een wachtwoord dat elke 60 of 90 dagen verloopt, is dat een gestolen wachtwoord na een tijdje waardeloos wordt. Maar een aanvaller die een wachtwoord buitmaakt, gebruikt het meestal binnen enkele uren of dagen, niet pas na maanden. Ondertussen doen medewerkers precies wat u zou verwachten: ze kiezen een makkelijk te onthouden basiswoord en tellen er steeds één bij op. Wie Bedrijf2026! kent, raadt Bedrijf2027! zo. Daarom raden Microsoft en het Amerikaanse standaardeninstituut NIST periodiek verplicht wijzigen af en adviseren ze alleen te wijzigen als er een reden voor is.
Zo controleert u het verloopbeleid
- Meld u aan bij het Microsoft 365-beheercentrum met een account met de rol Gebruikersbeheerder of hoger.
- Ga naar Instellingen > Organisatie-instellingen en open het tabblad Beveiliging en privacy.
- Kies Beleid voor wachtwoordverloop.
- Zorg dat Wachtwoorden zo instellen dat ze nooit verlopen (aanbevolen) is aangevinkt en kies Opslaan.
Standaard verlopen wachtwoorden in Microsoft 365 niet. Staat er bij u toch een termijn ingesteld, dan is dat ooit bewust zo gekozen, vaak door een vorige IT-partner. Een ingestelde termijn ligt tussen 14 en 730 dagen. Let op: Microsoft 365 waarschuwt gebruikers niet meer vooraf dat hun wachtwoord gaat verlopen, en wie alleen Outlook gebruikt, merkt het soms pas dagen later. Dat levert onnodige helpdeskvragen op.
Dit beleid geldt voor accounts die alleen in de cloud bestaan. Synchroniseert u gebruikers nog vanuit een eigen Active Directory-server, dan bepaalt het wachtwoordbeleid op die server wat er gebeurt.
Wat u in plaats daarvan instelt
- MFA voor iedereen. Met meervoudige verificatie heeft een aanvaller niets aan alleen een wachtwoord. Dit is verreweg de belangrijkste maatregel.
- Zwakke wachtwoorden blokkeren. Microsoft Entra-wachtwoordbeveiliging controleert elk nieuw wachtwoord automatisch tegen een wereldwijde lijst met veelgebruikte en zwakke wachtwoorden, inclusief varianten als P@ssw0rd. Met Entra ID P1, onderdeel van Microsoft 365 Business Premium, voegt u een eigen lijst toe met tot 1.000 termen, zoals uw bedrijfsnaam, productnamen en vestigingsplaats.
- Lange wachtwoordzinnen en een wachtwoordmanager. Een lange zin is sterker en makkelijker te onthouden dan een kort wachtwoord met tekens. Voor alle andere accounts gebruikt u een wachtwoordmanager of passkeys, zodat niemand wachtwoorden hergebruikt.
- Zelf wachtwoord herstellen. Met selfservice-wachtwoordherstel kan een medewerker een vergeten wachtwoord veilig zelf herstellen, zonder te wachten op de beheerder.
Wanneer wijzigt u wél direct?
Verlopen op de kalender is niet nodig, wijzigen bij een aanleiding wel. Laat een wachtwoord direct vervangen als een medewerker het heeft ingevuld op een phishingpagina, als het voorkomt in een bekend datalek, als Microsoft een riskante aanmelding meldt of als iemand het wachtwoord heeft gedeeld. Vermoedt u dat een account al is misbruikt, volg dan de eerste stappen bij een gehackt account: wachtwoord wijzigen alleen is dan niet genoeg.
Hoe Floor ICT dit aanpakt
Floor ICT controleert uw wachtwoordbeleid en zet het op de aanbevolen stand. We zorgen dat MFA voor alle accounts aanstaat, vullen bij Business Premium de lijst met verboden wachtwoorden met uw eigen bedrijfstermen en richten selfservice-wachtwoordherstel in. Meldt Microsoft een riskante aanmelding of lekt een wachtwoord uit, dan zorgen we dat het direct wordt vervangen. Zo is uw omgeving veiliger én hebben uw medewerkers minder gedoe.