November 2026. Veel wachtwoordbeleid stamt uit een tijd van maandelijks wisselen en verplichte hoofdletters. Dat leidt vooral tot voorspelbare wachtwoorden. ISO 27001 (control 5.17, authenticatiegegevens) vraagt om een beheerst proces, niet om een bepaald formaat. Zie ook ons voorbeeld van een wachtwoordbeleid.
Wat een modern beleid zegt
Kies lengte boven complexiteit: een lange wachtwoordzin is sterker en beter te onthouden dan een korte reeks tekens. Eis unieke wachtwoorden per dienst, blokkeer bekende uitgelekte wachtwoorden, en dwing alleen een wijziging af bij een vermoeden van compromittering. Dat sluit aan bij de richtlijnen van veel toezichthouders en normenorganisaties.
De wachtwoordmanager als standaard
Maak een zakelijke wachtwoordmanager de norm. Dat lost het hergebruik op, maakt het delen van gegevens beheerst mogelijk en laat u bij vertrek van een medewerker de toegang intrekken. Zorg dat de manager zelf met MFA is beveiligd en dat herstelprocedures zijn afgesproken.
MFA en wachtwoorden horen bij elkaar
Een goed wachtwoord vervangt MFA niet. Zie passkeys en MFA voor de volgende stap; passkeys maken wachtwoorden op termijn grotendeels overbodig.
Technische accounts en geheimen
Wachtwoorden voor servicekoppelingen horen in een kluis, met rotatie en beperkte rechten, niet in code of een spreadsheet. Laat uw ontwikkelaars scannen op geheimen in repositories.
Bewijs voor de auditor
Het beleid, de instellingen in uw identiteitsplatform (minimale lengte, blokkeren van uitgelekte wachtwoorden), het aantal gebruikers in de wachtwoordmanager en bewustzijnsmateriaal. Meer over toegang in het toegangsbeheer.