MFA

Wat is MFA?

MFA (Multi-Factor Authentication, meerfactorauthenticatie) is een vorm van authenticatie waarbij een gebruiker zijn identiteit aantoont met ten minste twee onafhankelijke factoren uit verschillende categorieën: iets wat hij weet, iets wat hij heeft of iets wat hij is. Een gestolen of geraden wachtwoord is dan niet meer genoeg om binnen te komen. MFA is daarmee een van de meest effectieve maatregelen tegen accountovername, en wordt in NIS2 en IEC 62443-3-3 expliciet genoemd; ook ISO 27001 verwacht via beheersmaatregel 8.5 een veilige, sterke authenticatie. In OT-omgevingen is MFA vooral onmisbaar bij toegang op afstand en beheertoegang tot besturingssystemen.

🧠 Welke authenticatiefactoren zijn er?

Een MFA-oplossing combineert minstens twee van deze drie categorieën. Twee keer dezelfde categorie, zoals een wachtwoord plus een beveiligingsvraag, is géén MFA.

Biometrie wordt in de praktijk meestal lokaal gebruikt om een bezitsfactor te ontgrendelen, bijvoorbeeld een vingerafdruk op een telefoon of security key. De biometrische gegevens verlaten het apparaat dan niet. Tweefactorauthenticatie (2FA) is de meest gebruikte vorm van MFA, met precies twee factoren.

🔧 Welke MFA-methoden bestaan er en hoe sterk zijn ze?

Niet elke MFA is even sterk. Het Amerikaanse CISA publiceerde in oktober 2022 een rangorde die inmiddels breed wordt gevolgd:

Toelichting bij de belangrijkste methoden:

• FIDO2 en passkeys — FIDO2 combineert de W3C-standaard WebAuthn met het CTAP-protocol van de FIDO Alliance. De sleutel ondertekent alleen een aanvraag van het echte domein, zodat een nagemaakte inlogpagina niets bruikbaars ontvangt. Op 5 mei 2022 kondigden Apple, Google en Microsoft gezamenlijk ondersteuning aan voor passkeys, FIDO-sleutels die op het apparaat of gesynchroniseerd worden bewaard.
• Smartcards — PKI-gebaseerde MFA, zoals de PIV-kaart van de Amerikaanse overheid, is eveneens phishingbestendig. Het vraagt wel goed certificaatbeheer en past goed bij Active Directory-omgevingen.
• Sms — de zwakste vorm. NIST SP 800-63B-4 (juli 2025) classificeert sms en spraak als restricted authenticator, alleen toegestaan met een risicoanalyse en een migratieplan. E-mail geldt doorgaans niet als bezitsfactor, omdat de mailbox vaak met hetzelfde wachtwoord beveiligd is.
• Push bombing — aanvallers met een buitgemaakt wachtwoord sturen tientallen pushmeldingen tot het slachtoffer uit vermoeidheid op “Goedkeuren” drukt. Bij Uber gebeurde dit in september 2022, gecombineerd met social engineering via WhatsApp. Microsoft maakt number matching in Authenticator sinds 8 mei 2023 verplicht.

🎯 Waarom is MFA zo belangrijk?

• Gestolen wachtwoorden worden waardeloos — volgens Microsoft blokkeert MFA meer dan 99,9% van de geautomatiseerde aanvallen op accounts, zoals credential stuffing en password spraying.
• Bescherming van de rand van het netwerk — VPN, RDP en portalen voor onderhoud op afstand zijn favoriete ingangen voor ransomware-groepen.
• Beperking van de schade bij phishing — mits u phishingbestendige methoden gebruikt; codes en pushmeldingen kunnen via een adversary-in-the-middle-proxy alsnog worden onderschept.
• Compliance — MFA is een expliciete eis of verwachte maatregel in NIS2, de Cyberbeveiligingswet, ISO 27002 (beheersmaatregel 8.5) en de BIO.
• Basis voor Zero Trust — elke toegangsbeslissing vraagt een sterk vastgestelde identiteit.

De aanval op Colonial Pipeline in mei 2021 laat zien wat er gebeurt zonder MFA. De aanvallers logden in op een oud, nog actief VPN-account met een wachtwoord dat in een eerder datalek was opgedoken. Het account had geen tweede factor. De ransomware trof alleen IT, maar de grootste brandstofpijpleiding van de Verenigde Staten werd uit voorzorg zes dagen stilgelegd.

🏭 Hoe past u MFA toe in OT-omgevingen?

In OT ligt de nadruk anders dan in IT. Het principe is: MFA aan de grens, vlot en voorspelbaar binnen de controlekamer.

• Toegang op afstand — elke verbinding van buiten naar het OT-netwerk, ook die van leveranciers en integrators, loopt via een jump server of beveiligde remote-accessoplossing in de DMZ, met MFA bij het inloggen.
• Beheer- en engineeringtoegang — toegang tot engineering stations, SCADA-servers en de historian met beheerrechten verloopt via PAM met MFA en sessie-opname.
• Operatorwerkplekken — op een HMI moet een operator bij een storing direct kunnen ingrijpen. IEC 62443-3-3 waarschuwt daarom dat toegang niet automatisch mag worden geweigerd wanneer in een noodsituatie een directe reactie van de operator nodig is. Gedeelde operatoraccounts worden hier vaak gecompenseerd met fysieke toegangscontrole tot de controlekamer, snelle badge-login of persoonlijke accounts met een korte pincode.
• Legacy-systemen — veel oudere PLC’s, HMI’s en Windows-stations ondersteunen geen MFA. Dan dwingt u MFA af op de laag ervoor: de jump server, de VPN of de firewall van de zone.
• Offline en afgeschermde netwerken — zonder internet werken cloudgebaseerde push-apps niet. Kies dan hardwaretokens, smartcards of FIDO2-keys die lokaal tegen een on-premises identiteitsserver valideren.

Noodtoegang (break glass) hoort bij elk MFA-ontwerp in OT. Wanneer de MFA-server, de identiteitsdienst of het netwerk uitvalt, moet een installatie bestuurbaar blijven. Een klassieke aanpak is de Red Envelope-procedure: de gegevens van een noodaccount liggen in een verzegelde envelop in een kluis. Na gebruik wordt het wachtwoord direct gewijzigd en het gebruik vastgelegd. Moderne varianten bewaren noodaccounts in een PAM-kluis met dubbele goedkeuring en uitgebreide logging.

🔐 Wat eisen NIS2 en IEC 62443 over MFA?

Voor componentleveranciers vertaalt IEC 62443-4-2 dezelfde eisen naar het niveau van individuele apparaten en software. Onder NIS2 is ook het bestuur verantwoordelijk: het moet maatregelen als MFA goedkeuren en toezicht houden op de uitvoering.

🧭 Hoe voert u MFA stapsgewijs in?

1. Inventariseer de toegangspaden — welke accounts, VPN’s, remote-tools en beheerinterfaces zijn er, ook die van leveranciers? Ruim ongebruikte accounts direct op.
2. Begin bij het hoogste risico — beheerders, helpdesk, toegang op afstand en e-mail eerst; CISA adviseert een gefaseerde uitrol.
3. Kies de methode per groep — FIDO2-keys of smartcards voor beheerders en OT-engineers, number matching of TOTP als tussenstap, sms alleen als uitzondering met een einddatum.
4. Ontwerp voor OT-randvoorwaarden — lokale validatie in afgeschermde zones, geen afhankelijkheid van internet voor de besturing, en een vastgelegde break-glassprocedure.
5. Regel het herstelproces — een verloren token vervangen is een geliefde ingang voor social engineering; identificeer gebruikers bij herregistratie zorgvuldig.
6. Monitor en test — log mislukte en geweigerde MFA-pogingen in de SIEM, let op reeksen pushmeldingen en oefen de noodprocedure periodiek.

Combineer MFA altijd met least privilege, identiteitsbeheer via IAM en netwerksegmentatie: MFA bewijst wie er inlogt, niet wat diegene mag doen.

❓ Veelgestelde vragen

Wat is het verschil tussen MFA en 2FA?

2FA (tweefactorauthenticatie) gebruikt precies twee factoren, MFA minstens twee. Elke 2FA is dus MFA, maar MFA kan ook drie factoren combineren, zoals een smartcard met pincode en vingerafdruk. In de praktijk worden de termen vaak door elkaar gebruikt.

Is MFA via sms nog veilig genoeg?

MFA via sms is beter dan alleen een wachtwoord, maar het is de zwakste vorm van MFA. Codes kunnen worden onderschept via SIM-swapping, misbruik van het SS7-protocol of een phishingsite. NIST beperkt sms daarom tot uitzonderingen en CISA adviseert over te stappen op phishingbestendige MFA.

Wat is phishingbestendige MFA?

Phishingbestendige MFA is authenticatie die niet bruikbaar is voor een aanvaller, zelfs als de gebruiker op een nagemaakte inlogpagina terechtkomt. Volgens CISA voldoen alleen FIDO2/WebAuthn (security keys en passkeys) en PKI-smartcards aan die eis, omdat de cryptografische sleutel aan het echte domein of de echte dienst is gebonden.

Wat is een MFA fatigue-aanval?

Een MFA fatigue-aanval, ook push bombing genoemd, is een aanval waarbij een aanvaller met een gestolen wachtwoord herhaaldelijk pushmeldingen naar het slachtoffer stuurt tot die er één goedkeurt. Number matching, een limiet op het aantal pogingen en phishingbestendige MFA voorkomen dit.

Is MFA verplicht onder NIS2?

NIS2 noemt MFA of continue authenticatie in artikel 21 expliciet als maatregel die organisaties “waar passend” moeten nemen. Voor digitale dienstverleners zoals cloud- en managed service providers werkt Uitvoeringsverordening (EU) 2024/2690 dit concreet uit, en ook voor andere sectoren geldt MFA in de praktijk als verwachte maatregel voor toegang op afstand en beheeraccounts. In Nederland geldt dit via de Cyberbeveiligingswet.

Kunt u MFA gebruiken op een HMI in de controlekamer?

MFA op een HMI is mogelijk, maar het mag een operator nooit hinderen bij het ingrijpen in een noodsituatie. Daarom passen veel organisaties MFA toe op toegang op afstand, engineering- en beheerfuncties, en beveiligen ze operatorwerkplekken met fysieke toegangscontrole en snelle badge-login. IEC 62443-3-3 houdt hier rekening mee: toegangsbeveiliging mag essentiële functies en noodingrepen niet blokkeren.

📌 Samengevat

MFA vraagt om minstens twee onafhankelijke bewijzen van identiteit en is een van de meest effectieve maatregelen tegen misbruik van gestolen wachtwoorden. Kies waar mogelijk phishingbestendige methoden zoals FIDO2 of smartcards, dwing MFA in OT af op elke toegang van buitenaf en elke beheerfunctie, en zorg voor een geteste noodprocedure, zodat beveiliging nooit ten koste gaat van de bestuurbaarheid van het proces.