Lees verder om de belangrijkste lessen uit deze cyberaanvallen op de watersector te leren, hun bredere impact op de sector en hoe Keeper^® kan helpen bij het beschermen van CI in alle sectoren tegen cyberdreigingen.

Wat u moet weten over de cyberaanvallen op het Amerikaanse waternetwerk

De impact van de cyberaanvallen op het Amerikaanse waternetwerk

De cyberaanvallen op het nationale waternetwerk onderscheiden zich van de datalekken die de nieuwskoppen domineren, omdat de aanvallers, in plaats van gevoelige informatie te stelen, OT als doelwit namen in een duidelijke poging om CI te verstoren. Het incident was minder een kwestie van diefstal en meer een demonstratie van hoe kwetsbaar de industriële controlesystemen die essentiële diensten draaiende houden, kunnen zijn. Door wachtwoorden en IP-adressen op blootgestelde PLC’s te wijzigen, sloten de aanvallers operators buiten van de systemen waarop zij vertrouwden om waterinstallaties te bewaken en te beheren, waardoor het zicht op de werking van die systemen verloren ging. Verschillende nutsbedrijven waren gedwongen terug te vallen op handmatige werkzaamheden om het water veilig te laten stromen terwijl ze werkten aan het terugwinnen van de controle.

Het grotere plaatje van dit incident is wat het zo zorgwekkend maakt. In de gehele campagne in meerdere staten rapporteerden federale functionarissen in sommige gebieden ernstigere gevolgen, waaronder adviezen om water te koken en dalingen in de waterdruk. Watersystemen zijn aantrekkelijke doelwitten voor cyberaanvallen geworden omdat veel ervan afhankelijk zijn van via het internet op afstand beheerde OT — vaak verbonden via apparaten en modems die verouderd zijn en niet zijn ontworpen met beveiliging als prioriteit. Veel nutsbedrijven, met name kleinere gemeentelijke systemen, hebben ook een ernstig gebrek aan middelen op het gebied van cyberbeveiliging, omdat ze niet beschikken over de financiering en het personeel dat nodig is om elke verbinding te beveiligen. Als gevolg hiervan wordt een kritieke sector waarvan miljoenen mensen en bedrijven dagelijks afhankelijk zijn, beschermd door systemen waarvan aanvallers hebben geleerd dat ze relatief gemakkelijk te bereiken zijn.

Wat de watersector kan leren van de cyberaanvallen op het Amerikaanse waternetwerk

Hoewel het onderzoek op het moment van schrijven nog gaande is, hebben deze cyberaanvallen op watersystemen reeds zwakheden in de beveiliging blootgelegd waar water- en afvalwaterbedrijven van elke omvang van kunnen leren. Dit incident toonde aan wat er kan gebeuren wanneer blootgestelde systemen, zwakke aanmeldingsgegevens en hiaten in basistoegangscontroles worden uitgebuit. Voor water- en afvalwaterbeheerders zijn de onderstaande lessen zowel urgent als haalbaar.

Het risico van aan het internet blootgestelde OT

De belangrijkste kwetsbaarheid bij deze aanvallen was dat OT rechtstreeks toegankelijk was via het openbare internet. Aanvallers identificeerden en misbruikten blootgestelde PLC’s en cellulaire modems, waaronder niet-gedocumenteerde apparaten die door leveranciers of operators waren geïnstalleerd en niet werden vastgelegd in routinematige beveiligingsscans. Deze vergeten of onbeheerde verbindingen gaven aanvallers een direct pad naar kritieke systemen.

Waterbedrijven moeten elke externe verbinding inventariseren en ervan uitgaan dat er elders in hun omgeving al onbeheerde externe toegangspaden bestaan. OT mag nooit rechtstreeks aan het internet worden blootgesteld. In plaats daarvan hebben operators veilige externe toegang nodig die een beschermde laag creëert tussen het openbare internet en de systemen die verantwoordelijk zijn voor het uitvoeren van CI.

Het gevaar van standaard en zwakke aanmeldingsgegevens

Veel PLC’s in deze aanval waren enkel beveiligd met standaardwachtwoorden van de fabrikant of zwakke aanmeldingsgegevens, waardoor aanvallers zich konden aanmelden, die wachtwoorden konden wijzigen en operators de toegang tot hun eigen systemen konden ontzeggen. De belangrijkste les voor de watersector is het elimineren van alle standaardwachtwoorden en het handhaven van sterke, unieke aanmeldingsgegevens op elk apparaat en account. Standaard en onveilig gedeelde aanmeldingsgegevens behoren tot de meest voorkomende manieren waarop aanvallers binnenkomen, maar ze behoren ook tot de gemakkelijkste beveiligingskwetsbaarheden om op te lossen.

Het belang van netwerksegmentatie en offline back-ups

De manier waarop Braham, Minnesota, op dit incident reageerde, bewees de waarde van grondige voorbereiding, doordat het personeel het probleem binnen 90 minuten herstelde. Na het detecteren van het compromis isoleerden ze het getroffen systeem, herstelden het vanuit een back-up en herstartten de installatie — dit alles terwijl ze de inwoners van de stad voorzagen van een ononderbroken watervoorziening. Dit toont aan hoe effectieve herstelpraktijken de impact van een inbraak kunnen verminderen en van een potentiële crisis een korte verstoring kunnen maken.

De belangrijkste les is om veerkracht op te bouwen voordat een aanval plaatsvindt door OT te segmenteren van IT-systemen en het openbare internet, zodat een inbreuk in één gebied zich niet naar andere gebieden verspreidt. Met geteste, offline backups kunnen operators systemen snel herstellen wanneer er iets misgaat.

Waarom kleinere nutsvoorzieningen bijzonder kwetsbaar zijn

CISA heeft benadrukt dat aanvallers waterinstanties van elke omvang als doelwit hebben, niet alleen grote stedelijke gebieden. Dit is een groot probleem, omdat kleinere gemeentelijke nutsbedrijven vaak werken met beperkte budgetten en minimaal IT-personeel, waardoor ze minder goed zijn voorbereid om zich te verdedigen tegen dit soort aanvallen. Kleinere nutsbedrijven moeten erkennen dat zelfs de meest sobere nutsbedrijven basale toegangsbeveiliging nodig hebben, en dat ze dit steeds vaker niet alleen hoeven te financieren. Op federaal niveau helpt het State and Local Cybersecurity Grant Program (SLCGP) van CISA staats-, lokale en gebiedsgebonden overheden de weerbaarheid van hun cyberbeveiliging te vergroten, en kunnen gemeentelijke watersystemen die door lokale overheden worden beheerd deze financiering aanvragen via de beherende instantie van hun staat. Meerdere staten beginnen ook stappen te ondernemen; zo kondigde New York onlangs meer dan $ 9 miljoen aan subsidies voor cyberbeveiliging aan om watersystemen in de hele staat te helpen beschermen. Kleinere nutsbedrijven moeten dit soort financiering en ondersteuning actief nastreven om beveiligingsgaten te dichten voordat er misbruik van wordt gemaakt.

Hoe Keeper Security helpt vitale infrastructuur te beschermen tegen cyberaanvallen

De aanbevelingen van functionarissen als reactie op deze aanvallen wijzen allemaal op dezelfde onderliggende behoefte: granulaire controle over toegang en identiteit. Dit is precies waarvoor het uniforme identiteitsbeveiligingsplatform van Keeper is gebouwd. Met een zero-trust, zero-knowledge architectuur zorgt Keeper ervoor dat toegang tot CI bij elke stap wordt geverifieerd, versleuteld en beheerd, zodat zelfs de verbindingen waarop aanvallers in Minnesota vertrouwden, worden gesloten voordat ze kunnen worden misbruikt.

Beveiligde externe toegang

De voornaamste fout bij deze aanvallen was dat OT direct bereikbaar was via het openbare internet. De beveiligde externe toegang van Keeper voor infrastructuur neemt de noodzaak van die risicovolle blootstelling weg en geeft operators gecontroleerde toegang tot PLC’s en besturingssystemen zonder dat deze direct worden blootgesteld aan het internet. In plaats van te vertrouwen op onveilige modems en blootgestelde apparaten, verlopen externe verbindingen met Keeper via een veilig, bewaakt kanaal.

Beheer van aanmeldingsgegevens en geheimen

Default or weak credentials can make internet-facing devices easier for attackers to compromise. Keeper Password Management for Business helps enforce strong, unique credentials across accounts and replace default passwords that can give attackers an easy way in. By generating and securely storing credentials, Keeper helps close one of the easiest entry points and aligns with official recommendations to replace default passwords with strong, unique ones.

Voor de machine-identiteiten en geheimen die op de achtergrond worden uitgevoerd, ondersteunt Keeper Secrets Manager de geautomatiseerde roulatie van API-tokens, serviceaccounts en andere aanmeldingsgegevens voor infrastructuur. Dit is belangrijk omdat zelfs als een aanvaller onbevoegde toegang krijgt, unieke en regelmatig gerouleerde aanmeldingsgegevens het risico kunnen verminderen dat gecompromitteerde aanmeldingsgegevens opnieuw worden gebruikt om zich door systemen te verplaatsen.

Privileged Access Management (PAM)

Naast het beveiligen van individuele aanmeldingsgegevens, betekent het beschermen van CI ook dat er precies wordt gecontroleerd wie toegang heeft tot de systemen waar het op draait. KeeperPAM^® dwingt toegang met minimale privileges af, zodat gebruikers en leveranciers alleen beschikken over de toegang die zij daadwerkelijk nodig hebben, met sessiebewaking en controle over geprivilegieerde verbindingen beheerd via KeeperPAM. De mogelijkheden van Keeper sluiten aan op officiële richtlijnen om te waarborgen dat toegang op afstand wordt bemiddeld, gemonitord en gecontroleerd, en om netwerktoegang tot kritieke controlesystemen strikt te beperken, waardoor operators meer mogelijkheden hebben om verdachte activiteiten te detecteren en hierop te reageren voordat deze escaleren.

Beveiligde externe toegang met Keeper

De nationale cyberaanvallen op watersystemen moeten organisaties eraan herinneren dat geen enkele sector immuun is voor cyberaanvallen – zelfs niet de CI waarvan gemeenschappen dagelijks afhankelijk zijn. Naarmate cyberaanvallen op watersystemen zich over staatsgrenzen verspreiden, maken deze incidenten duidelijk dat het beschermen van vitale diensten moet beginnen met het beheren van toegang tot de systemen die deze aansturen. Keeper beveiligt zowel geprivilegieerde als externe toegang met een zero-trust, zero-knowledge architectuur die de blootgestelde verbindingen en zwakke aanmeldingsgegevens afsluit waarop aanvallers vertrouwen.

Vraag een demo van KeeperPAM aan om te zien hoe uw organisatie haar meest kritieke infrastructuur kan beschermen.

Lees verder om meer te weten te komen over wat AI-governance inhoudt, de risico’s die het helpt te verminderen, hoe Keeper^® helpt bij het beheren van AI-agenten en het beveiligen van de aanmeldingsgegevens, toegang en gegevens waarvan ze afhankelijk zijn.

Wat is AI-governance?

AI-governance is de verzameling van beleidsregels, processen en controles die bepalen hoe AI-systemen binnen een organisatie worden ingezet, benaderd en gemonitord. Het vermindert het beveiligingsrisico door toegang met minimale privileges af te dwingen en elke AI-actie transparant en verantwoordbaar te maken. In de praktijk betekent dit dat het belangrijk is om precies te weten welke AI-systemen er worden uitgevoerd, waartoe deze toegang hebben en wat ze doen.

Sterke AI-governance rust op vijf pijlers:

De risico’s die AI-governance helpt verminderen

Zonder governance kan elke AI-tool en -agent die een organisatie adopteert, uitgroeien tot een blinde vlek. Governance beperkt dat risico door beveiligingsteams inzicht en controle te bieden over hoe AI wordt gebruikt, waar het toegang toe heeft en hoe het zich gedraagt. Dit zijn de belangrijkste risico’s waarop het betrekking heeft.

Schaduw-AI

Schaduw-AI verwijst naar het gebruik van AI-tools die niet door een organisatie zijn goedgekeurd of waarvan de organisatie niet op de hoogte is. Wanneer medewerkers gevoelige informatie in niet-goedgekeurde chatbots of programmeerassistenten invoeren om sneller te kunnen werken, is er geen overzicht van welke tools er worden gebruikt, is er geen beleid voor welke gegevens mogen worden gedeeld en is er geen inzicht in hoe die modellen die invoer opslaan en hergebruiken. Shadow AI zorgt voor een onbeheerde identiteitscrisis, maar governance vermindert het risico door detectie en beleid te vereisen voordat AI toegang krijgt tot gevoelige gegevens.

Permanente toegang

AI-agenten en accounts verzamelen permanente toegang, ongeacht of ze deze actief gebruiken. Permanente toegang behoort tot de grootste beveiligingsrisico’s in elke omgeving, omdat eventuele achtergebleven aanmeldingsgegevens kunnen worden misbruikt door een cybercrimineel. AI zorgt voor een verslechtering van deze situatie, doordat agenten snel worden aangemaakt, brede toegang krijgen om een taak uit te voeren en vervolgens zelden worden gecontroleerd of ingetrokken. Hoe meer permanente toegang er bestaat, hoe groter het aanvalsoppervlak en dus ook de impact wanneer een identiteit gecompromitteerd is. AI-governance vermindert dit risico door te streven naar ZSP, waarbij geen enkele identiteit permanente toegang heeft. In plaats daarvan krijgen identiteiten tijdelijke toegang voor een specifieke taak en wordt de toegang automatisch ingetrokken zodra deze taak is voltooid.

Datalekken

AI-systemen zijn net zo goed beveiligd als de gegevens die erdoorheen stromen. Informatie die in een prompt wordt ingevoerd, verdwijnt niet zomaar zodra het model reageert. Afhankelijk van de provider en het abonnement kan dit worden geregistreerd, bewaard of gebruikt om het model te trainen, en in sommige gevallen opnieuw verschijnen in de uitvoer van een andere gebruiker. Governance vermindert dit risico door te bepalen tot welke gegevens AI-systemen in de eerste plaats toegang hebben en welke ze kunnen opnemen.

Blootstelling van aanmeldingsgegevens en geheimen

AI-scripts, pijplijnen en applicaties vereisen aanmeldingsgegevens zoals API-sleutels, tokens en wachtwoorden om te functioneren. Deze geheimen worden maar al te vaak rechtstreeks in de code of configuratie hardgecodeerd, waar ze via repositories, logbestanden of inbreuken kunnen uitlekken en vervolgens opnieuw kunnen worden gebruikt door cybercriminelen. Governance vermindert dat risico door te vereisen dat geheimen veilig worden opgeslagen, beheerd en geïnjecteerd, in plaats van te worden ingesloten op een locatie waar iedereen toegang tot heeft.

Wildgroei van NHI’s

NHI’s zijn machine-identiteiten, waaronder AI-agenten, serviceaccounts en bots, die zichzelf authenticeren en zelfstandig handelen. AI heeft de groei van NHI’s versneld en er zijn tegenwoordig veel meer machine-identiteiten dan menselijke gebruikers. Ze worden echter zelden met dezelfde striktheid beheerd, waardoor er permanente toegang en statische aanmeldingsgegevens achterblijven die niemand controleert of rouleert. Governance dicht het gat door dezelfde toegangscontroles, hetzelfde eigenaarschap en hetzelfde levenscyclusbeheer die menselijke accounts krijgen, uit te breiden naar NHI’s.

Promptinjectie

Bij een promptinjectie-aanval maken cybercriminelen kwaadaardige invoer om het gedrag van een AI-model over te nemen, waarbij de instructies worden overschreven om gegevens te lekken, risicovolle acties uit te voeren of beveiligingscontroles te omzeilen. Met toegang met minimale privileges wordt de schade beperkt; een overgenomen AI-agent heeft alleen toegang tot er strikt is toegestaan. Organisaties die AI-activiteit monitoren, kunnen het afwijkende gedrag dat een injectie veroorzaakt detecteren voordat het zich verspreidt.

Hoe Keeper helpt bij het besturen van agentic AI

Alleen wanneer organisaties AI-governance toepassen op elke identiteit die met AI te maken heeft, worden de risico’s daadwerkelijk beperkt. Keeper levert de governance vanuit één platform.

Agentische AI op alle eindpunten besturen

AI-codeerassistenten en autonome AI-agenten worden uitgevoerd onder de identiteit van degene die ze heeft gestart, wat betekent dat ze de privileges van de gebruiker overnemen en gevoelige bestanden kunnen lezen, gepriviligeerde opdrachten kunnen uitvoeren of externe diensten kunnen bereiken. Keeper Endpoint Privilege Manager (Keeper EPM) beheert die agenten net als menselijke gebruikers met geprivilegieerde toegang. Keeper EPM ziet welke agenten op een eindpunt worden uitgevoerd, beslist of een bepaalde agent mag worden uitgevoerd en beperkt wat een actieve agent kan uitvoeren door elk verzoek onafhankelijk van de eigen rechten van de gebruiker te beoordelen. Een agent kan niet stilzwijgend buitensporige privileges overnemen of handelen zonder toezicht – elke gevoelige actie wordt toegestaan, geweigerd of in afwachting van goedkeuring aangehouden.

Beveiligd geheimenbeheer voor NHI’s

De aanmeldingsgegevens die AI nodig heeft om te werken, worden vaak hardgecodeerd in scripts, pijplijnen en applicaties, waar ze worden blootgesteld en door cybercriminelen kunnen worden hergebruikt. Keeper Secrets Manager elimineert hardgecodeerde aanmeldingsgegevens door ze op te slaan in een versleutelde kluis en ze alleen tijdens runtime veilig te injecteren. Het is ontwikkeld voor machine-identiteiten en serviceaccounts en biedt gecontroleerde toegang in plaats van permanente geheimen die niemand monitort. Keeper Secrets Manager integreert ook met workflows van AI-agenten via het Model Context Protocol (MCP). Zo kunnen agenten de benodigde geheimen op verzoek ophalen in plaats van deze lokaal op te slaan.

Toegang met minimale privileges en Just-in-Time (JIT)-toegang afdwingen

Door permanente privileges kan één gecompromitteerde AI-agent uitgroeien tot een ernstig beveiligingsincident. KeeperPAM^® dwingt Nul permanente privileges (ZSP) en JIT-toegang af voor alle geprivilegieerde accounts en de systemen waarmee AI werkt. Dit houdt in dat toegang uitsluitend wordt verleend voor een specifieke taak en wordt ingetrokken zodra die taak is voltooid. Automatische roulatie en ontdekking van aanmeldingsgegevens houden deze continu onder controle. Door permanente toegang te verwijderen, minimaliseert Keeper te ruim verleende toegangsrechten en de AI-explosieradius van elk gecompromitteerd account, wat meer beveiliging biedt tegen cybercriminelen.

Zero-knowledge versleuteling implementeren

Het beveiligen van de gegevens die AI verwerkt, begint met ervoor te zorgen dat alleen bevoegde gebruikers deze kunnen lezen. De zero-knowledge architectuur van Keeper betekent dat versleuteling en ontcijfering alleen plaatsvinden op het apparaat van de gebruiker; de gegevens zijn nooit zichtbaar voor Keeper, ook niet als ze in rust en onderweg zijn. Verdediging in diepte (DiD)-lagen, zoals door HSM ondersteunde versleuteling in rust, beschermen opgeslagen gegevens nog beter. Het risico op gegevenslekken en ongeoorloofde toegang wordt hierdoor aanzienlijk verminderd, aangezien de gevoelige informatie waarop AI-systemen en aanmeldingsgegevens zijn gebaseerd, versleuteld blijft en alleen door geautoriseerde gebruikers kan worden gelezen.

AI-bedreigingen detecteren en monitoren

Zelfs met granulaire toegangscontroles moeten teams weten wanneer er sprake is van afwijkend gedrag. KeeperAI^® combineert AI-gestuurde bedreigingsdetectie, afwijkingsdetectie en sessie-inzichten voor geprivilegieerde activiteiten met een classificatie op risiconiveau, zodat teams zich kunnen richten op de belangrijkste taken. In plaats van dat kwaadaardig of verdacht gedrag onopgemerkt blijft totdat de schade is aangericht, brengt Keeper dit in realtime aan het licht en zet het om in alarmen waarop beveiligingsteams onmiddellijk kunnen reageren.

Ondersteuning bij audits, rapportage en naleving

AI-beheer is afhankelijk van de mogelijkheid om de activiteiten van AI-tools en -accounts aan te tonen. De Geavanceerde rapportage- en alarmmodule (ARAM) van Keeper biedt gedetailleerde gebeurtenislogs, aangepaste rapporten, configureerbare alarmen en SIEM-integratie, waardoor teams volledige verantwoording krijgen voor elke AI- en geprivilegieerde actie. Keeper biedt ook een uitgebreide nalevingsdekking:

• SOC 2 Type 2
• ISO 27001
• FedRAMP High Certified
• GovRAMP High Authorized
• FIPS 140-3
• HIPAA
• AVG

Met Keeper dichten beveiligingsteams niet alleen gaten in audits, maar sluiten ze ook aan op de raamwerken die in toenemende mate verantwoord AI-gebruik definiëren, zoals het NIST AI RMF en de EU AI Act.

Beveilig AI-toegang vandaag met Keeper

Met AI-governance verandert het beveiligingsrisico van AI van onbeheerd naar gecontroleerd. Handhaaf toegang met minimale privileges voor alle menselijke en machine-identiteiten, bescherm de aanmeldingsgegevens, geheimen en gegevens waarvan AI afhankelijk is en maak elke AI-actie auditeerbaar met governance die inzicht en controle biedt over de werking van AI in al uw omgevingen. Keeper brengt governance voor agentische AI, geheimenbeheer, geprivilegieerde toegang en volledige auditbaarheid samen in één platform, zodat u AI kunt besturen zonder verschillende tools te gebruiken.

Start uw gratis proefperiode van KeeperPAM om de AI te controleren die in al uw omgevingen actief is.

Lees verder om meer te weten te komen over AI-governance en AI-naleving, wat de verschillen zijn en waarom uw organisatie beide nodig heeft.

Wat is AI-governance?

AI-governance is de verzameling van beleidsregels, rollen en processen die bepalen hoe een organisatie AI bouwt, inzet en beheert gedurende de gehele levenscyclus. AI-governance is intern en proactief, wordt gevormd door de eigen waarden van de organisatie en het stelt kaders vast voordat een systeem in productie wordt genomen.

In de praktijk omvat AI-governance alledaagse beslissingen die AI verantwoordelijk houden, waaronder het classificeren van gebruiksscenario’s op basis van risico, het toewijzen van een eigenaar aan elk systeem en het instellen van goedkeuringsdrempels. Het omvat ook lopende taken, zoals het monitoren van modelgedrag, het loggen van beslissingen en het uitvoeren van biascontroles, zodat de organisatie kan aantonen hoe een willekeurig systeem tot resultaten komt.

Wat is AI-naleving?

AI-naleving omvat het voldoen aan de externe vereisten – wetten, regelgeving, industrienormen en contractuele verplichtingen – die bepalen hoe AI wordt gebruikt. In tegenstelling tot governance wordt naleving niet gevormd door de eigen waarden van een organisatie. Het geeft juist antwoord op de vraag of een organisatie zich wel of niet aan de regels houdt die voor hun gelden. Regelgeving zoals de EU AI Act legt risicoclassificaties, transparantieverplichtingen en menselijk toezicht op voor systemen met een hoog risico. Organisaties hanteren ook steeds vaker uit zichzelf raamwerken zoals het NIST AI-raamwerk voor risicobeheer om een geloofwaardige, gestructureerde aanpak te tonen, zelfs op gebieden waar de wetgeving nog geen voetslag heeft gezet.

De belangrijkste verschillen tussen AI-governance en AI-naleving

AI-governance werkt intern en proactief; het vindt zijn oorsprong binnen een organisatie en weerspiegelt de normen waaraan deze zich houdt. AI-naleving is extern en gebaseerd op bewijs, waarbij wordt gevalideerd dat de organisatie voldoet aan regels die door anderen zijn opgesteld, en is afhankelijk van de documentatie die de organisatie kan overleggen. Governance vraagt of een organisatie AI op verantwoorde wijze beheert en bouwt de controles om dit te doen. Naleving vraagt of de organisatie aan de regels voldoet en bewijs kan overleggen om dit aan te tonen. Hieronder staan de belangrijkste verschillen tussen AI-governance en AI-compliance.

Hoe AI-governance en AI-compliance samenwerken

AI-governance en AI-naleving zijn, ondanks hun verschillen, van elkaar afhankelijk. Zodra een organisatie haar gebruiksscenario’s heeft geclassificeerd, eigenaren heeft toegewezen en monitoring heeft ingebouwd in hoe AI wordt uitgevoerd, wordt het voldoen aan een externe vereiste grotendeels een kwestie van verwijzen naar beheermaatregelen die al bestaan. Naleving zonder governance is documentatie waar verder niets achter zit: het papierwerk voldoet aan een controlelijst, terwijl de regels in de praktijk niet worden gehandhaafd. Werkelijke AI-naleving is alleen langdurig mogelijk wanneer AI-governance achter de schermen het werk doet.

AI heeft zowel governance als naleving nodig

Als AI-governance of AI-naleving over het hoofd wordt gezien, dan heeft dit aanzienlijke gevolgen. Als uw organisatie niet aan de naleving voldoet, stelt u uw organisatie bloot aan regelgevende sancties en blijvende reputatieschade. Als governance over het hoofd wordt gezien, kan dit leiden tot onveilige AI-adoptie en een hoger risico op shadow AI. Beide risico’s nemen toe zodra AI-agenten meer geprivilegieerde toegang krijgen binnen uw omgeving. Het is dus essentieel om deze agenten te besturen en te beveiligen om gevoelige gegevens te beschermen.

Beveilig uw AI-agents en geprivilegieerde toegang met Keeper^® om toegang met minimale privileges te handhaven, een gedetailleerde audit-trail bij te houden en zowel menselijke als machine-identiteiten te beheren.

Elke AI-installatie is afhankelijk van vertrouwde toegang tot bedrijfssystemen. Of een AI-assistent nu verbinding maakt met Microsoft 365, Salesforce, SharePoint of een interne kennisbank: deze authenticeert, haalt informatie op en voert acties uit met behulp van aanmeldingsgegevens en machtigingen die moeten worden verleend en beheerd. Daarom introduceert elke installatie nog een identiteit die moet worden beveiligd.

In klantgesprekken en directieoverleggen draaien gesprekken over AI doorgaans om productiviteitswinst, governance-beleid en acceptabel gebruik. Er is beperkte aandacht voor de identiteiten die zijn gemaakt om deze technologieën te ondersteunen.

Welke nieuwe identiteiten maken we dus tijdens dit proces?

Het antwoord heeft implicaties die veel verder reiken dan AI-adoptie.

Hoe AI het identiteitsaanvalsoppervlak voor MSP’s vergroot

Laten we bekijken wat er gebeurt als een bedrijf een nieuwe AI-tool implementeert:

Een marketingteam verbindt een AI-schrijfassistent met SharePoint. Het verkoopteam schakelt een AI-gestuurde CRM-assistent in. Een klantenservicemanager lanceert een chatbot die verbonden is met interne documentatie. Processen automatiseren repetitieve workflows met behulp van AI-gestuurde orkestratie.

Elke installatie lijkt een geïsoleerde productiviteitsverbetering te zijn. Vanuit een beveiligingsperspectief gaan de implicaties echter veel dieper.

Elk van deze oplossingen vereist vertrouwde toegang om de taken uit te voeren waarvoor ze is ontworpen. Sommige authenticeren via OAuth-verbindingen, terwijl andere vertrouwen op API-sleutels, serviceaccounts, machine-aanmeldingsgegevens of toegangstokens. Elk ontvangt toestemming om informatie op te halen, te communiceren met bedrijfsapplicaties en acties uit te voeren namens gebruikers. Deze identiteiten trekken afzonderlijk gezien zelden de aandacht. Samen beginnen ze uit te breiden wat veel organisaties nooit meten: hun identiteitsaanvalsoppervlak.

Door de snelle opmars van AI binnen de organisatie is deze uitdaging moeilijk te negeren. Volgens de Werktrendindex 2025 van Microsoft geeft 82% van de zakelijke leiders aan dat dit een cruciaal jaar is om de belangrijkste aspecten van strategie en processen te heroverwegen met behulp van AI. Uit het rapport bleek ook dat 46% van de organisaties al AI-agents gebruikt om workflows of bedrijfsprocessen volledig te automatiseren, wat illustreert hoe snel AI overgaat van experimenteren naar de dagelijkse praktijk.

Die cijfers wijzen op meer dan alleen toegenomen AI-gebruik.

Ze wijzen op een groeiend aantal applicaties, workflows en geautomatiseerde processen die vertrouwde toegang vereisen in bedrijfsomgevingen.

Waarom niet-menselijke identiteiten (NHI’s) verborgen risico’s creëren

Traditionele identiteitsprogramma’s waren ontworpen rond mensen. Een medewerker treedt toe tot de organisatie, krijgt een account, krijgt toegang tot de juiste systemen en uiteindelijk wordt die toegang ingetrokken wanneer de medewerker van functie verandert of het bedrijf verlaat. Hoewel dat proces niet altijd naadloos verloopt, volgt het een voorspelbare levenscyclus met gedefinieerd eigenaarschap.

AI doet dat niet.

Een AI-assistent kan zich authenticeren via een OAuth-token. Een platform voor workflowautomatisering kan afhankelijk zijn van meerdere serviceaccounts en API-sleutels. Een autonome agent kan toegang krijgen tot diverse bedrijfsapplicaties met behulp van machinale aanmeldingsgegevens, die continu actief zijn zonder directe menselijke tussenkomst. In tegenstelling tot medewerkersaccounts worden deze identiteiten vaak direct aangemaakt tijdens de installatie van de applicatie of door individuele beheerders, ontwikkelaars en zakelijke gebruikers die AI-tools koppelen aan bestaande systemen.

Veel van deze identiteiten bestaan buiten de processen die organisaties al hanteren om werknemers te beheren. Sommige blijven nog lang actief nadat ze niet meer nodig zijn, omdat het verwijderen ervan werkprocessen kan onderbreken of integraties kan verbreken. In de loop van de tijd bouwen organisaties honderden of zelfs duizenden identiteiten op die niet aan een persoon zijn gekoppeld, maar wel legitieme toegang hebben tot belangrijke bedrijfssystemen.

Beveiligingsprofessionals noemen deze gezamenlijk niet-menselijke identiteiten (NHI’s): digitale identiteiten die worden gebruikt door applicaties, services, werklasten en geautomatiseerde processen in plaats van werknemers. Hoewel de term voor sommige organisaties mogelijk onbekend is, is het concept dat niet. Elke API-sleutel, OAuth-verbinding, serviceaccount, machine-aanmeldingsgegeven en AI-agent die handelt namens een gebruiker, vertegenwoordigt nog een identiteit met geprivilegieerde toegang die gedurende de gehele levenscyclus moet worden beheerd.

Het aantal NHI’s blijft groeien. Elke nieuwe AI-installatie, geautomatiseerde workflow en systeemintegratie brengt aanmeldingsgegevens, serviceaccounts en machine-identiteiten met zich mee die governance vereisen. Naarmate meer applicaties, workflows en systemen met elkaar verbonden raken, wordt het steeds moeilijker om overzicht te behouden.

Dit is niet zomaar een inventarisprobleem. Het is een zichtbaarheids- en controleprobleem.

Organisaties kunnen identiteiten waarvan ze het bestaan niet kennen niet effectief beveiligen, machtigingen die ze niet kunnen zien niet regelmatig controleren, of toegang waarvan ze zich niet realiseren dat deze is verleend niet intrekken.

Helaas hoeven aanvallers zich geen zorgen te maken over die beperking.

Waarom aanvallers zich richten op onbeheerde machine-identiteiten

Cybercriminelen maken geen onderscheid tussen menselijke en machine-identiteiten. Ze zijn gewoon op zoek naar de snelste weg naar waardevolle systemen en gevoelige gegevens.

Phishingcampagnes en diefstal van aanmeldingsgegevens waren jarenlang vooral gericht op medewerkers, omdat gebruikersaccounts de meest directe toegang tot de omgeving van een organisatie vormden. Die realiteit is niet veranderd, maar het aantal potentiële toegangspunten wel.

Hedendaagse aanvallers maken steeds vaker misbruik van API-sleutels, serviceaccounts, toegangstokens en machine-aanmeldingsgegevens, omdat deze identiteiten vaak opereren met brede machtigingen, persistente toegang en veel minder toezicht dan traditionele gebruikersaccounts. In tegenstelling tot een medewerkersaccount zal een serviceaccount een onverwacht verzoek niet in twijfel trekken, meldt een API-sleutel geen verdachte activiteiten en kan een AI-agent niet herkennen dat deze communiceert met een kwaadaardig systeem. Als deze identiteiten gecompromitteerd zijn, bieden ze aanvallers vaak precies datgene wat ze nodig hebben: legitieme toegang.

Volgens het Bedreigingsdetectie-rapport 2025 van Red Canary stegen identiteitsaanvallen met 850% ten opzichte van 2024 en maakten deze in 2025 53% van het totale detectievolume uit, wat de toenemende afhankelijkheid van aanvallers van diefstal van aanmeldingsgegevens en op identiteit gebaseerde aanvalstechnieken onderstreept.

Elke nieuwe AI-installatie introduceert nog een machine-identiteit, serviceaccount of aanmeldingsgegeven in de omgeving.

De uitdaging is niet simpelweg dat er meer identiteiten bestaan. Het is dat velen meer machtigingen krijgen dan nodig is, langer actief blijven dan bedoeld of werken zonder voortdurende monitoring. Deze problemen lijken op zich misschien onbeduidend. Gezamenlijk creëren zij een steeds groter wordende verzameling van vertrouwde identiteiten die aanvallers kunnen misbruiken.

Hoe meer organisaties ervoor kiezen om te automatiseren, hoe belangrijker het wordt om niet alleen te weten wie toegang heeft tot kritieke systemen, maar ook wat toegang heeft.

Waarom AI-identiteitsbeveiliging belangrijk is voor MSP’s

Voor de meeste organisaties is het beheer van dit groeiende identiteitsecosysteem niet alleen een technische uitdaging, maar vormt het ook een uitdaging op het gebied van zichtbaarheid.

Veel bedrijven weten simpelweg niet hoeveel NHI’s er in hun omgevingen bestaan, tot welke systemen ze toegang hebben of dat die machtigingen nog vereist zijn. AI-initiatieven worden vaak gedreven door individuele afdelingen, ontwikkelaars of bedrijfseenheden die gericht zijn op het oplossen van directe uitdagingen. Identiteitsbeheer op lange termijn maakt zelden deel uit van het gesprek.

Voor MSP’s is dit het punt waarop expertise onderscheidend wordt.

In het verleden hebben MSP’s klanten geholpen bij het beveiligen van eindpunten, het beheren van infrastructuur en het implementeren van cyberbeveiligingsoplossingen. Naarmate klanten AI integreren in hun bedrijfsvoering, zullen zij vertrouwen op vertrouwde adviseurs om te helpen bij het beheren van de aanmeldingsgegevens, machtigingen en machine-identiteiten die deze technologieën met zich meebrengen.

Om klanten te helpen deze verandering het hoofd te bieden, moeten eerst andere vragen worden gesteld:

• Welke AI-toepassingen hebben momenteel toegang tot kritieke bedrijfssystemen?
• Welke serviceaccounts en API-sleutels zijn nog actief vereist?
• Wie is de eigenaar van elke machine-identiteit?
• Zijn de machtigingen afgestemd op het principe van minimale privileges?
• Hoe worden aanmeldingsgegevens gerouleerd, gecontroleerd en beschermd?

Door deze discussies te initiëren en opnieuw te bekijken naarmate AI-omgevingen zich ontwikkelen, kunnen MSP’s hun rol uitbreiden van technologieleverancier naar strategisch adviseur. Door klanten te helpen AI-gerelateerde identiteiten te beheren, kunnen MSP’s het risico op de lange termijn minimaliseren en tegelijkertijd verantwoorde AI-adoptie mogelijk maken.

Hoe KeeperMSP klanten kan helpen om een veilige AI-basis op te bouwen

Inzicht in het probleem is slechts de eerste stap. Om klanten te helpen dit aan te pakken, is het juiste fundament voor identiteitsbeveiliging vereist.

Voor MSP’s houdt dit in dat zij hun klanten moeten helpen bij het implementeren van een raamwerk waarmee geprivilegieerde toegang op consistente wijze kan worden beheerd voor zowel menselijke als machine-identiteiten. Het betekent het beveiligen van aanmeldingsgegevens, het afdwingen van toegang met minimale privileges, het beschermen van geheimen, het monitoren van geprivilegieerde sessies en het behouden van zichtbaarheid gedurende de levenscyclus van identiteiten.

In plaats van AI-gerelateerde toegang als een afzonderlijke beveiligingsuitdaging te behandelen, dienen MSP’s klanten aan te moedigen om dit op te nemen in hun bredere strategie voor identiteitsbeveiliging. Of de toegang nu betrekking heeft op een medewerker, een applicatie, een AI-agent of een geautomatiseerde workflow, er gelden altijd dezelfde basisprincipes: controleer de toegang, pas het principe van minimale privileges toe, bescherm aanmeldingsgegevens en monitor continu de activiteiten. Een geïntegreerde aanpak vermindert de complexiteit, terwijl klanten consistente beveiligingscontroles behouden naarmate hun omgevingen zich blijven ontwikkelen.

KeeperMSP is ontwikkeld met het oog op deze uitdagingen. Dankzij de zero-knowledge beveiligingsarchitectuur, de wachtwoordbeheerder voor ondernemingen, Privileged Access Management (PAM), geheimenbeheer en mogelijkheden voor veilige externe toegang stelt Keeper providers in staat om klanten te helpen bij het beveiligen van de aanmeldingsgegevens, geheimen en de toegangspaden voor geprivilegieerde toegang, waar aanvallers zich graag op richten. In plaats van te vertrouwen op zelfstandige tools, kunnen MSP’s zowel menselijke als machine-identiteiten beheren via één platform dat is gebouwd op zero-trust principes en continue toegangsbeheer.

Voor MSP’s heeft dit veel meer waarde dan alleen de technologie. Het biedt de zichtbaarheid, controle en schaalbaarheid die nodig zijn om klanten te helpen AI te omarmen, terwijl hun identiteitsaanvalsoppervlak niet groter wordt dan hun beveiligingsstrategie.

Elke AI-installatie creëert nieuwe risico’s voor identiteitsbeveiliging

Door elke AI-implementatie wordt het identiteitsecosysteem van een organisatie uitgebreid, en daarmee ook de verantwoordelijkheid om elke nieuwe identiteit met dezelfde zorgvuldigheid te beheren als menselijke identiteiten. Organisaties die dit verband vroegtijdig identificeren, zullen beter gepositioneerd zijn om te innoveren zonder hun aanvalsoppervlak onnodig te vergroten.

Voor MSP’s betekent het helpen van de door hen beheerde bedrijven bij het begrijpen en beheren van deze identiteiten veel meer dan alleen het implementeren van nog een nieuwe technologie. Het plaatst MSP’s voorop in een van de belangrijkste ontwikkelingen op het gebied van cyberbeveiliging sinds de overstap naar cloudcomputing. MSP’s kunnen hun rol als onmisbare adviseurs versterken door klanten te helpen bij het omgaan met de uitdagingen van AI. Zo kunnen organisaties gelijke tred houden met innovatie, zonder dat dit ten koste gaat van de zichtbaarheid of controle.

Omdat elke AI-installatie meer met zich meebrengt dan een nieuwe functionaliteit. Het introduceert nog een identiteit om te beveiligen.

Ontdek het Keeper MSP-partnerprogramma en lees hoe het MSP’s helpt om de groeiende identiteitsvoetafdruk van AI aan te pakken.

Hier is een gestructureerde cyberbeveiligingschecklist voor MSSP’s die een controleerbaar kader biedt om ervoor te zorgen dat toegang veilig en consistent wordt toegepast in interne systemen en klantomgevingen.

1. Implementeer een zero-trust beveiligingsmodel

Zero-trust beveiliging werkt volgens het principe dat geen enkele gebruiker, apparaat of sessie impliciet wordt vertrouwd en dat elk toegangsverzoek moet worden geverifieerd, ongeacht de locatie. Voor MSSP’s is dit kader van toepassing op elke operationele laag, van intern personeel dat toegang heeft tot platforms tot technici die toezicht houden op klantsystemen. Elk contactpunt vergroot het aanvalsoppervlak van de organisatie en het wegnemen van impliciet vertrouwen is essentieel om een sterke beveiliging te behouden. Dit is cruciaal voor MSSP’s die omgevingen met meerdere tenants beveiligen, omdat gecompromitteerd aanmeldingsgegevens of een ongeautoriseerde sessie het risico kan vergroten als er geen zero-trust controles zijn geïmplementeerd. Het afdwingen van verificatie op elk toegangspunt helpt dit risico in te dammen en houdt klantomgevingen goed van elkaar geïsoleerd.

2. Dwing toegang met minimale privileges af in alle klantomgevingen

Toegang met minimale privileges betekent dat elke gebruiker, elk systeem en elke toepassing alleen werkt met de machtigingen die nodig zijn om een specifieke functie uit te voeren. Voor MSSP’s, waar technici routinematig tussen klantomgevingen schakelen, is het beheren van die toegang belangrijk om te beschermen tegen zowel interne als externe risico’s. In de praktijk moet toegang klantspecifiek en tijdelijk zijn. Een technicus die bijvoorbeeld is ingericht om firewallonderhoud uit te voeren voor één klant, mag geen permanente toegang hebben tot de omgeving van een andere klant en de toegang moet direct na voltooiing van de taak worden ingetrokken.

3. Elimineer onveilig delen van aanmeldingsgegevens

Het delen van wachtwoorden via e-mail of het opslaan ervan in spreadsheets is een van de meest voorkomende, maar vermijdbare beveiligingsrisico’s voor MSSP’s. Aanmeldingsgegevens die zonder de juiste beveiligingscontroles worden verwerkt, zijn kwetsbaar voor onderschepping en laten geen auditspoor achter. Voor MSSP’s die aanmeldingsgegevens beheren in veel klantomgevingen, neemt de potentiële blootstelling snel toe. Veilig, kluisgebaseerd beheer van aanmeldingsgegevens zou deze praktijken volledig moeten vervangen. Speciale wachtwoordbeheerders zijn gebouwd om de opslag van aanmeldingsgegevens te centraliseren, granulaire toegangscontroles af te dwingen en een gedetailleerd overzicht bij te houden van wie wanneer toegang had tot wat.

4. Beveilig en beheer aanmeldingsgegevens centraal

Naarmate een MSSP meer klanten toevoegt, groeit het aantal te beheren wachtwoorden, serviceaccounts, API-sleutels en geprivilegieerde aanmeldingsgegevens snel. Zonder een uniform systeem kunnen die aanmeldingsgegevens verspreid raken over klantomgevingen, wat de zichtbaarheid en controle beperkt. Een versleuteld, kluisgebaseerd platform houdt aanmeldingsgegevens centraal beheerd en alleen toegankelijk volgens de rol van een technicus. Het biedt ook auditeerbare machtigingen en activiteit, terwijl het offboarden van technici en het rouleren van aanmeldingsgegevens wordt vereenvoudigd.

5. Bescherm niet-menselijke identiteiten (NHI’s)

Niet-menselijke identiteiten (NHI’s) zoals serviceaccounts, tokens en AI-agenten zijn enkele van de meest over het hoofd geziene aanvalsvectoren in MSSP-omgevingen. In tegenstelling tot gebruikersaccounts voor mensen, werken NHI’s doorgaans zonder meerledige verificatie (MFA) en verzamelen ze vaak machtigingen die verder gaan dan hun oorspronkelijke functie. Een van de meest voorkomende blootstellingspunten is wildgroei van geheimen, waarbij geheimen rechtstreeks worden opgenomen in code, scripts of configuratiebestanden die worden gedeeld tussen teams of worden vergeten in verouderde systemen. In een MSSP-context kan één hardgecodeerd geheim in een gedeelde repository meerdere klanten tegelijkertijd blootstellen, omdat automatiseringsscripts en integraties mogelijk worden hergebruikt in verschillende klantomgevingen. Een gecentraliseerde geheimenbeheerder zoals Keeper, die NHI-aanmeldingsgegevens opslaat en rouleert, helpt ervoor te zorgen dat geheimen nooit in leesbare tekst worden opgeslagen en onderworpen zijn aan dezelfde toegangscontroles als menselijke identiteiten.

6. Gebruik JIT-toegang voor gepriviligeerde accounts

Just-in-time (JIT) toegang verleent alleen verhoogde machtigingen wanneer dat nodig is voor een specifieke taak en trekt de toegang automatisch in zodra de taak is voltooid. In plaats van permanente toegang voor onbepaalde tijd te behouden, zorgt JIT-toegang ervoor dat verhoogde machtigingen alleen bestaan zolang ze nodig zijn. Voor MSSP’s brengt permanente toegang tot de klantinfrastructuur elke klantomgeving in gevaar. Als een technicus met permanente toegang tot de systemen van een client gecompromitteerde aanmeldingsgegevens heeft, is die toegang onmiddellijk beschikbaar voor een aanvaller. JIT-toegang elimineert dat venster omdat elke gepriviligeerde sessie op aanvraag wordt ingericht, is gericht op specifieke systemen en automatisch verloopt.

7. Monitor en registreer alle sessies

Beheer van geprivilegieerde sessies biedt realtime inzicht in elke geprivilegieerde sessie, volgt activiteit terwijl deze plaatsvindt en onderhoudt een volledige, van tijdstempels voorziene registratie voor auditdoeleinden. In een omgeving met meerdere clients, waar meerdere technici tijdens verschillende sessies en tijdsperioden toegang kunnen hebben tot dezelfde omgeving, maakt volledige zichtbaarheid het mogelijk om verantwoording af te dwingen. Het in real-time detecteren van verdacht gedrag is net zo belangrijk als het achteraf beschikken over een registratie. Een sessie die afwijkt van de verwachte activiteit, waaronder toegang tot systemen buiten het gedefinieerde bereik of het uitvoeren van ongebruikelijke opdrachten, kan worden gemarkeerd en beëindigd voordat de activiteit escaleert. Met realtime sessiemonitoring is elke actie die tijdens een geprivilegieerde sessie wordt ondernomen controleerbaar en toewijsbaar, zowel intern als voor klanten die transparantie verwachten.

8. Beveilig alle eindpunten in klantomgevingen

Elk eindpunt in elke klantomgeving is een potentieel toegangspunt en in omgevingen met meerdere tenants kan één verkeerd geconfigureerd of onbeheerd apparaat op een klantnetwerk het risico uitbreiden tot buiten die organisatie. Door consistente controles op apparaatniveau en beveiligingsbeleid af te dwingen op alle beheerde eindpunten, wordt die beveiligingskwetsbaarheid op grote schaal verholpen. Configuratiehandhaving zorgt ervoor dat eindpunten in elke klantomgeving voldoen aan een gedefinieerde beveiligingsbasislijn, inclusief encryptienormen, toepassingscontroles en patchniveaus. Met het juiste beheer van eindpuntprivileges kunnen MSSP’s minimale privileges afdwingen op eindpunten, waarbij specifieke toepassingen of processen worden verhoogd wanneer dit legitiem vereist is, terwijl permanente beheerdersrechten die geen doel dienen, worden verwijderd.

9. Behoud volledige zichtbaarheid en auditsporen

In een omgeving met meerdere clients is het cruciaal om te weten wie wanneer toegang had tot wat. Uitgebreide auditsporen consolideren die zichtbaarheid in één enkel record, waarbij elke aanmelding en machtigingswijziging wordt toegeschreven aan een specifieke gebruiker en tijd in elke beheerde omgeving. Bij incidentrespons verkorten auditsporen de tijd tussen de detectie van dreigingen en de inperking ervan. In plaats van handmatig een tijdlijn op te bouwen uit gefragmenteerde logs, beschikken responsmedewerkers direct over een nauwkeurig overzicht van wat er is gebeurd. Voor compliance tonen auditsporen toegangscontroles, functiescheiding en de integriteit van gepriviligeerde activiteit aan, zoals vereist door kaders zoals CMMC, AVG, SOC 2 en HIPAA. MSSP’s die gereguleerde sectoren ondersteunen, moeten de rapportage en beveiligingsmaatregelen bieden die hun klanten nodig hebben om auditklaar te blijven.

Hoe Keeper^® MSSP’s helpt de beveiliging te versterken

Keepers uniforme identiteitsbeveiligingsplatform is ontworpen om de unieke uitdagingen aan te pakken waar MSSP’s mee te maken krijgen bij het op schaal beheren van gepriviligeerde toegang, aanmeldingsgegevens en identiteiten in klantomgevingen.

Zero-knowledge architectuur ter ondersteuning van multi-tenant beveiliging

Een van de grootste bedreigingen in omgevingen met meerdere tenants is het risico op compromittering tussen klanten. Keepers zero-knowledge architectuur zorgt ervoor dat gegevens op apparaatniveau worden versleuteld en ontsleuteld, wat betekent dat zelfs Keeper geen toegang heeft tot opgeslagen gegevens. Keeper biedt ook een gecentraliseerde beheerconsole die strikte isolatie van tenants afdwingt. Er is geen mogelijkheid voor gegevens of toegang om zich tussen klantomgevingen te verplaatsen. Met Keeper blijft elke tenant volledig gecompartimenteerd, wat het risico elimineert op laterale beweging, wat MSSP’s tot aantrekkelijke doelwitten voor aanvallers maakt.

Wachtwoordbeheer voor veilige opslag van aanmeldingsgegevens

Keepers versleutelde kluis biedt een zero-knowledge omgeving voor het opslaan en beheren van aanmeldingsgegevens, waardoor wachtwoorden nooit in leesbare tekst worden blootgesteld. Veilig delen stelt teams in staat om toegang tot aanmeldingsgegevens te verlenen zonder ooit het onderliggende wachtwoord bloot te stellen, wat toegang gecontroleerd en intrekbaar maakt. Voor situaties waarin aanmeldingsgegevens moeten worden gedeeld met klanten of externe leveranciers, levert Eenmalig delen aanmeldingsgegevens via een tijdgebonden, versleutelde link die na één keer gebruiken vervalt. Dit veilige, tijdelijke delen elimineert het risico dat aanmeldingsgegevens in e-mails blijven staan of naar de verkeerde ontvanger worden verzonden, waardoor zowel interne als externe blootstelling wordt verminderd.

PAM voor JIT-toegang en sessiebeheer

KeeperPAM^® dwingt op rollen gebaseerde toegangscontrole (RBAC) af die ervoor zorgt dat technici alleen werken met de machtigingen die hun rollen en taken vereisen, per klant worden afgebakend en na gebruik automatisch worden ingetrokken. JIT-inrichting elimineert permanente privileges binnen de klantinfrastructuur, waardoor de mogelijkheden voor permanente toegang om schade aan te richten worden beperkt. KeeperAI^® biedt realtime dreigingsdetectie, markeert verdacht gedrag en houdt een volledig auditspoor bij voor elke sessie om MSSP’s de zichtbaarheid en verantwoording over klanten heen te bieden die vereist is voor compliance.

Geheimenbeheer voor het beschermen van NHI’s

Keeper Secrets Manager biedt veilige, gecentraliseerde opslag voor NHI’s zoals API-sleutels, serviceaccounts, tokens en aanmeldingsgegevens voor machines, waardoor het niet langer nodig is om geheimen hard op te nemen in scripts of configuratiebestanden. De verspreiding van geheimen in klantomgevingen wordt ingedamd door een gecentraliseerde beheerlaag met volledige toegangscontroles en ingebouwde roulatiemogelijkheden. Native integraties met DevOps-workflows en CI/CD-pijplijnen zorgen ervoor dat NHI-beveiliging niet voor frictie zorgt bij teams, terwijl dezelfde beveiligingsnormen als voor mensen worden gehandhaafd.

Beheer van eindpuntprivileges om minimale privileges af te dwingen

Keeper Endpoint Privilege Manager (EPM) verwijdert permanente lokale beheerdersrechten op beheerde eindpunten en dwingt toegang met minimale privileges af op apparaatniveau. Dit voorkomt de escalatie van privileges, waar aanvallers op vertrouwen om zich lateraal te verplaatsen zodra ze zich in een omgeving bevinden. Verhoging op toepassingsniveau stelt specifieke processen in staat om met verhoogde machtigingen te worden uitgevoerd wanneer dit operationeel vereist is, zonder algemene beheerderstoegang te verlenen die veel verder gaat dan het beoogde gebruiksdoel. KeeperEPM breidt governance ook uit naar agentische AI, waarbij wordt gecontroleerd wie agents op een eindpunt mag uitvoeren, wat die agents namens een gebruiker kunnen doen en hoe agents verhoging van rechten aanvragen. Voor een grote klantenportefeuille fungeert EPM als een uniforme governancelaag voor zowel menselijke als machine-identiteiten, zonder dat voor elke organisatie een individuele configuratie vereist is.

Verbeter MSSP-beveiliging met Keeper

Toegangscontrole is een van de belangrijkste, maar ook een van de meest misbruikte beveiligingskwesties waar MSSP’s mee te maken hebben. Omdat MSSP’s worden toevertrouwd met geprivilegieerde toegang in klantomgevingen, hebben ze gestructureerde, consistente en continu afgedwongen beveiligingscontroles nodig. Deze checklist dient als praktische gids voor MSSP’s om de kracht van bestaande controles te evalueren en potentiële hiaten in het afdwingen van minimale privileges, NHI-bescherming en eindpuntbeveiliging te identificeren. KeeperMSP stelt MSSP’s in staat om deze best practices in elke klantomgeving te implementeren vanuit een gecentraliseerde console, zonder de isolatie en verantwoording in gevaar te brengen die elke tenant vereist.

Start uw gratis proefperiode van KeeperPAM voor MSP’s om te zien hoe Keepers uniforme platform de volledige reikwijdte van de beveiligingsvereisten voor MSSP’s ondersteunt.

Dat vertrouwen creëert enorme waarde. En het creëert ook een verhoogde verantwoordingsplicht.

Jarenlang beoordeelden MSP’s leveranciers voornamelijk op basis van functionaliteit, integratiemogelijkheden, gemak van installatie en ondersteuning. Beveiliging was zeker een overweging, maar vormde vaak een van de vele factoren die een nieuwe aankoopbeslissing beïnvloeden. Er staan tegenwoordig andere zaken op het spel.

Cyberaanvallen zijn kostbaarder geworden, bedreigers hebben zich ontwikkeld en kleine en middelgrote bedrijven staan onder toenemende druk van toezichthouders en verzekeraars om effectieve cyberbeveiligingspraktijken aan te tonen.

Tegelijkertijd onderzoeken organisaties die het slachtoffer zijn geworden van cyberincidenten niet alleen hoe aanvallers toegang hebben gekregen, maar ook of vertrouwde leveranciers hun zorgvuldigheidsplicht hebben nageleefd om dit te helpen voorkomen. De implicaties zijn duidelijk: het kiezen van technologiepartners is veel meer geworden dan alleen een inkoopbeslissing. Het wordt nu gevormd door beveiligingsvereisten, bedrijfsresultaten en prioriteiten voor risicobeheer.

Elke beveiligingsleverancier die een MSP introduceert, wordt onderdeel van de verdedigingsstrategie van die klant. Elke wachtwoordbeheerder, back-upoplossing, platform voor externe toegang, identiteitsprovider en tool voor geprivilegieerde toegang is een extra vertrouwenslaag. Wanneer die technologieën presteren zoals verwacht, helpen ze organisaties om het risico te verminderen. Wanneer ze hierin falen, kunnen de gevolgen ernstig zijn.

Voor MSP’s die tientallen of zelfs honderden klantomgevingen beheren, kan het selecteren van de juiste technologiepartners een van de belangrijkste beveiligingsbeslissingen zijn die zij kunnen nemen.

De unieke risico’s op het gebied van cyberbeveiliging waar MSP’s mee te maken hebben

Moderne aanvallers zoeken niet alleen naar kwetsbaarheden; zij zoeken naar middelen om hun effect te vergroten. In plaats van organisaties één voor één aan te vallen, richten veel kwaadwillenden zich op vertrouwde relaties die toegang kunnen bieden tot vele onderliggende omgevingen. En MSP’s vertegenwoordigen precies dat soort kansen.

Een typische MSP beheert onder andere infrastructuur, identiteiten, eindpunten, back-upsystemen, tools voor externe toegang en beveiligingscontroles in tientallen of honderden klantomgevingen. Het compromitteren van een service provider kan gevolgen hebben die veel verder reiken dan één enkele organisatie.

Volgens het onderzoeksrapport van Verizon in 2025 over datalekken is de betrokkenheid van derden bij datalekken verdubbeld tot 30%, terwijl misbruik van aanmeldingsgegevens met 22% nog steeds een van de belangrijkste aanvalsvectoren voor het verkrijgen van initiële toegang was. Ondertussen bleek uit het rapport over de kosten van datalekken van IBM dat de gemiddelde kosten van een datalek in de VS nu $ 10,22 miljoen bedragen. Voor MSP’s die verantwoordelijk zijn voor het beschermen van afzonderlijke klantomgevingen, onderstrepen deze trends de groeiende behoefte aan due diligence van leveranciers, identiteitsbeveiliging en geprivilegieerde toegangscontroles.

Al met al onderstrepen deze bevindingen een realiteit die MSP’s maar al te goed begrijpen: aanvallers dringen niet altijd binnen. Doorgaans melden ze zich gewoon aan.

Aangezien MSP’s centraal staan in zoveel vertrouwensrelaties, is de beveiligingspositie van elke leverancier in de stack van belang. Of er nu een zwakte bestaat in een back-upplatform, een oplossing voor externe toegang of een identiteitsbeheersysteem: de gevolgen kunnen zich uitstrekken over talloze klantomgevingen.

Hoe groter het klantenbestand, des te groter de gevolgen.

Wat recente rechtszaken over cyberbeveiliging betekenen voor de verantwoordingsplicht van MSP’s

De belangrijkste verschuiving op het gebied van cyberbeveiliging is wellicht dat organisaties zich steeds vaker afvragen wie er na een inbreuk aansprakelijk moet worden gesteld. Er wordt meer nadruk gelegd op de vraag of er vóór een aanval redelijke beveiligingscontroles aanwezig waren. En die controle reikt verder dan alleen de bedreigers en strekt zich ook uit tot de leveranciers, consultants en service providers die zijn ingehuurd om deze omgevingen te beveiligen.

Er zijn een aantal recente voorbeelden die deze ontwikkeling aantonen.

Zoals is gerapporteerd door CSO Online, eist Clorox ongeveer $ 380 miljoen aan schadevergoeding van Cognizant. Clorox beweert dat tekortkomingen op het gebied van identiteitsverificatie en procedures voor het opnieuw instellen van aanmeldingsgegevens hebben bijgedragen aan een cyberaanval die de bedrijfsactiviteiten aanzienlijk heeft verstoord.

Wat deze zaak opvallend maakt, is dat de beschuldigingen zich richten op identiteitsverificatie en niet op geavanceerde technische uitbuitingen. De klacht heeft betrekking op de vraag of er passende maatregelen waren getroffen om gebruikers nauwkeurig te verifiëren voordat er toegang werd verleend. Hoewel moderne cyberbeveiliging zeer complex is, kan een eenvoudige tekortkoming in de identiteitscontrole wellicht een ideale gelegenheid voor de aanval hebben gecreëerd.

De MSP-gemeenschap is ook getuige geweest van rechtszaken waarbij service providers en hun technologiepartners direct betrokken waren. Volgens een artikel van ChannelE2E heeft het in Sacramento gevestigde advocatenkantoor Mastagni Holstedt zowel zijn MSP, LanTech, als zijn back-upleverancier, Acronis, aangeklaagd na een verwoestend ransomware-incident. De rechtszaak eiste meer dan $ 1 miljoen aan schadevergoeding, wat zorgen oproept over de technologieën en herstelcapaciteiten die zijn ingezet.

Of de beklaagden uiteindelijk in het gelijk worden gesteld, is niet waar het om draait. Het belangrijkste is dat de rechtszaak überhaupt is aangespannen. De eindklant richtte zich niet enkel op de aanvallers. In plaats daarvan is het advocatenkantoor dieper ingegaan op de organisaties die belast zijn met het helpen voorkomen van en herstellen na het incident. Als versterking van deze trend meldde BleepingComputer dat Marquis Software Solutions een rechtszaak heeft aangespannen tegen SonicWall na een ransomware-incident dat naar verluidt is gekoppeld aan een compromittering van back-upapparatuur.

Deze zaken hebben, afzonderlijk bekeken, betrekking op verschillende technologieën, sectoren en omstandigheden. Ze hebben allemaal echter één terugkerend thema gemeen: organisaties verwachten van de leveranciers en service providers die zij vertrouwen dat zij aantonen dat er vóór een incident al doeltreffende beveiligingsmaatregelen waren getroffen. De algemeen juridisch adviseur van Keeper, David Oskin, bevestigt nogmaals:

De wettelijke en regelgevende omgeving voor MSP’s is steeds complexer geworden, waardoor het steeds belangrijker is geworden om goed voorbereid te zijn op rechtszaken en risico’s te beheersen.

Hoewel de details van elke beschuldiging verschillen, hebben ze allemaal te maken met vertrouwen. Belangrijker nog is de onderliggende vraag: hadden deze providers meer kunnen doen om het risico voor hun klanten te verminderen?

Organisaties vertrouwen op leveranciers voor het beschermen van gevoelige gegevens. Zij vertrouwen erop dat service providers de nodige beveiligingsmaatregelen implementeren. Zij vertrouwen erop dat beveiligingstechnologieën tijdens een crisis naar verwachting presteren. Wanneer dat vertrouwen wordt geschonden, wordt elke beslissing die heeft bijgedragen aan de beveiligingspositie van de organisatie onder de loep genomen.

Waarom identiteitsbeveiliging voor MSP’s op de eerste plaats komt

Een reden waarom de zaak-Clorox zoveel aandacht trok, is dat deze een bredere uitdaging in de sector belicht: identiteit is het belangrijkste strijdtoneel geworden in cyberbeveiliging.

Lange tijd richtten organisaties zich sterk op verdedigingen van perimeters, die was ontworpen om aanvallers te weren. Bedreigers hebben hebben zich de afgelopen jaren aangepast. In plaats van te proberen beveiligingscontroles direct te omzeilen, richten ze zich vaak op de identiteiten die de toegang tot die systemen beheren, inclusief maar niet beperkt tot aanmeldingsgegevens, geprivilegieerde accounts, verificatiewerkstromen, helpdeskprocedures en toegangstokens.

Zodra aanvallers toegang krijgen tot een vertrouwde identiteit, kunnen ze zich vrij door een omgeving bewegen met behulp van legitieme tools en bevoegdheden. Dit verklaart waarom diefstal van aanmeldingsgegevens, phishing, social engineering en misbruik van privileges tot de meest voorkomende aanvalstechnieken behoren die in verschillende sectoren worden waargenomen.

Voor MSP’s is de uitdaging groter. Het beheren van honderden klantomgevingen betekent het beheren van duizenden identiteiten, geprivilegieerde accounts en authenticatie-gebeurtenissen. En elk aanmeldingsgegeven van een beheerder dat wordt gedeeld, onbeheerd geheim en zwak authenticatieproces verhoogt het risiconiveau.

De organisaties die erin slagen risico’s tot een minimum te beperken, zijn doorgaans dezelfde organisaties die identiteitsbeheer beschouwen als een fundamentele beveiligingsmaatregel in plaats van als een op zichzelf staande tool.

Hoe MSP’s leveranciers dienen te evalueren

Moderne cyberbedreigingen vereisen dat MSP’s leveranciers kritischer en vanuit een beveiligingsperspectief evalueren. Productfuncties, supportkwaliteit en het gemak van installatie blijven allemaal cruciale onderdelen. Beveiligingsarchitectuur verdient echter meer aandacht.

Voordat MSP’s een nieuwe oplossing aan hun technologiestack toevoegen, moeten zij het volgende achterhalen:

Uiteindelijk onderscheiden de antwoorden op deze vragen de leveranciers die enkel beveiliging op de markt brengen van degenen die deze in hun oplossingen, architectuur en bedrijfsvoering integreren.

Waarom beveiligingsarchitectuur belangrijk is bij het kiezen van MSP-leveranciers

De rode draad die door de meest schadelijke cyberaanvallen van dit moment loopt, en door een groot deel van het onderzoek dat daarop volgt, is toegang. Voor MSP’s is identiteitsbeveiliging daardoor een cruciale factor bij de keuze van technologiepartners.

Keeper^® is gebouwd om de aanmeldingsgegevens, geprivilegieerde accounts en identiteiten waar aanvallers zich het vaakst op richten, te beschermen. Dankzij de zero-knowledge beveiligingsarchitectuur, de wachtwoordbeheerder voor ondernemingen, beheer van geprivilegieerde toegang, geheimenbeheer en eindpuntprivilegebeheer helpt Keeper organisaties om identiteitsgerelateerde risico’s te minimaliseren voordat aanvallers deze kunnen benutten.

Voor MSP’s houdt dit in dat zij meer inzicht krijgen in geprivilegieerde toegang, dat aanmeldingsgegevens beter worden beschermd en dat zij er meer vertrouwen in hebben dat zij een platform aanbevelen dat is ontworpen voor de beveiliging van elke klantomgeving die zij beheren.

Een hogere standaard voor leveranciersselectie

Elke leverancier die een MSP inschakelt, wordt een verlengstuk van de eigen beveiligingsstrategie. Klanten weten misschien nooit waarom een bepaalde oplossing is gekozen, maar ze zullen de gevolgen zeker ervaren als die keuze niet juist blijkt te zijn.

In een tijdperk waarin cyberrisico’s steeds groter worden, gaat het bij de keuze van een leverancier niet alleen om het vergelijken van functies, prijzen of het gemak bij de installatie. Het gaat erom dat de partners beschikken over de beveiligingsarchitectuur, identiteitsbescherming en operationele volwassenheid die nodig zijn om moderne cyberbedreigingen het hoofd te bieden.

Naarmate die bedreigingen evolueren en de verantwoordelijkheid toeneemt, zullen de leveranciers die MSP’s selecteren, mede bepalend zijn voor de veerkracht van elke klantomgeving die zij beheren.

Start vandaag nog uw gratis proefabonnement op KeeperMSP^® om gebruik te maken van een platform met robuuste zero-knowledge encryptie en geavanceerde beveiligingsfuncties die zijn gebouwd om uw klanten te beschermen.

Keeper groeit momenteel 4 keer zo snel als het gemiddelde in de sector.

Deze toonaangevende groei wordt aangedreven door de enorme toename van identiteiten in het tijdperk van agentische AI en de voortdurende focus op innovatie voor de bescherming van klanten, zoals blijkt uit de lancering van het geïntegreerde platform voor geprivilegieerd toegangsbeheer en identiteitsbeveiliging, KeeperPAM®, dat zowel menselijke als niet-menselijke identiteiten (NHI’s) beschermt, waaronder serviceaccounts, machine-identiteiten, databases, AI-agenten en agentic workloads. Sinds de lancering van KeeperPAM in februari 2025 zijn de inkomsten uit KeeperPAM jaar op jaar vertienvoudigd en heeft Keeper een toonaangevende groei in het aantal nieuwe klanten gerealiseerd, met een gemiddelde toename van 850 nieuwe organisaties per maand. In de afgelopen vijftien maanden heeft Keeper meer dan 400 innovatieve functies en producten toegevoegd aan KeeperPAM.

“Identiteit is de nieuwe beveiligingsperimeter,” aldus Darren Guccione, CEO en mede-oprichter van Keeper Security. “Naarmate ondernemingen steeds vaker AI-agenten en autonome systemen inzetten, groeit het aantal geprivilegieerde identiteiten en aanmeldingsgegevens voor machines exponentieel. Organisaties hebben een modern, uniform platform nodig dat elke identiteit – menselijk en niet-menselijk – beveiligt en elke geprivilegieerde interactie beheert. Onze groei weerspiegelt de vraag vanuit de markt naar een platform dat specifiek is ontwikkeld om deze uitdagingen aan te pakken.”

Het cloudeigen cyberbeveiligingsplatform van Keeper biedt een uitgebreide aanpak voor identiteitsbeveiliging en beheer van geprivilegieerde toegang door wachtwoordbeheer voor ondernemingen, geheimenbeheer, beheer van geprivilegieerde sessies, databasebeheer en eindpuntprivilegebeheer te verenigen in één platform. De AI-eigen identiteitsbeveiligingsstrategie van Keeper breidt deze mogelijkheden naadloos uit naar niet-menselijke identiteiten en omgevingen met agentische AI, waardoor organisaties aanmeldingsgegevens voor machines en autonome workloads kunnen ontdekken, beheren en beveiligen op dezelfde strenge wijze als bij menselijke gebruikers.

Naarmate ondernemingen AI-technologieën op grote schaal adopteren, overtreft de wildgroei aan niet-menselijke identiteiten die van menselijke identiteiten, volgens rapporten, inmiddels in een tempo van 150 : 1. Hierdoor ontstaan er nieuwe aanvalsoppervlakken en operationele complexiteiten. Het platform van Keeper helpt organisaties bij het opzetten van identiteitsgerichte beveiligingsstrategieën die zorgen voor beveiliging, inzicht, governance en maatregelen op basis van het principe van minimale privileges in hun gehele identiteitsecosysteem.

“Autonome agenten, frontier-LLM’s en machine-to-machine-workflows worden op dit moment ingezet binnen bedrijfsomgevingen – maar dit gebeurt zonder adequaat beheer, geheimenbeheer of toegangscontroles”, aldus Craig Lurey, CTO en medeoprichter van Keeper Security. “Keeper is speciaal ontworpen om dit probleem op grote schaal op te lossen.”

Door de aanhoudende groei en de erkenning op de markt wordt de positie van Keeper als een van de meest innovatieve en snelst groeiende aanbieders van AI-eigen oplossingen voor identiteitsbeveiliging en geprivilegieerd toegangsbeheer in de cyberbeveiligingssector verder versterkt. Het financiële profiel van Keeper combineert toonaangevende groei, winstgevendheid en een schuldenvrije kapitaalstructuur, waardoor het bedrijf goed gepositioneerd is om identiteitsbeveiliging efficiënt te leiden in het tijdperk van agentische AI.

“Het feit dat onze ARR de grens van 225 miljoen dollar heeft overschreden, bevestigt wat wij in elk gesprek met zakelijke klanten hebben gehoord: dat het beveiligen van niet-menselijke identiteiten de belangrijkste beveiligingsuitdaging van het AI-tijdperk is,” aldus Darren Guccione, CEO van Keeper Security. “We hebben een versneld pad naar $ 1 miljard aan ARR vastgesteld, wat, in combinatie met onze technologieroadmap, opties biedt voor een beursgang.”

*Gartner, Market Share Analysis: Security Software, Worldwide, 2025, Rahul Yadav, Deepali, 11 mei 2026

Gartner is een handelsmerk van Gartner, Inc. en/of haar gelieerde partners.

Gartner onderschrijft geen enkele leverancier, product of service die in haar onderzoekspublicaties wordt genoemd en adviseert technologiegebruikers niet om uitsluitend te kiezen voor leveranciers met de hoogste beoordelingen of andere aanduidingen. De onderzoekspublicaties van Gartner omvatten de meningen van de onderzoeks- en adviesorganisatie van Gartner en mogen niet worden opgevat als feitelijke verklaringen. Gartner wijst alle garanties, expliciet of impliciet, met betrekking tot dit onderzoek af, inclusief garanties van verkoopbaarheid of geschiktheid voor een bepaald doel.

De nieuwe integraties van Keeper met Slack, Teams, Jira en ServiceNow breiden uit de veilige, beleidsgestuurde workflows in de tools die teams al dagelijks gebruiken, met behoud van Keeper’s zero-knowledge, zero-trust architectuur. Door beveiligde toegang en geprivilegieerde workflows rechtstreeks in samenwerkings- en IT-servicemanagementplatforms (ITSM) te integreren, kunnen organisaties risico’s beperken zonder bestaande workflows te verstoren.

Waarom toegangsbeveiliging thuishoort in dagelijkse workflows

In de meeste organisaties beginnen toegangsverzoeken niet in een beveiligingsconsole; ze beginnen met een bericht of een ticket. Wanneer die verzoeken handmatig of buiten beheerde systemen worden afgehandeld, zijn IT-teams vaak gedwongen te kiezen tussen snelheid en beveiliging. Met KeeperPAM hoeven teams niet langer te kiezen en kunnen ze in plaats daarvan via de verschillende integraties de toegang veilig en efficiënt beheren. Dankzij de integraties van Keeper is het volgende mogelijk voor teams:

• Vraag toegang aan, keur goed en beheer de toegang, zonder daarbij tussen tools te wisselen
• Onveilig delen van aanmeldingsgegevens in chatberichten of ticketopmerkingen elimineren
• Toegang met minimale privileges en goedkeuringsbeleid consistent afdwingen
• Zorg voor volledige traceerbaarheid van alle toegangsverzoeken en geprivilegieerde acties

Dit alles gebeurt terwijl geheimen versleuteld en volledig onder controle van de gebruiker blijven via het zero-knowledge beveiligingsmodel van Keeper.

Beveiligde toegangsverzoeken en goedkeuringen in Slack

Slack is waar teams in realtime samenwerken en waar doorgaans informele toegangsverzoeken worden uitgevoerd. De Keeper Slack-integratie brengt structuur en beveiliging naar deze gesprekken door veilige toegangsworkflows rechtstreeks in Slack in te sluiten. Met de Keeper Slack-app kunnen gebruikers toegang aanvragen tot Keeper-kluisrecords of -geheimen, deze verzoeken via gedefinieerde goedkeuringsworkflows doorsturen en realtime meldingen ontvangen wanneer de toegang wordt goedgekeurd, geweigerd of bijgewerkt. Hierdoor krijgen beveiligingsteams volledig inzicht en controle, zonder dat gebruikers verzoeken via een aparte tool of een apart systeem moeten indienen.

Omdat alle toegangsacties via Keeper worden afgehandeld, worden geheimen nooit onthuld in Slack-berichten. Elk verzoek en elke goedkeuring wordt geregistreerd, waardoor aan audit- en nalevingsvereisten wordt voldaan en tegelijkertijd de gebruikerservaring wordt verbeterd. Om deze integratie mogelijk te maken, moeten gebruikers een Keeper Secrets Manager – of KeeperPAM-licentie hebben, zodat toegang beleidsgestuurd blijft en in lijn is met de zero-trust beveiligingsprincipes.

Integreer veilige toegang en goedkeuringen in Microsoft Teams

Microsoft Teams is de plek waar veel organisaties dagelijkse samenwerken. Toegangsverzoeken die daar buiten de gereguleerde systemen plaatsvinden, leiden tot dezelfde blinde vlekken die de zero-trust handhaving ondermijnen. De Keeper Teams-app integreert gestructureerde, controleerbare toegangsworkflows rechtstreeks in Team. Zo kunnen gebruikers geprivilegieerde toegang initiëren en goedkeuren, zonder daarbij van tool te wisselen.

Wanneer Keeper is geïntegreerd in Teams, kunnen gebruikers toegang aanvragen tot kluisrecords en gedeelde mappen met rechtvaardiging, aangepaste machtigingen en tijdgebonden toegangsvensters, maar verzoeken om links voor eenmalig delen via zelfvernietigende URL’s. Wanneer Teams wordt gecombineerd met KeeperPAM, worden just-in-time (JIT)-verhogingsverzoeken van Keeper Endpoint Privilege Manager in realtime doorgestuurd naar goedkeurders via een speciaal Teams-kanaal. Ook kunnen beheerders goedkeuringen van SSO Cloud-apparaten afhandelen zonder daarbij Teams te verlaten.

De Teams-app wordt door de klant gehost via Docker samen met Commander Service Mode, wat betekent dat aanmeldingsgegevens en geheimen volledig binnen de eigen infrastructuur van de klant blijven. Net als de Slack-integratie vereist het een Keeper Secrets Manager- of KeeperPAM-licentie, waarbij de toegang beleidsgestuurd en consistent blijft met Keeper’s zero-trust, zero-knowledge architectuur.

Veilige toegangsworkflows in Jira integreren

Voor veel organisaties is Jira het systeem van registratie voor operationele en beveiligingsverzoeken. De Keeper Jira-integratie koppelt veilige kluisbewerkingen en gepriviligeerde workflows rechtstreeks in Jira-issues, zodat teams binnen vertrouwde processen kunnen werken.

Als Keeper wordt geïntegreerd met Jira, kunnen teams toegang tot Keeper-kluisrecords aanvragen en goedkeuren, machtigingen beheren en aanmeldingsgegevens bijwerken op basis van de context. Alle activiteiten blijven verbonden aan de specifieke Jira-kwestie, waarbij een gedetailleerd audittrail wordt behouden. Wanneer dit wordt gecombineerd met KeeperPAM, kunnen organisaties ook JIT-toegang inschakelen die is gekoppeld aan specifieke eindpunten en infrastructuurbronnen.

De Jira-integratie, die is ontwikkeld als een eigen Atlassian Forge-app, sluit aan bij de zero-trust architectuur van Keeper en zorgt tegelijkertijd voor minder vertragingen als gevolg van meerdere goedkeuringsrondes of het wisselen tussen verschillende tools. Hierdoor kunnen beveiligings- en IT-teams sneller handelen, zonder dat dit ten koste gaat van de controle.

Veilige workflows automatiseren in ServiceNow

ServiceNow speelt een centrale rol in IT-servicelevering en beveiligingsprocessen. Met de Keeper ServiceNow-integratie kunnen organisaties de workflows voor beveiligde toegang en geheimen rechtstreeks binnen ITSM-processen automatiseren.

Teams kunnen KeeperPAM koppelen aan ServiceNow om toegangsverzoeken en goedkeuringen te beheren als onderdeel van standaard ITSM-tickets, het ophalen van vertrouwelijke gegevens te automatiseren en te reageren op beveiligingswaarschuwingen door automatisch incidenten aan te maken en deze aan te vullen met informatie. Deze workflows zorgen voor minder handmatige verwerking van gevoelige gegevens, verbeteren de reactietijden en waarborgen een consistente handhaving van het beleid binnen de hele organisatie. Gedetailleerde auditlogboeken helpen organisaties inzicht te behouden in toegang en geprivilegieerde activiteiten, wat verantwoording ondersteunt en zorgt voor verbeterde incidentrespons.

Gebruik integraties gebouwd op zero-trust en zero-knowledge

De vier integraties zijn allemaal bedoeld om het beveiligingsmodel van Keeper uit te breiden en te versterken. Geheimen blijven altijd versleuteld, toegang wordt bepaald door beleidsregels en goedkeuringen zijn volledig auditbaar. Keeper heeft nooit inzicht in klantgeheimen en toegang wordt alleen verleend na uitdrukkelijke goedkeuring.

Dankzij deze aanpak kunnen organisaties de manier waarop toegang wordt aangevraagd, beheerd en goedgekeurd op een moderne manier aanpakken, terwijl zij in al hun omgevingen een hoog niveau van beveiliging, naleving en controle handhaven.

Aan de slag met Keeper-integraties

Of uw teams nu werken in Slack, Teams, Jira of ServiceNow, of een combinatie van de vier: Keeper maakt het eenvoudig om toegang te beveiligen waar al werk plaatsvindt. Deze integraties helpen beveiligingsrisico’s te verminderen, de werking te stroomlijnen en toegang met minimale privileges af te dwingen voor alle ITSM-workflows.

Voor meer informatie bekijkt u de volledige lijst met integraties van Keeper om te zien hoe Keeper bij uw bestaande tools past of start een gratis proefabonnement om het zelf te proberen.

Lees verder om meer te weten te komen over hoe KeeperDB werkt, de belangrijkste functies en de voordelen van het gebruik ervan voor het beveiligen van databasetoegang.

Hoe KeeperDB werkt

KeeperDB is beschikbaar in twee vormen: als een zelfstandige desktopapp en als een ingesloten ervaring die wordt gestart vanuit KeeperPAM-databaserecords. Beide versies bieden dezelfde ervaring voor eindgebruikers en dezelfde kernfunctionaliteit. Of u de app nu downloadt of start vanuit een PAM-record in de Keeper-kluis, de queryeditor, het gegevensraster, de schemaverkenner, het notitieboek en de prestatiemonitor werken hetzelfde. Het verschil tussen de desktopversie en de KeeperPAM-versie betreft het bemiddelen van aanmeldingsgegevens, sessieregistratie en monitoring. Wanneer KeeperDB binnen KeeperPAM wordt uitgevoerd, wordt het een volledig beheerde verbinding met wachtwoordloze toegang met één klik, visuele sessiebewaking, queryregistratie en AI-gebaseerde dreigingsdetectie.

Wat KeeperDB onderscheidt van verouderde databaseclients is de zero-knowledge architectuur. Wanneer het wordt gebruikt via KeeperPAM, worden tijdelijke databaseaanmeldingsgegevens gegenereerd en ontsleuteld in de door de klant zelf gehoste Keeper Gateway-container en via een versleuteld kanaal aan KeeperDB geleverd, nooit op de servers van Keeper. Wanneer KeeperDB lokaal wordt gebruikt en is geïntegreerd met Keeper Secrets Manager, worden aanmeldingsgegevens op aanvraag opgehaald uit de centrale kluis en alleen voor de duur van de sessie in het geheugen bewaard. Voor data-engineers en DBA’s lost dit belangrijke uitdagingen op het gebied van gepriviligeerde toegang op, omdat wachtwoorden die in Keeper worden gerouleerd automatisch worden bijgewerkt en het offboarden van een opdrachtnemer of engineer slechts één intrekking vereist. Daarnaast wordt KeeperDB tijdens runtime beschermd door Keeper Forcefield, wat geheugenbescherming biedt tegen lokale malware of infostealers.

Verbinding maken met KeeperDB

KeeperDB ondersteunt vijf manieren om verbinding te maken, maar de juiste manier hangt af van of u alleen werkt of onder geprivilegieerde toegang. Zie Hoe KeeperDB databasetoegang beveiligt voor een diepgaandere blik op hetzelfde beveiligingsmodel achter elke optie.

Belangrijkste functies van KeeperDB

KeeperDB consolideert alles wat databaseteams nodig hebben in één client: een databasewerkruimte voor meerdere protocollen, een ingebouwde AI-agent, realtime monitoring en in een kluis beheerde aanmeldingsgegevens.

Eén client voor elke database

KeeperDB brengt de volledige databaseworkflow samen in één interface die op dezelfde manier werkt voor grote bedrijfsdatabases, waaronder PostgreSQL, MySQL, SQL Server, Oracle, Amazon Redshift, MongoDB, DynamoDB, SQLite en meer. Dit zorgt ervoor dat een data-engineer die een gemengde omgeving beheert niet tussen afzonderlijke tools hoeft te schakelen voor elke database. De app beschikt over native stuurprogramma’s, wat de gebruikerservaring vereenvoudigt.

Volledige sessieregistratie

Wanneer KeeperDB via KeeperPAM wordt gebruikt, wordt elke database-interactie gecontroleerd en geregistreerd, inclusief de activiteit van een AI-agent binnen een sessie. Met Keepers sessieregistratie en -weergave wordt elke door AI uitgevoerde SQL-instructie precies zo gelogd als een door een mens getypte instructie en elke door AI geïnitieerde schrijfbewerking wordt getoond via hetzelfde bevestigingsvenster dat een menselijke gebruiker moet goedkeuren, zodat de gebruiker altijd de goedkeurder blijft van elke wijziging. Elke grafiek en autonome iteratie wordt toegeschreven aan de sessieregistratie en met een samenvatting die wordt gegenereerd naast een gedetailleerde log van elke actie, krijgen compliancebeoordelaars een volledig overzicht van wat er precies is gebeurd tijdens elke sessie.

Ingebouwde AI-agent

KeeperAI^® is een ingebouwde copiloot met volledige kennis van uw verbonden schema en werkt in drie modussen: de modus Chat om vragen in gewone taal en SQL te beantwoorden, de modus Autonoom om query’s te schrijven en uit te voeren om een gewenst resultaat te bereiken en de modus Uitleg om een bestaande query door te nemen. Alleen-lezen-query’s worden automatisch uitgevoerd, maar bij elke schrijfbewerking wordt er een bevestiging weergegeven met de letterlijke instructie voordat deze wordt uitgevoerd, zodat u altijd de goedkeurder bent. KeeperAI genereert bovendien grafieken op basis van realtime resultaten en voert vanuit de realtime performancemonitor een triage uit op trage databases. Providers kunnen in KeeperAI worden geplugd, wat betekent dat beheerders hun favoriete LLM-provider of zelf gehoste eindpunt kunnen gebruiken, zodat prompts en schemagegevens binnen hun eigen omgeving blijven.

Volledige SQL-werkruimte

Het Query-tabblad is een complete SQL-omgeving met syntaxmarkering, automatische aanvulling en uitvoering van meerdere instructies met status per instructie. Hierdoor kunt u een migratiescript plakken, het uitvoeren en zien welke instructies zijn geslaagd. Bekijk en bewerk rijen in een gepagineerd gegevensraster met updates die vooraf worden bekeken en bevestigd en sla uw werk op in een notitieboek dat automatisch SQL- en Markdown-cellen samen opslaat. Met het notitieboek kunnen teams herbruikbare querybibliotheken bouwen en bevindingen documenteren naast de SQL-code die deze heeft gegenereerd.

Realtime prestatiemonitoring

Als een database trager wordt, toont het tabblad Monitor wie er verbonden is, wat ze uitvoeren en welke sessies andere blokkeren. Compleet met een processenlijst, blokkeringsketens en vergrendelingsanalyse, stelt KeeperDB u in staat om een problematische sessie met één klik te beëindigen. KeeperAI kan aanbevelen welke sessie moet worden beëindigd en helpen bij het identificeren van prestatieknelpunten, waardoor de tijd die wordt besteed aan het diagnosticeren van trage databases aanzienlijk wordt verkort.

In de kluis beheerde aanmeldingsgegevens en biometrische verificatie

In de desktopapp kunt u KeeperDB ontgrendelen met Face ID of Windows Hello in plaats van een opgeslagen wachtwoord te gebruiken. Wanneer u verbinding maakt via Keeper Secrets Manager, worden de aanmeldingsgegevens op het moment van verbinding uit de versleutelde kluis opgehaald in plaats van dat ze in een lokaal configuratiebestand staan. Als aanvulling op dit gemak vereenvoudigt KeeperDB wachtwoordroulatie door iedereen in staat te stellen automatisch opnieuw verbinding te maken met de nieuwe waarde, aangezien niemand een verouderde kopie kan hebben. Het verandert ook de manier waarop offboarding verloopt: trek het kluisaandeel van een gebruiker in en de toegang wordt weggenomen, zonder dat er handmatige resets nodig zijn of vertragingen optreden bij het achterhalen waar aanmeldingsgegevens mogelijk zijn gecachet.

Voordelen van het gebruik van KeeperDB

De functies van KeeperDB bieden praktische voordelen voor zowel de databaseteams die de tool gebruiken als de beveiligingsteams die verantwoordelijk zijn voor het beheren van de toegang. Hier volgen enkele van de belangrijkste voordelen van KeeperDB:

Begin met het beveiligen van databasetoegang met KeeperDB

Verouderde databaseclients waren nuttig toen aanmeldingsgegevens zich op eindpunten bevonden, sessies niet werden bewaakt en het enige publiek van een query de persoon was die deze uitvoerde. Moderne engineering- en datawetenschapsteams hebben echter een oplossing zoals KeeperDB nodig die snel en veilig werkt op alle belangrijke engines, terwijl de beveiligingslekken van verouderde tools worden gedicht. Met KeeperDB blijven aanmeldingsgegevens niet op het eindpunt, worden gegevens beschermd met zero-knowledge encryptie en zijn auditsporen direct beschikbaar.

Download KeeperDB gratis voor gebruik als uw dagelijkse databaseclient of start een gratis proefperiode van KeeperPAM om beheerde, geregistreerde en volledig gecontroleerde databasetoegang toe te voegen.

Lees verder over multi-tenantbeveiliging en de voordelen van KeeperMSP voor het beveiligen en beheren van klantomgevingen.

Wat is multi-tenantbeveiliging voor MSSP’s?

Multi-tenantbeveiliging is de praktijk van het beheren en beveiligen van meerdere tenant- of klantomgevingen binnen één uniform systeem, waarbij elke klant binnen een afzonderlijke ruimte werkt met eigen toegangscontroles en beleidsregels. Multi-tenantarchitecturen vereisen dat geen enkele gebruiker, geen aanmeldingsgegevens en geen enkele data uit de omgeving van de ene klant kan worden blootgesteld aan die van een andere klant. Dit zorgt voor een volledige scheiding van tenanten, ongeacht hoeveel er hetzelfde onderliggende platform delen. MSSP’s dwingen deze isolatie af via rolgebaseerde toegangscontroles (RBAC), klantspecifieke machtigingen en granulaire toegangscontroles die precies bepalen wie elke omgeving kan bekijken, wijzigen of beheren. Voor KeeperMSP heeft elke klant een toegewezen set kluizen, beleidsregels en audittrails, bedoeld voor de unieke beveiligingsvereisten van die klant en beheerd door de MSSP zonder overlap tussen klanten. Aangezien een enkele inbreuk bij een klant gevolgen kan hebben voor elke beheerde klant, zijn MSSP’s zeer waardevolle doelwitten voor cybercriminelen. Hierdoor wordt sterke multi-tenantbeveiliging een fundamentele vereiste voor bedrijven.

Belangrijkste uitdagingen van multi-tenantbeveiliging voor MSSP’s

Multi-tenantbeveiliging kan ingewikkeld zijn en onbedoeld leiden tot blootstelling, tenzij MSSP’s de juiste tools gebruiken en best practices voor cyberbeveiliging volgen. Hieronder volgen de belangrijkste uitdagingen waar MSSP’s mee te maken krijgen bij het beveiligen van meerdere klantomgevingen.

Toegang beheren bij meerdere klantomgevingen

Het op grote schaal beheren van machtigingen wordt al snel lastig wanneer technici tegelijkertijd toegang nodig hebben tot tientallen, zo niet honderden, klantsystemen. Elke klantomgeving heeft zijn eigen tools, platforms en toegangsvereisten, wat betekent dat technici moeten jongleren met meerdere sets aanmeldingsgegevens en rechten voor elk account dat zij onderhouden. Zonder een gecentraliseerd systeem voor het inrichten en intrekken van machtigingen kunnen MSSP’s mogelijk geen minimale privileges voor toegang bij klanten afdwingen, waardoor er hiaten ontstaan die cybercriminelen gemakkelijk kunnen uitbuiten.

Onveilige uitwisseling van aanmeldingsgegevens

Het onveilig delen van aanmeldingsgegevens is een van de meest voorkomende, maar gevaarlijke gewoonten bij managed service-activiteiten. Teams die gebruikersnamen en wachtwoorden delen via spreadsheets, berichtenplatforms of zelfs plakbriefjes, verliezen volledig de verantwoording. Zonder een manier om na te gaan welke technicus aanmeldingsgegevens heeft gebruikt of wat diegene met die toegang heeft gedaan, kunnen cybercriminelen met één set gecompromitteerde aanmeldingsgegevens onbeperkte toegang krijgen tot verschillende clientomgevingen tegelijk.

Gebrek aan inzicht en blootstelling aan nalevingsrisico’s

Het bijhouden van gebruikersactiviteiten in verschillende klantomgevingen is een uitdaging, vooral zonder gecentraliseerde sessiemonitoring en -opname. Wanneer er verdacht gedrag optreedt, maakt gefragmenteerde logging het vrijwel onmogelijk om de bron tijdig te identificeren. Dit kan leiden tot wettelijke nalevingsproblemen. Van MSSP’s wordt in toenemende mate verwacht dat zij voldoen aan wettelijke vereisten zoals HIPAA en CMMC en dat zij naleving aantonen van beveiligingsframeworks zoals SOC 2 en NIST CSF, die allemaal gedetailleerde audittrails en bewijs van toegangsbeheer vereisen. Voldoen aan deze normen zonder gecentraliseerde logboekregistratie- en rapportagemogelijkheden wordt een foutgevoelig proces dat de administratieve last kan verhogen en het vertrouwen van klanten kan schaden.

Hoe MSSP’s Keeper^® kunnen gebruiken om multi-tenantomgevingen te beveiligen

KeeperMSP is ontworpen om MSSP’s in alle klantomgevingen vanuit één uniform identiteitsbeveiligingsplatform de infrastructuur te bieden voor het handhaven van consistente beveiliging op enterprise-niveau. In plaats van multi-tenantomgevingen te beheren met een verzameling losse tools en handmatige processen, kunnen MSSP’s hun dienstverlening vereenvoudigen met KeeperMSP.

Gecentraliseerd beheer voor alle klanten

KeeperMSP biedt beheerders één dashboard voor het beheren van aanmeldingsgegevens, toegang en beveiligingsbeleid in de omgevingen van hun klanten. In plaats van te schakelen tussen verschillende platforms of klantspecifieke tools, kunnen technici hun workflows stroomlijnen via een gecentraliseerde interface. Dit vermindert het risico op menselijke fouten en geeft het management volledig inzicht in beveiligingsgebeurtenissen binnen het gehele klantenportfolio.

Ingebouwde tenant-isolatie

Elke klantomgeving binnen KeeperMSP is bewust van elkaar gescheiden. Elke tenant opereert in zijn eigen geïsoleerde omgeving met speciale kluizen, beveiligingsbeleid en administratieve machtigingen die ervoor zorgen dat aanmeldingsgegevens of gegevens van de ene klant nooit door een andere klant kunnen worden geopend. Deze ingebouwde isolatie elimineert het risico op blootstelling van gegevens tussen tenanten en versterkt het vertrouwen dat de gegevens van elke klant beschermd blijven binnen de eigen omgeving. Keeper is FedRAMP High-, SOC 2 Type II- en ISO 27001-gecertificeerd, waardoor MSSP’s kunnen vertrouwen op een leverancier waarvan de eigen beveiligingspositie aansluit op de nalevingseisen die zij hun klanten toezeggen.

Beveiligd beheer van aanmeldingsgegevens

KeeperMSP gebruikt zero-knowledge versleutelde kluizen, naast ingebouwde mogelijkheden voor geheimenbeheer, om aanmeldingsgegevens en geheimen van klanten veilig te beheren. Onder deze architectuur worden wachtwoorden en geheimen nooit blootgesteld aan technici of aan Keeper zelf. Keeper regelt de authenticatie achter de schermen en zorgt ervoor dat aanmeldingsgegevens worden gebruikt zonder dat ze buiten de kluis worden bekeken, opgeslagen of gedeeld. Dit elimineert het risico op verspreiding van aanmeldingsgegevens, verwijdert de afhankelijkheid van onveilige opslag- en deelmethoden en zorgt ervoor dat alle aanmeldingsgegevens en elk geheim in klantomgevingen wordt beheerd op één controleerbare locatie.

Handhaving van minimale privileges en JIT-toegang

KeeperMSP stelt beheerders in staat om toegang met minimale privileges af te dwingen in alle klantomgevingen door rechten te beperken tot bepaalde rollen en verantwoordelijkheden. Met Just-in-Time (JIT)-toegang kunnen MSSP’s toegang inrichten wanneer dat nodig is en deze automatisch intrekken zodra een taak is voltooid, zodat technici nooit permanente toegang behouden die verder gaat dan wat hun werk vereist. Machtigingen worden per klant geconfigureerd, waardoor toegangscontroles altijd zijn ontworpen voor de specifieke omgeving in plaats van dat ze als algemeen beleid worden toegepast. Hierdoor biedt KeeperPAM for MSSPs een strikt gecontroleerd toegangsmodel dat het risico op misbruik van privileges en onbevoegde toegang vermindert.

Sessie-monitoring en -opname

MSSP’s krijgen volledig inzicht in geprivilegieerde activiteiten in elke klantomgeving met de mogelijkheden voor sessiebewaking en -registratie van KeeperMSP. Elke sessie wordt gemonitord, opgenomen en geregistreerd, waardoor een gedetailleerd auditspoor wordt gecreëerd dat rapportage over naleving en interne verantwoording ondersteunt. Naast sessiemonitoring analyseert KeeperAI^® actief sessieactiviteiten en gedragspatronen om verdachte activiteiten en potentiële cyberdreigingen in realtime te detecteren.

Eindpuntprivilegebeheer

KeeperMSP breidt bevoorrechte toegangscontroles uit tot voorbij aanmeldingsgegevens en geheimen naar het eindpuntniveau met de Keeper Endpoint Privilege Manager (EPM). In plaats van technici brede beheerrechten te geven op machines van klanten, stelt Keeper EPM MSSP’s in staat om privileges per applicatie of per taak te verhogen, alleen wanneer dat nodig is. Dit elimineert de beveiligingsrisico’s die gepaard gaan met permanente toegang, waaronder ongeautoriseerde software-installaties en laterale verplaatsingen, terwijl technici wel de noodzakelijke toegang krijgen om hun werk effectief te doen. Keeper EPM zorgt ervoor dat het principe van minimale bevoegdheden niet alleen binnen de kluizen van klanten wordt gehandhaafd, maar ook op elk apparaat dat technici gebruiken om die omgevingen te onderhouden.

Voordelen van het gebruik van KeeperMSP

Het op grote schaal beheren en beveiligen van multi-tenantomgevingen vereist een platform dat speciaal is ontwikkeld voor MSP’s en MSSP’s. Hier volgen de belangrijkste voordelen van KeeperMSP waarmee multi-tenantbeveiliging eenvoudiger wordt:

Bekijk hoe Queen Consulting de beveiliging bij federale opdrachtnemers heeft gestandaardiseerd met KeeperMSP.

Verbeter de beveiliging van klanten voor MSSP’s met Keeper

Naarmate MSSP’s nieuwe klanten onboarden, meer geprivilegieerde aanmeldingsgegevens beheren en worden geconfronteerd met een groeiend aantal cyberdreigingen, wordt multi-tenantbeveiliging steeds crucialer. Gecentraliseerde, beveiligde toegangscontrole is wat MSSP’s die vol vertrouwen kunnen opschalen onderscheidt van MSSP’s die voortdurend worden blootgesteld aan vermijdbare veiligheidsrisico’s. KeeperMSP is gebouwd om multi-tenantbeveiliging op elk niveau aan te pakken, van zero-knowledge opslag van aanmeldingsgegevens en strikte isolatie van klantomgevingen tot het afdwingen van toegang met minimale privileges en nalevingsrapportage.

Start vandaag nog uw gratis proefabonnement op KeeperMSP om uw aanvalsoppervlak te verkleinen en de multi-tenantbeveiliging te bieden die uw klanten verdienen.

Lees verder om meer te weten te komen over het LastPass-datalek in 2026, hoe het past binnen het jarenlange patroon van beveiligingsincidenten van het bedrijf en waarom Keeper^® een veiliger alternatief is om uw gevoelige gegevens te beschermen.

Bent u klaar voor een overstap van LastPass naar Keeper na dit nieuwe datalek? Sluit u aan bij de duizenden andere LastPass-klanten die al zijn overgestapt.

Wat u moet weten over het LastPass-lek in 2026

Dit zijn de belangrijkste feiten over het LastPass-datalek in 2026 en hoe het is gebeurd:

Waarom de herhaaldelijke beveiligingsincidenten bij LastPass ertoe doen

Het datalek bij LastPass in 2026 is een van de vele incidenten waar het bedrijf de afgelopen jaren mee te maken heeft gehad en elk incident tast het vertrouwen van klanten aan dat hun aanmeldingsgegevens daadwerkelijk veilig zijn. Dit nieuwe lek werd ook pas tien dagen nadat LastPass voor het eerst op de hoogte raakte van de compromittering van Klue bekendgemaakt: het bedrijf vernam dit op 12 juni 2026, maar maakte het pas op 22 juni 2026 bekend. Gedurende die periode wisten klanten mogelijk niet dat hun persoonsgegevens mogelijk waren blootgesteld en deze vertraagde aanpak is er een die LastPass ook hanteerde bij het datalek in 2022.

Dit patroon belicht een verontrustende realiteit: uw gegevens kunnen worden blootgesteld, zelfs als uw aanbieder niet rechtstreeks wordt gehackt. De eigen infrastructuur van LastPass is ditmaal niet gecompromitteerd, maar ook bij een aanval in de toeleveringsketen zijn klantgegevens alsnog gecompromitteerd. Naarmate organisaties meer tools en platforms verbinden, wordt elke integratie een potentieel toegangspunt en kan één zwakke schakel in de toeleveringsketen klantgegevens in gevaar brengen.

Waarom Keeper een veiliger alternatief is voor LastPass

Na verschillende lekken krabben LastPass-gebruikers zich begrijpelijkerwijs achter de oren over na waar ze hun wachtwoorden willen bewaren. Zie onze Keeper versus LastPass-pagina om de staat van dienst, beveiligingsarchitecturen en verantwoordelijkheid te vergelijken wat betreft het beschermen van klantgegevens.

Zero-knowledge versleuteling

Keeper is gebouwd op een zero-knowledge beveiligingsarchitectuur, wat betekent dat alle versleuteling en ontsleuteling lokaal op het apparaat van de gebruiker plaatsvindt. De sleutel die nodig is om een kluis te ontgrendelen, wordt afgeleid van het hoofdwachtwoord van een gebruiker en verlaat nooit het apparaat, waardoor Keeper opgeslagen gegevens nooit kan inzien, ontsleutelen of openen. Dit is een cruciaal onderscheid: zelfs als de systemen van Keeper doelwit zouden worden, zouden de kluisgegevens van klanten onleesbaar blijven, omdat de sleutels om deze te ontsleutelen er niet zijn en dus niet kunnen worden gestolen.

Onafhankelijke audits en certificeringen

Keeper is het meest gecertificeerde en geauditeerde platform in de branche. Het is FedRAMP High Certified en GovRAMP High Authorized en beschikt over SOC 2-, ISO 27001- en FIPS 140-3-validatie en voldoet aan de AVG, HIPAA en PCI DSS, naast andere certificeringen. Dit zijn rigoureuze, onafhankelijke beoordelingen waar individuen, ondernemingen en overheidsinstanties op vertrouwen voordat zij een platform hun meest gevoelige gegevens toevertrouwen. Keepers platform wordt ook continu gevalideerd door externe experts door middel van regelmatige penetratietests, een actief bugpremieprogramma en een openbaar programma voor het melden van kwetsbaarheden, om ervoor te zorgen dat de oplossingen consistent worden getest, geverifieerd en verbeterd.

Nog nooit een datalek

Naast de zero-knowledge architectuur en uitgebreide certificeringen is er bij Keeper nooit een lek geweest van de versleutelde kluizen of de onderliggende infrastructuur. De lange, ononderbroken staat van dienst van Keeper, ondersteund door zero-knowledge encryptie en onafhankelijke verificatie, toont aan dat het beveiligingsmodel is gebouwd om klantgegevens te beschermen, zelfs in de ergste scenario’s.

Stap vandaag nog over op Keeper om beschermd te blijven

Elk nieuw beveiligingsincident bij LastPass herinnert ons eraan dat het beschermen van gevoelige gegevens niet mag worden overgelaten aan een tool met een geschiedenis van frequente blootstelling. Gelukkig is overstappen naar een veiligere wachtwoordbeheerder zoals Keeper eenvoudig. Met Keeper kunt u uw bestaande wachtwoorden, mappen, gedeelde mappen, TOTP-codes en bestandsbijlagen in slechts enkele stappen rechtstreeks vanuit LastPass importeren, zodat u uw kluis kunt overzetten zonder dat u één voor één uw aanmeldingsgegevens opnieuw moet invoeren of gegevens verliest tijdens het proces. In plaats van af te wachten of u door een volgend datalek wordt getroffen, kunt u overstappen op een platform dat is gebouwd op zero-knowledge encryptie, ondersteund door de meest rigoureuze onafhankelijke certificeringen in de branche en met een onberispelijke staat van dienst in het beveiligen van de kluizen van klanten.

Start vandaag nog uw gratis Keeper-proefperiode om uw wachtwoorden en andere gevoelige gegevens te beschermen.

Door de jaren heen was toetreding tot het platform van een grote distributeur in de eerste plaats een commerciële transactie. Voer uw bedrijfsgegevens in, doorloop enkele standaardcontroles bij de aanmelding en u kunt meteen aan de slag met verkopen. Identiteitsbeveiliging was een bijzaak en vormde eerder een productcategorie dan een vereiste voor samenwerking.

Die tijden zijn voorbij.

Aan de andere kant van het kanaal maken MSP-distributeurs een beslissende koerswijziging. Wat ooit slechts een onderdeel was van het productaanbod van een MSP, is uitgegroeid tot een essentiële toegangspoort tot het ecosysteem zelf. MSP’s die geen prioriteit geven aan beveiligingsstrategieën waarbij identiteit centraal staat, kunnen moeite hebben om binnen de huidige partnernetwerken concurrerend te blijven.

Waarom identiteitsbeveiliging vereist wordt voor MSP-partnerschappen

Volgens het Huntress 2025 Managed ITDR-rapport maken identiteitsgerelateerde aanvallen meer dan 40% uit van alle beveiligingsincidenten, waarbij alleen al vorig jaar meer dan de helft van de organisaties het slachtoffer werd van compromittering van zakelijke e-mails. Bovendien bleek uit onderzoek van Sophos X-Ops dat het aantal gestolen aanmeldingsgegevens op het dark web tussen juni 2024 en juni 2025 met 106% is gestegen. Dit zijn geen abstracte statistieken voor bedreigingsinformatie, maar de dagelijkse realiteit voor de organisaties die door MSP’s worden bediend.

Omdat identiteitsgerelateerde inbreuken verstrekkende gevolgen kunnen hebben in klantomgevingen, hebben distributeurs een groeiende verantwoordelijkheid om sterkere identiteitsbescherming binnen hun partnernetwerk te bevorderen. Toonaangevende platforms reageren nu al door formele beveiligingsprogramma’s te lanceren op basis van frameworks zoals CIS Controls en door identiteitsgerichte leveranciersportefeuilles samen te stellen.

De boodschap is duidelijk. Sterke identiteits- en toegangscontroles zijn nu een basisvereiste voor marktplaatsleden.

Hoe de CSP-vereisten van Microsoft de normen voor identiteitsbeveiliging voor MSP’s aanscherpen

Als het bedreigingslandschap het pleidooi voor identiteitsbeveiliging vormde, blijkt uit de bijgewerkte CSP-vereisten van Microsoft hoe snel deze verwachtingen in de praktijk zijn omgezet. Dit is slechts één voorbeeld van een bredere verschuiving die zich in het gehele technologische ecosysteem voltrekt, waarbij leveranciers, marktplaatsen, cyberverzekeraars en nalevingskaders de lat voor verantwoordelijkheid op het gebied van beveiliging steeds hoger leggen.

Op 1 oktober 2025 trad het bijgewerkte CSP-beleid van Microsoft in werking voor alle partnerniveaus. Hierbij werden bepaalde maatregelen vereist, zoals handhaving van multi-factor-authenticatie (MFA), aangewezen beveiligingscontacten en tijdige reacties op beveiligingsalarmen. Voor bestaande partners wordt de naleving jaarlijks gecontroleerd. Partners die niet aan deze naleving voldoen, kunnen hun erkenning verliezen.

Dit soort normen worden een steeds belangrijker onderdeel van de partnerbeoordeling. MSP’s die niet kunnen aantonen dat ze voldoen aan de basisnormen voor identiteitsbeheer, waaronder het verplicht stellen van MFA en veilig beheer van aanmeldingsgegevens, zullen het in de toekomst wellicht moeilijker vinden om deel te nemen aan leveranciersnetwerken, distributieprogramma’s en op beveiliging gerichte samenwerkingsverbanden.

Waarom distributeurs identiteitsgerichte MSP’s prioriteren

Nu identiteitsbedreigingen een steeds grotere zakelijke uitdaging vormen, veranderen ze niet alleen wat MSP’s moeten doen, maar geven ze ook een nieuwe invulling aan het profiel van de medewerkers die distributeurs in de eerste plaats willen aantrekken.

De realiteit is dat distributeurs opereren op het snijvlak van leveranciers en MSP’s. Succes is niet alleen afhankelijk van het aantrekken van leveranciers die identiteit centraal stellen, maar ook van het aantrekken van partners die over de vaardigheden en capaciteiten beschikken om die producten te ondersteunen. Een MSP die draait op gedeelde aanmeldingsgegevens, zonder MFA-handhaving of zichtbaarheid van Identity Threat Detection and Response (ITDR), kan uiteindelijk de reputatie en naleving van de distributeur in gevaar brengen.

Aanbieders met oog voor beveiliging worden premium geworven. MSPs die hebben geïnvesteerd in identiteitsinfrastructuur – zoals MFA-handhaving, Privileged Access Management (PAM) en ITDR – worden steeds aantrekkelijker voor distributeurs die de marktgroei willen stimuleren. Deze leveranciers zijn vaak beter gepositioneerd om aanvullende services aan te bieden, het operationele risico te verminderen en organisaties te bedienen die cyberbeveiliging als een strategische prioriteit beschouwen in plaats van als een nalevingsvereiste.

Beoordelingen van de beveiligingsstatus worden een steeds vaker voorkomend onderdeel van het doorlichtingsproces van partners. Een MSP die kan aantonen dat het een goed uitgewerkte strategie voor identiteitsbeheer hanteert, geeft blijk van operationele volwassenheid, bewustzijn op het gebied van compliance en de bereidheid om toonaangevende beveiligingsoplossingen en -services te ondersteunen.

Deze trend gaat verder dan traditionele toegangs- en aanmeldingsgegevens. ITDR ontwikkelt zich tot een krachtig onderscheidend kenmerk onder MSP’s die distributeurs willen aantrekken, waardoor providers hun beveiligingsaanbod kunnen verbeteren met continue identiteitsbewaking, bedreigingsdetectie en -respons. Naarmate identiteitsgerichte aanvallen toenemen, is identiteitsbestendigheid een belangrijke prioriteit geworden voor gebruikers, systemen en toegangspunten.

Voor distributeurs betekent dit meer dan een extra categorie voor beveiliging. Hierdoor ontstaat er een steeds grotere kloof tussen MSP’s die geavanceerde identiteitsbeveiligingsservices kunnen leveren en MSP’s die dat niet kunnen. Providers die moderne identiteitsoplossingen effectief kunnen positioneren, implementeren en beheren, scheppen nieuwe mogelijkheden voor terugkerende inkomsten en spelen in op behoeften van klanten waar veel van hun concurrenten niet aan kunnen voldoen.

Identiteitsbeheer evolueert ook verder dan menselijke gebruikers. Serviceaccounts, API-aanmeldingsgegevens, machine-identiteiten en AI-gestuurde workflows hebben nu toegang tot bedrijfskritieke systemen in door MSP beheerde omgevingen. Naarmate organisaties automatisering en AI-technologieën blijven adopteren, wordt het beveiligen van deze niet-menselijke identiteiten (NHI’s) een cruciaal onderdeel van moderne beveiligingsstrategieën.

MSP’s die vandaag investeren in deze beveiligingspraktijken, zullen beter gepositioneerd zijn om de toekomstige beveiligingsuitdagingen aan te pakken. Distributeurs die deze trends in een vroeg stadium onderkennen en hun partnernetwerken hierop afstemmen, zullen eveneens beter voorbereid zijn om vooruitstrevende MSP’s aan te trekken, het succes van hun partners op de lange termijn te ondersteunen en hun positie in een beveiligingsgericht kanaallandschap te versterken.

Hoe MSP-distributeurs identiteitsgerichte partneromgevingen kunnen ontwikkelen

De distributeurs die snel handelen, zullen de toekomst van MSP-talent binnen hun partnernetwerken vormgeven. Identiteit geldt nu als het uitgangspunt waarmee het werven van partners, het ondersteunen van partners en de implementatie bijdragen aan het creëren van marktplaatsen waarin identiteit centraal staat.

Hieronder volgen enkele werkwijzen waaraan topdistributeurs prioriteit kunnen geven om sterkere, identiteitsgerichte marktplaatsen te maken:

Identiteitsbeveiliging is de nieuwe maatstaf voor het succes van MSP

Wat begon als een veiligheidseis, ontwikkelt zich nu tot een concurrentievoordeel. De distributeurs die dit initiatief aanvoeren, beheren geen marktplaatsen meer waar beveiliging optioneel is. Zij bouwen ecosystemen op waarin identiteitsbeveiliging een fundamentele vereiste is, waardoor partners die niet aan deze normen voldoen, moeite kunnen hebben om relevant te blijven.

Voor MSP-distributeurs is timing cruciaal. De nalevingsverwachtingen worden strenger, de risicoblootstelling neemt toe en eindklanten verwachten hogere niveaus van operationele volwassenheid van hun service providers. Een sterk identiteitsbeleid wordt in snel tempo een kenmerkend aspect van de MSP’s waarmee klanten, leveranciers en kanaalpartners graag willen samenwerken.

De vraag voor elke distributeur is eenvoudig: is uw marktplaats bedoeld voor de MSP’s van vroeger of voor de MSP’s die uw klanten daadwerkelijk nodig hebben?

KeeperMSP: Ontwikkeld voor de identiteitsstandaard die distributeurs nodig hebben

Hier kunnen speciaal ontwikkelde oplossingen voor identiteitsbeveiliging distributeurs helpen bij het versterken van hun wervings- en opleidingsstrategieën voor MSP’s. Als een zero-trust, zero-knowledge PAM-platform biedt KeeperMSP de identiteitsinfrastructuur die nodig is om aan nalevingsvereisten te voldoen, klantomgevingen te beschermen en op te vallen in het partnerselectieproces.

Aangezien de verwachtingen van MSP’s voortdurend veranderen, hebben distributeurs behoefte aan meer dan alleen maar een extra logo om aan hun portfolio toe te voegen of nog een nieuwe beveiligingsoplossing voor hun marktplaatsen. Ze hebben partners nodig die hen helpen bij het aantrekken, ondersteunen en behouden van de MSP’s die de toekomst van het kanaal vormgeven.

Keeper is inmiddels geïntegreerd in de belangrijkste distributie-ecosystemen en biedt MSP’s een gespecialiseerd multitenant-platform om aanmeldingsgegevens te beveiligen, vertrouwelijke gegevens te beheren en identiteitsbeveiliging op grote schaal te implementeren. Bovenop de technologie zelf stelt Keeper distributeurs ook in staat om in te spelen op een van de snelst groeiende prioriteiten binnen managed services: het mogelijk maken dat MSP’s schaalbare, terugkerende identiteitsgerichte beveiligingsservices kunnen leveren.

Een solide identiteitsbasis biedt strategische voordelen die veel verder reiken dan alleen de invoering van technologie. Het zorgt voor een grotere betrokkenheid van partners, betere wervingsgesprekken en duurzame groei van het ecosysteem. Door MSP’s te voorzien van de tools, middelen en beveiligingsmogelijkheden die zij nodig hebben om succesvol te zijn, kunnen distributeurs een meer gedifferentieerd en waardevol kanaalaanbod opzetten.

Het kanaal gaat een nieuwe fase in – een fase waarin MSP’s partnerschappen niet alleen beoordelen op basis van productmogelijkheden, maar ook op basis van de bedrijfsresultaten die deze partnerschappen mogelijk maken.

De distributeurs die in deze omgeving succesvol zullen zijn, zijn degenen die hun ecosystemen afstemmen op de toekomstige ontwikkelingen in de vraag naar MSP-services. Door een identiteitsgerichte aanpak te hanteren, kunnen ze de volgende generatie MSP’s beter aantrekken, sterkere partnerrelaties opbouwen en veerkrachtigere kanaalprogramma’s met hogere marges ontwikkelen.

Start vandaag nog uw gratis proefabonnement op KeeperMSP.

Dit is wat er in mei 2026 bij Dashlane gebeurde: aanvallers voerden brute-force-aanvallen uit op de zescijferige codes die werden gebruikt om nieuwe apparaten te registreren, voegden ongeautoriseerde apparaten toe aan minder dan 20 accounts en downloadden kopieën van de kluizen van die gebruikers. De versleuteling zelf is nooit gekraakt, maar de kwetsbaarheid zat in de manier waarop nieuwe apparaten werden goedgekeurd. Brute-force-aanvallen waarbij de apparaatregistratie van wachtwoordbeheerders het doelwit is, vormen een toenemende cyberbedreiging. Deze zijn echter niet effectief tegen de zero-trust- en zero-knowledge-architectuur van Keeper, die ervoor zorgt dat het kennen van een wachtwoord nooit voldoende is om een apparaat te registreren en toegang te krijgen tot een kluis.

Hoe brute-force-aanvallen bij apparaatregistratie werken

Wanneer u een nieuw apparaat toevoegt aan een wachtwoordbeheerder, moet de serviceprovider verifiëren dat het apparaat van u is voordat deze u toegang tot uw kluis verleent. Deze bevestigingsstap in het apparaatregistratieproces is het doelwit van deze brute-force-aanvallen. Om te begrijpen waarom wachtwoordbeheerders zoals Dashlane kwetsbaar waren voor deze aanval terwijl anderen zoals Keeper^® dat niet zijn, wordt hieronder beschreven hoe de aanvallen doorgaans werken:

Dit proces is geen hypothetisch scenario, maar een weergave van hoe de aanval op Dashlane zich heeft voltrokken. Dit maakt duidelijk waarom het beveiligen van het apparaatregistratieproces net zo belangrijk is als het beveiligen van de kluizen.

Waarom het registreren van niet-goedgekeurde apparaten risico’s met zich meebrengt

Het registreren van onbevoegde apparaten brengt ernstige veiligheidsrisico’s met zich mee, aangezien een nieuw apparaat, zodra het bij een wachtwoordbeheer-account is geregistreerd, toegang krijgt tot de kluis van de gebruiker en zich kan voordoen als een geauthenticeerde, legitieme gebruiker. De aanvaller hoeft de versleuteling van de kluis helemaal niet te omzeilen, te verzwakken of te breken om dit type brute-force-aanval uit te voeren. Het enige wat zij nodig hebben, is dat de serviceprovider hun apparaat vertrouwt, zodat de versleutelde gegevens uit de kluis rechtstreeks kunnen worden gesynchroniseerd met hardware waarover zij zelf de controle hebben.

De gevolgen van het feit dat een aanvaller een kopie van de versleutelde kluis van een gebruiker in handen heeft, zijn van langdurige aard. De aanvaller kan namelijk in zijn eigen tempo offline proberen de kluis te kraken, zo lang als nodig is om toegang te verkrijgen. Hoewel sterke kluisversleuteling de kans op succes statistisch gezien klein maakt, hangt de kans op succes sterk af van iets wat de gebruiker wel kan beïnvloeden: de sterkte van het hoofdwachtwoord. Een lang, complex en uniek hoofdwachtwoord kan voorkomen dat een gestolen kluis wordt gekraakt, maar een zwak of hergebruikt hoofdwachtwoord heeft een veel grotere kans om gekraakt te worden als er voldoende tijd voor is. Het is van essentieel belang dat het registratieproces van het apparaat goed beveiligd is, zodat de beveiliging van de kluis van een gebruiker niet volledig afhankelijk is van de sterkte van zijn of haar hoofdwachtwoord.

Hoe Keeper helpt om brute-force-aanvallen bij apparaatregistratie te voorkomen

Gebruikers van Keeper zouden niet het slachtoffer worden van hetzelfde soort brute force-aanval dat Dashlane heeft getroffen, omdat Keeper ervoor zorgt dat het simpelweg kennen van het wachtwoord van een gebruiker of het succesvol uitvoeren van een brute force-aanval op een OTP niet voldoende is om een nieuw apparaat te registreren of toegang te krijgen tot een kluis.

Apparaat goedkeuren

In Keeper moet elk nieuw apparaat expliciet worden goedgekeurd voordat het toegang krijgt tot een kluis. Deze goedkeuring is een afzonderlijke, bewuste stap en is niet iets dat automatisch plaatsvindt zodra een code wordt ingevoerd. Voor individuele gebruikers wordt de goedkeuring verleend door de accounteigenaar via een reeds vertrouwd apparaat; voor ondernemingen kan een beheerder namens legitieme gebruikers nieuwe apparaten goedkeuren. Bij dit soort aanvallen is het voldoende om een geldige OTP te raden om de registratie van het apparaat te voltooien. Met Keeper is er echter geen enkel API-eindpunt waarvan de code via een brute-force-aanval kan worden gekraakt om het proces af te ronden.

Multi-factor-authenticatie (MFA)

Keeper ondersteunt diverse MFA- of twee-factor-authenticatie (2FA)-methoden, waaronder FIDO2/WebAuthn-hardwaresleutels, biometrie, authenticator-apps en sms. Niet al deze methoden zijn even bestand tegen brute-force-aanvallen. Codes die via e-mail of SMS worden verzonden, zijn het meest kwetsbaar, omdat ze kunnen worden geraden of onderschept tijdens de overdracht. Authenticatie-apps bieden een betere beveiliging omdat de code lokaal op het apparaat van de gebruiker wordt gegenereerd, maar ze maken nog steeds gebruik van korte, tijdgebonden codes en zijn daarom afhankelijk van snelheidsbeperkingen en andere maatregelen om brute-force-aanvallen te voorkomen. Hardwarebeveiligingssleutels bieden de sterkste bescherming, omdat ze zijn gebaseerd op cryptografische authenticatie via een vraag-antwoordprocedure in plaats van op een korte code. Aangezien er geen voorspelbare waarde is die een aanvaller herhaaldelijk naar een API-eindpunt kan verzenden, zijn brute-force-aanvallen die gericht zijn op apparaatregistratie niet langer effectief.

Zero-trust beveiliging

Keeper is gebouwd op een zero-trust beveiligingsmodel, wat betekent dat elk toegangsverzoek geverifieerd moet worden, ongeacht de locatie van het netwerk of eerdere authenticaties. Met Keeper wordt aan een apparaat geen blijvend, impliciet vertrouwen verleend, alleen maar omdat het al geregistreerd of geverifieerd was. Keeper beoordeelt elk verzoek afzonderlijk. Dit beveiligingsmodel houdt in dat zelfs als een aanvaller op de een of andere manier erin zou slagen een apparaat te registreren, dit geen blijvende toegang zou opleveren. Binnen een zero-trust framework bestaat er geen mechanisme waarmee een aanvaller misbruik kan maken van de registratie van een apparaat om onbeperkte toegang te verkrijgen.

Geavanceerde rapportage- en alarmmodule (ARAM)

De Geavanceerde rapportage- en alarmmodule (ARAM) van Keeper geeft beheerders inzicht in verdacht gedrag in hun omgeving, waaronder authenticatie-anomalieën en pogingen tot apparaatregistratie. Verificatiepogingen die binnen een kort tijdsbestek plaatsvinden of een groot aantal mislukte apparaatregistratiepogingen zijn precies het soort gebeurtenissen dat ARAM aan het licht kan brengen. Dankzij volledig inzicht in ongebruikelijke activiteiten kunnen beheerders snel ingrijpen, in plaats van dat verdacht gedrag onopgemerkt blijft totdat er een ongeautoriseerd apparaat is geregistreerd.

Waarom de zero-knowledge architectuur van Keeper belangrijk is

De toegangscontroles van Keeper zijn ontworpen om te voorkomen dat een aanvaller een apparaat kan registreren, maar de beveiliging verder wordt versterkt door nog een extra beveiligingslaag: een zero-knowledge architectuur. In de praktijk houdt zero knowledge in dat alles wat in de kluis van een gebruiker is opgeslagen, altijd end-to-end versleuteld is, zodat zelfs Keeper het niet kan ontcijferen. Omdat versleutelingssleutels worden gegenereerd op het apparaat van de gebruiker, worden gegevens ook lokaal versleuteld en ontcijferd, zodat de kluis volledig onder controle van de gebruiker blijft. Zelfs als een aanvaller op de een of andere manier een kopie van de versleutelde kluis van een gebruiker zou bemachtigen, zou de aanvaller voor een vrijwel onmogelijke uitdaging komen te staan, aangezien de versleutelingssleutels die nodig zijn om een Keeper-kluis te ontgrendelen, niet op de infrastructuur van Keeper aanwezig zijn.

Bescherm uw gegevens tegen brute-force-aanvallen met Keeper

Het beveiligingsincident bij Dashlane bewijst dat alleen een sterke versleuteling van de kluis niet voldoende is. Nu aanvallers hun focus verleggen van het kraken van versleutelde kluizen naar het uitbuiten van de workflows die toegang bieden, is het essentieel om te begrijpen hoe brute-force-aanvallen voorkomen kunnen worden en om apparaatregistratie- en authenticatieprocessen te beveiligen. Een wachtwoordbeheerder moet zowel gebruikerskluizen als de stromen voor kluistoegang beschermen.

De inbraak van LastPass in 2022 had een vergelijkbaar resultaat, maar verliep via een andere route: aanvallers hadden de infrastructuur van het bedrijf gecompromitteerd en kopieën van versleutelde opslagplaatsen gestolen, maar beveiligingsonderzoekers hebben de diefstal inmiddels kunnen herleiden tot slecht beveiligde opslagplaatsen. Zowel het incident bij Dashlane als dat bij LastPass laten zien dat, zodra een aanvaller toegang krijgt tot de versleutelde kluis van een gebruiker, deze voor onbepaalde tijd kan worden aangevallen. Dit onderstreept het belang van het gebruik van een veilige wachtwoordbeheerder om uw gegevens te beschermen.

Keeper is ontwikkeld om dit soort aanvallen af te weren door middel van goedkeuring van apparaten, waardoor ervoor wordt gezorgd dat een geraden code niet zelf een nieuw apparaat kan registreren. Ook worden er verschillende MFA-methoden gebruikt er wordt een zero-trust-beveiligingsmodel gehanteerd. Zo wordt ervoor gezorgd dat geen enkel apparaat impliciet wordt vertrouwd. Deze beveiligingsmaatregelen werken binnen een zero-knowledge architectuur, waarbij de versleutelingssleutel onder controle van de gebruiker blijven.

Begin een gratis proefperiode van Keeper om te zien hoe de gelaagde beveiliging ervoor zorgt dat uw kluisgegevens worden versleuteld onder de sleutels die alleen u beheert.

Lees verder voor meer informatie over deze tools voor databasebeheer, hun unieke functies en wat hen van elkaar onderscheidt.

Wat is KeeperDB?

KeeperDB is een volwaardige databaseclient met meerdere protocollen en gebouwd voor ingenieurs, databasebeheerders (DBA’s) en gegevensteams. Het werd gebouwd om een groot beveiligingsgat te dichten: databases zijn traditioneel toegankelijk geweest via onbeheerde tools, gedeelde aanmeldingsgegevens en niet-gemonitorde verbindingen buiten beveiligingscontroles. Een versie van KeeperDB is beschikbaar als gratis, zelfstandig te gebruiken desktopapplicatie voor Windows, macOS en Linux. Hierdoor worden verouderde tools, zoals DBeaver en MySQL Workbench, vervangen door een moderne interface, biometrische authenticatie en een ingebouwde AI-agent.

Hieronder volgen enkele manieren waarop KeeperDB zich onderscheidt van oudere tools voor databasebeheer:

De mogelijkheden van KeeperDB breiden zich uit wanneer het wordt uitgerold als onderdeel van KeeperPAM waardoor het een volledig beheerde sessie met geprivilegieerde toegang binnen de Keeper-kluis wordt. In Keeper-workflows worden aanmeldingsgegevens nooit aan de gebruiker getoond of lokaal op het eindpunt opgeslagen. Deze worden namelijk gedecodeerd in de Keeper Gateway en via een versleuteld kanaal verzonden om wachtwoordloze toegang mogelijk te maken. Elke query en sessie wordt opgenomen in een gedetailleerde audittrail, de toegang wordt geregeld met Just-in-Time (JIT)-inrichting en KeeperAI^® analyseert continu activiteiten op verdachte zoekopdrachten en pogingen tot gegevensexfiltratie. Of KeeperDB nu als zelfstandige client of via KeeperPAM wordt gebruikt: teams beschikken hiermee over één enkele tool waarmee ze in verschillende protocollen en omgevingen kunnen werken, zodat ze niet meer tussen applicaties hoeven te schakelen wanneer ze meerdere databases beheren.

Wat is DBeaver?

DBeaver is een veelgebruikte databasebeheerclient voor ontwikkelaars en databasebeheerders die een flexibele omgeving nodig hebben om met gegevens te werken. Het ondersteunt SQL-, NoSQL- en cloudgebaseerde gegevensbronnen vanuit één interface, waardoor het een populaire keuze is voor teams die diverse databaseomgevingen beheren. DBeaver bevat diverse productiviteitsfuncties, zoals een volwaardige SQL-editor, schema-visualisatie, ER-diagrammen, query-prestatieanalyse en uitgebreide plug-ins. Dankzij de brede compatibiliteit met meer dan 100 databasesystemen is het geschikt voor teams die werken met verouderde platforms, gemengde infrastructuren of niche-gegevensbronnen.

DBeaver biedt een gratis, open-source Community-editie die de basisprincipes van algemeen databasebeheer dekt, evenals betaalde edities die meer geavanceerde mogelijkheden toevoegen, zoals cloud-integraties, Single Sign-On (SSO) en extra ontwikkelaarstools. Hoewel DBeaver prioriteit geeft aan flexibiliteit en efficiëntie, biedt geen enkele editie biometrische authenticatie of het ophalen van aanmeldingsgegevens uit een kluis.

KeeperDB versus DBeaver: vergelijking van functies

KeeperDB en DBeaver bieden beide mogelijkheden voor databasebeheer, maar ze zijn gebaseerd op verschillende kernprincipes en prioriteiten. Hieronder volgt een vergelijking:

Dagelijkse gebruikerservaring

KeeperDB is ontworpen als de tool die DBA’s werkelijk willen gebruiken, compleet met een moderne interface, query-editor, SQL-notebook, schemaverkenner, ER-diagrammen, ingebouwde AI-agent en een realtime prestatiemonitor. DBeaver biedt een uitgebreide reeks functies en een goed ontwikkeld ecosysteem van plug-ins, wat bijdraagt aan het wijdverbreide gebruik ervan. KeeperDB combineert echter de visuele aantrekkingskracht met biometrische authenticatie en het ophalen van aanmeldingsgegevens uit een kluis, terwijl DBeaver – net als de meeste oudere cliënten – standaard nog steeds afhankelijk is van aanmeldingsgegevens die lokaal op het eindpunt zijn opgeslagen.

Beveiliging en toegang

KeeperDB authenticeert met Face ID of Windows Hello en haalt de database met aanmeldingsgegevens op uit Keeper Secrets Manager tijdens het verbinden, zodat de gegevens niet in platte tekst in configuratiebestanden op het eindpunt blijven staan. Wanneer KeeperDB wordt gebruikt in KeeperPAM of wanneer een bestaande client via de KeeperDB-proxy wordt geleid, komen de aanmeldingsgegevens nooit bij het eindpunt terecht. Elke sessie wordt opgenomen en de wachtwoordloze toegang wordt geregeld door zero-trust beveiligingsbeleidsregels.

DBeaver ondersteunt SSO, Kerberos en MFA in de betaalde abonnementen, waarbij het beheer van aanmeldingsgegevens beschikbaar is via een geheimenbeheerder, specifiek in het Ultimate-abonnement. Hoewel dit handige functies zijn, vormen ze slechts aanvullingen op een tool waarbij productiviteit voorop staat en waarin aanmeldingsgegevens standaard nog lokaal worden opgeslagen. Wanneer KeeperDB in KeeperPAM wordt geïmplementeerd, komen aanmeldingsgegevens nooit bij het eindpunt terecht; elke sessie wordt geregistreerd en de toegang wordt geregeld door zero-trust beveiligingsbeleidsregels. DBeaver biedt weliswaar toegangsbeheer in de betaalde abonnementen, maar biedt geen bescherming tegen het injecteren van aanmeldingsgegevens en sessie-opnames. Dit betekent dat het niet het beveiligings- en bestuursniveau van KeeperDB evenaart.

Compatibiliteit en databaseondersteuning

KeeperDB ondersteunt de belangrijkste enterprise-databaseplatforms – PostgreSQL, MySQL, Microsoft SQL Server, Oracle, Amazon Redshift en SQLite – met een consistente interface voor al deze platforms. Hierdoor hoeven DBA’s die meerdere databases beheren niet tussen verschillende tools te schakelen. DBeaver daarentegen ondersteunt meer dan 100 databasesystemen, waaronder NoSQL, waardoor het een sterke keuze is voor algemeen gebruik of voor teams die werken met verouderde, niche of diverse gegevensbronnen die buiten grote enterprise-platforms vallen.

Tarieven

KeeperDB is beschikbaar als een gratis zelfstandige desktopapplicatie, met geavanceerde mogelijkheden via een betaald abonnement. Organisaties met een KeeperPAM-licentie beschikken ook over KeeperDB, dat in het platform is geïntegreerd en rechtstreeks vanuit de Keeper-kluis kan worden gestart als een gereguleerde, geïntegreerde databasesessie. Dit biedt teams de flexibiliteit om te beginnen met KeeperDB als een moderne, zelfstandige databaseclient en uit te breiden naar geavanceerde beveiliging met PAM naarmate hun behoeften veranderen. DBeaver werkt, net als KeeperDB, volgens een model waarbij de basisversie gratis is en er voor extra functies betaald moet worden. De Community-editie is gratis en open source. Betaalde versies zoals Pro en Ultimate bieden op bedrijven gerichte functies, zoals cloudintegraties en extra databasedrivers.

Welke databasetool met meerdere protocollen past beter bij u: KeeperDB of DBeaver?

Overweeg bij uw keuze tussen KeeperDB en DBeaver de prioriteiten van uw team, de nalevingsvereisten en het algehele beveiligingsniveau.

KeeperDB is wellicht een betere keuze als:

• U wilt een moderne, visueel aantrekkelijke vervanger voor verouderde tools zoals DBeaver of MySQL Workbench.
• U wilt biometrische authenticatie en aanmeldingsgegevens ophalen uit Keeper Secrets Manager in plaats van deze op te slaan in lokale configuratiebestanden.
• U wilt een ingebouwde AI-agent gebruiken die uw favoriete LLM-provider ook gebruikt.
• U heeft te maken met nalevingsvereisten waaraan u moet voldoen, waaronder FedRAMP, SOC 2, of HIPAA, en vereist volledige sessie-monitoring, registratie en auditing.
• U maakt al gebruik van Keeper en wilt vanaf hetzelfde platform toegang krijgen tot databases, of u wilt in de toekomst kunnen uitbreiden naar beheerde geprivilegieerde toegang.

DBeaver is wellicht een betere keuze als:

• U hebt behoefte aan brede databasecompatibiliteit met uiteenlopende of niche-databasetypen, waaronder NoSQL.
• U bent afhankelijk van een specifieke plug-in of integratie binnen het DBeaver-ecosysteem.
• U geeft de voorkeur aan een open-source client met een grote community.

Indien uw omgeving gebruikmaakt van NoSQL- of niche-databasetypen die KeeperDB momenteel niet ondersteunt, is DBeaver een goede keuze voor die specifieke verbindingen. Met KeeperDB-proxy hoeft u niet te kiezen – uw team behoudt de DBeaver-interface die het altijd al heeft gebruikt, terwijl Keeper de beveiliging en het bestuur op de achtergrond afhandelt.

Hoe KeeperDB-proxy u beide laat gebruiken

Als uw team DBeaver gebruikt en nog niet klaar is om van tool te wisselen, stelt KeeperDB-proxy ontwikkelaars in staat om hun favoriete databaseclients – inclusief DBeaver – te blijven gebruiken, terwijl alle verbindingen veilig via Keeper worden gerouteerd. Gecentraliseerde beleidshandhaving, volledig inzicht en de zero-knowledge architectuur van Keeper worden allemaal op de achtergrond gehandhaafd, waardoor bestaande workflows niet worden verstoord. KeeperDB-proxy biedt een dubbel voordeel: de flexibiliteit van DBeaver in combinatie met de beveiliging en het beheer van Keeper.

Voor meer informatie over hoe KeeperDB-proxy werkt, bekijkt u onze documentatie.

Prioriteer de beveiliging van databasetoegang met KeeperDB

KeeperDB werkt als zelfstandige client en vormt een moderne vervanging voor verouderde tools. Zodra uw team er klaar voor is, kan dezelfde tool worden uitgebreid tot KeeperPAM voor wachtwoordloze authenticatie, het ophalen van aanmeldingsgegevens uit de kluis en zero-trust bestuur. DBeaver blijft een flexibele, breed compatibele tool voor zowel algeheel als specifiek gebruik, maar kan niet tippen aan de dagelijkse gebruiksvriendelijkheid en de beveiliging op bedrijfsniveau van KeeperDB.

Download KeeperDB om de manier waarop uw team met databases werkt te moderniseren. Start een gratis proefperiode van KeeperPAM en schaal naar beheerde, veilige toegang tot databases.

Belangrijkste bevindingen

• NIS2 is het vernieuwde cyberbeveiligingskader van de EU dat strengere vereisten introduceert, een bredere sectorale dekking biedt en de verantwoordingsplicht van leidinggevenden verhogen voor organisaties die in de EU actief zijn.
• NIS2 heeft de oorspronkelijke NIS-richtlijn vervangen, omdat het oorspronkelijke kader geen gelijke tred kon houden met moderne ransomware, aanvallen via de toeleveringsketen en geavanceerde cyberbedreigingen die gericht zijn op kritieke infrastructuur.
• NIS2 is vooral van toepassing op middelgrote en grote organisaties die actief zijn in de sectoren die onder de regeling vallen; sommige entiteiten moeten er echter, ongeacht hun omvang, aan voldoen vanwege het cruciale karakter van hun services.
• In artikel 21 worden de zeven belangrijkste beveiligingsmaatregelen beschreven die organisaties moeten implementeren, zoals risicomanagement, incidentrespons en beveiliging van de toeleveringsketen.
• Tot de veelvoorkomende tekortkomingen op het gebied van NIS2-naleving behoren onder meer een inconsistente handhaving van MFA, onvoldoende inzicht in leveranciers en zwak beheer van Privileged Access Management (PAM).
• De gevolgen van niet-naleving kunnen boetes tot € 10.000.000 of 2% van de wereldwijde jaarlijkse omzet (afhankelijk van wat hoger is) voor essentiële entiteiten omvatten, naast verplichte rapportageverplichtingen binnen 24 uur, 72 uur en een maand na een significant incident.

Waarom NIS2 de oorspronkelijke NIS-richtlijn heeft vervangen

De vroegere NIS-richtlijn omvatte voornamelijk traditionele kritieke infrastructuren en richtte zich op perimeterbeveiliging. Er ontbraken duidelijke rapportageverplichtingen en de uitvoering ervan verliep niet in alle EU-lidstaten op dezelfde manier, waardoor de effectiviteit ervan werd beperkt. NIS2 breidt de dekking uit over sectoren die zijn gedefinieerd in Bijlagen I en II, introduceert strengere rapportagetijden voor incidenten en legt meer verantwoordelijkheid bij het uitvoerend management, inclusief persoonlijke aansprakelijkheid in de nationale implementaties van sommige lidstaten. Deze verschuiving betekent een overgang van minimale beveiligingsvereisten naar een meer proactieve benadering van cyberweerbaarheid.

Wie is verplicht om aan NIS2 te voldoen?

NIS2 deelt organisaties in twee hoofdgroepen in: essentiële entiteiten en belangrijke entiteiten. Beide moeten voldoen aan de cyberbeveilgings- en rapportageverplichtingen van NIS2, hoewel essentiële entiteiten te maken krijgen met strenger toezicht en mogelijk zwaardere sancties.

Het NIS2 is over het algemeen van toepassing op middelgrote en grote organisaties die actief zijn in de betreffende sectoren. Volgens de EU-definitie zijn middelgrote ondernemingen, die 50 of meer werknemers hebben en een jaarlijkse omzet van meer dan € 10.000.000 – (beide criteria worden samen beschouwd), geen alternatieven. De sectoren die onder NIS2 vallen zijn divers, zoals gezondheidszorg, industrie, financiële diensten, energie, transport, water, digitale infrastructuur, ruimte en afvalbeheer.

De omvang van een organisatie bepaalt niet de reikwijdte van NIS2. Sommige entiteiten vallen onder het toepassingsgebied indien hun services als cruciaal worden beschouwd voor de maatschappelijke of economische stabiliteit. Voor organisaties die in meerdere EU-lidstaten actief zijn, is NIS2 op nationaal niveau van toepassing. De nalevingsvereisten kunnen dus variëren, afhankelijk van de wijze waarop elk land NIS2 in nationale wetgeving heeft omgezet.

7 beveiligingsmaatregelen die organisaties moeten nemen om aan de NIS2-voorschriften te voldoen

Artikel 21 van NIS2 beschrijft de cyberbeveiligingsmaatregelen die organisaties moeten implementeren. De beveiligingsmaatregelen geven grotendeels weer hoe een goed opgezet beveiligingsprogramma eruit moet zien, maar veel organisaties ondervinden problemen bij de implementatie vanwege het uitgebreide juridische jargon in de richtlijn. Hieronder volgen de zeven belangrijkste gebieden waarop het kader betrekking heeft.

1. Risicobeheer

Onder NIS2 moeten organisaties een doorlopend risicobeheerproces vaststellen, in plaats van te vertrouwen op eenmalige beoordelingen. Organisaties moeten voortdurend vaststellen waar hun beveiligingsrisico’s liggen, de potentiële schade die deze risico’s kunnen veroorzaken beoordelen en deze regelmatig aanpakken. Dit houdt in dat er regelmatig risicobeoordelingen moeten worden uitgevoerd, dat er gedocumenteerde risicobeperkingsplannen moeten worden bijgehouden en dat de activiteiten voortdurend moeten worden gemonitord om nieuwe bedreigingen op te sporen. Uiteindelijk moet iemand binnen een organisatie verantwoordelijk worden gehouden voor elk geïdentificeerd risico en voor het beperken ervan.

2. Capaciteit voor incidentrespons

NIS2 vereist dat organisaties formele procedures voor incidentrespons hanteren voordat zich een beveiligingsincident voordoet, om te voorkomen dat er tijdens een dergelijk incident chaos ontstaat. Dit houdt in dat er een gedocumenteerd plan voor Incidentrespons moet zijn met duidelijk omschreven verantwoordelijkheden, zodat er geen onduidelijkheid bestaat over wie bepaalde taken moet uitvoeren. Het testen van die plannen is net zo belangrijk als het opstellen ervan. Als er bijvoorbeeld midden in de nacht ransomware wordt gedetecteerd in een deel van het netwerk van een organisatie, kan het verschil worden gemaakt tussen het beperken van het incident en het ondervinden van een grote storing, afhankelijk van de vraag of een team het proces heeft geoefend.

3. Bedrijfscontinuïteit

NIS2 verwacht van organisaties dat ze tijdens en na cyberincidenten veerkrachtig blijven, met inbegrip van back-up- en herstelprocessen, toegankelijke gegevensopslag in geval van een systeemcompromis en de mogelijkheid om systemen binnen vastgestelde termijnen te herstellen. Een plan voor rampenherstel moet duidelijke hersteltijdsdoelstellingen definiëren en aangeven hoe lang de organisatie realistisch gezien een operationele verstoring kan verduren. Door regelmatig veerkrachttests uit te voeren, wordt gewaarborgd dat deze plannen in de praktijk werken. Waar dit vanuit operationeel oogpunt wenselijk is, biedt redundantie in kritieke systemen en infrastructuur een extra beschermingslaag. Het beveiligen van aanmeldingsgegevens en toegang tot kritieke systemen staat centraal bij bedrijfscontinuïteit, aangezien herstel aanzienlijk moeilijker wordt wanneer de sleutels tot de infrastructuur tot de gecompromitteerde bedrijfsmiddelen behoren.

4. Beveiliging van de toeleveringsketen

NIS2 legt een sterke nadruk op risicobeheer door externe partijen. NIS2 maakt duidelijk dat organisaties verantwoordelijk zijn voor het beheer van risico’s die door leveranciers, serviceproviders en toeleveranciers worden geïntroduceerd. Voor een optimale transparantie moeten organisaties weten welke externe partijen toegang hebben tot hun systemen, welk toegangsniveau zij hebben en of leveranciers passende beveiligingsmaatregelen hanteren. Risicobeoordelingen van leveranciers, toegangsbeoordelingen en voortdurende monitoring dienen standaard operationele processen te worden. Uit recente aanvallen op de toeleveringsketen is gebleken dat blootstelling aan risico’s door externe partijen al snel een ernstig risico voor de organisatie kan vormen.

5. Toegangscontrole en identiteitsbeheer

Organisaties moeten kunnen bepalen wie er toegang heeft tot hun systemen en wat zij met die toegang kunnen doen om het aanvalsoppervlak te verkleinen. Als onderdeel van de belangrijkste vereisten van NIS2 dient het principe van minimale privileges (PoLP) als leidraad voor de wijze waarop toegang wordt verleend, waarbij gebruikers en systemen uitsluitend toegang krijgen tot wat nodig is. Op rollen gebaseerde toegangscontrole (RBAC) biedt de structuur om dit consequent en op grote schaal af te dwingen. Het beheer van de levenscyclus van gebruikers helpt om slapende of verweesde accounts aan te pakken die in de toekomst kunnen leiden tot beveiligingsrisico’s. Dit is vooral belangrijk voor geprivilegieerde accounts, aangezien beheerders en serviceaccounts met geprivilegieerde toegang waardevolle doelwitten zijn. Door PAM te combineren met strenge beveiliging van aanmeldingsgegevens binnen de gehele organisatie, worden deze accounts beveiligd, gemonitord en geauditeerd.

6. Versleuteling en cryptografie

Zelfs de best voorbereide organisaties kunnen te maken krijgen met een datalek. Versleuteling speelt een rol bij het bepalen van de omvang van de schade die een dergelijk lek daadwerkelijk veroorzaakt. NIS2 verwacht van organisaties dat zij zowel opgeslagen als verzonden gegevens versleutelen, aanmeldingsgegevens en gevoelige informatie beschermen en gebruikmaken van veilige cryptografische standaarden. NIS2 schrijft geen specifieke encryptiearchitectuur voor. Zero-knowledge encryptie gaat echter verder dan de basisvereisten en kan extra bescherming bieden aan organisaties die gevoelige aanmeldingsgegevens en gegevens verwerken. In een zero-knowledge-omgeving worden gegevens op apparaatniveau versleuteld en ontcijfers, wat betekent dat zelfs de serviceprovider er geen toegang toe heeft.

7. MFA en veilige authenticatie

Aangezien gecompromitteerde aanmeldingsgegevens een van de meest voorkomende toegangspunten zijn voor cybercriminelen, vereist NIS2 dat organisaties sterke authenticatiecontroles implementeren voor alle systemen en gebruikers. Dit omvat het afdwingen van multi-factor-authenticatie (MFA), waarmee een extra verificatielaag wordt toegevoegd die de impact van gestolen aanmeldingsgegevens beperkt. Organisaties zouden waar mogelijk phishingbestendige wachtwoordloze authenticatiemethoden moeten inschakelen om het risico te elimineren dat gebruikers worden gemanipuleerd om aanmeldingsgegevens te delen of prompts goed te keuren. Door deze beveiligingsmaatregelen wordt het voor cybercriminelen veel moeilijker om ongeoorloofde toegang te verkrijgen en wordt de impact van gestolen aanmeldingsgegevens aanzienlijk beperkt.

Organisaties die zoeken naar praktische volgende stappen, kunnen onze gids bekijken over hoe organisaties zich effectief kunnen voorbereiden op NIS2.

Veelvoorkomende tekortkomingen van organisaties op het gebied van NIS2-naleving

De meeste organisaties hebben al enkele beveiligingsmaatregelen ingevoerd, maar operationele zwaktes verhinderen vaak volledige naleving, vooral met de NIS2-richtlijn. Als organisaties de richtlijn niet begrijpen en de voorschriften ervan niet naleven, kan dit gevolgen hebben.

Onvolledige handhaving van MFA

Veel organisaties passen MFA op inconsistente wijze toe. Hoewel gebruikersaccounts wellicht beveiligd zijn, kunnen er nog steeds kwetsbaarheden bestaan in verouderde systemen of bij VPN-toegang die nog volledig afhankelijk zijn van traditionele wachtwoorden. Gedeeltelijke MFA-implementatie zorgt voor kwetsbare toegangspunten voor cybercriminelen en ondermijnt bredere beveiligingsinspanningen door onbeveiligde geprivilegieerde of externe toegang.

Slechte zichtbaarheid van leveranciers

De vereisten voor de toeleveringsketen van NIS2 onthullen voor veel organisaties een ongelukkige waarheid: ze hebben geen duidelijk inzicht in wie toegang heeft tot hun omgeving of welke risico’s externe partijen met zich meebrengen. Leverancierstoegang bevat vaak te hoge machtigingen, maar wordt zelden beoordeeld. Zonder volledige zichtbaarheid kunnen organisaties de risico’s van derden onder NIS2 niet effectief beheren.

Zwakke geprivilegieerde toegangscontrole

Geprivilegieerde accounts behoren tot de activa met het hoogste risico binnen elke organisatie, maar de beveiligingsmaatregelen rondom deze accounts zijn vaak zeer zwak. Gedeelde administratieve aanmeldingsgegevens en permanente privileges blijven gebruikelijk, maar vergroten het aanvalsoppervlak en het risico op misbruik van aanmeldingsgegevens. NIS2 verwacht strengere beheersmaatregelen rond geprivilegieerde toegang, sessiemonitoring en audits.

Tijdlijnen voor het melden van incidenten in NIS2

NIS2 introduceert gestructureerde rapportageverplichtingen na aanzienlijke cyberbeveiligingsincidenten. Organisaties dienen een vast, meerfasig proces te volgen vanaf het moment dat zij op de hoogte raken van een ernstig incident:

1. Binnen 24 uur: dien een vroegtijdige waarschuwing in bij de bevoegde nationale autoriteiten waarin wordt bevestigd dat er een ernstig incident gaande is.
2. Binnen 72 uur: geef een vollediger beeld van het incident, met informatie over de aard en de gevolgen ervan.
3. Binnen één maand: dien een eindrapport in waarin een volledig overzicht wordt gegeven van wat er is gebeurd, hoe hiermee is omgegaan en welke maatregelen er worden genomen om herhaling te voorkomen.

Om deze termijnen te halen, moeten organisaties beveiligingsincidenten direct bij het optreden ervan monitoren en registreren, zodat ze achteraf niet moeizaam een nauwkeurig tijdschema van de gebeurtenissen hoeven op te stellen. Uiteindelijk vereist naleving van de NIS2-richtlijn dat organisaties volwassen cyberbeveiligingspraktijken invoeren, hun operationele veerkracht vergroten en volledig inzicht behouden in alle gebruikers en systemen om beveiligingsrisico’s te beperken.

Hoe Keeper kan helpen bij het naleven van NIS2-naleving

Om te voldoen aan de NIS2-normen is een betrouwbare beveiligingsinfrastructuur nodig die gedetailleerde toegangscontroles kan afdwingen, aanmeldingsgegevens kan beschermen en volledig inzicht biedt om risico’s op grote schaal te beheren. Het zero-knowledge identiteitsbeveiligingsplatform van Keeper ondersteunt organisaties door meerdere beveiligingsoplossingen te consolideren, waaronder PAM, wachtwoordbeheer, geheimenbeheer, eindpuntprivilegebeheer en beveiligde externe toegang. Om aan een aantal van de strengste vereisten van NIS2 te voldoen, biedt Keeper geavanceerde functies zoals RBAC, verplichte MFA, audit van aanmeldingsgegevens, sessiemonitoring, en zero-trust beveiliging. Of u nu net begint met het implementeren van NIS2-maatregelen of uw bestaande beveiligingsniveau wilt verbeteren: met Keeper kan uw organisatie vol vertrouwen voldoen aan de NIS2-vereisten.

Begin vandaag nog met uw gratis Keeper-proefperiode en versterk de paraatheid van uw organisatie om aan de NIS2-vereisten te voldoen

Lees verder voor meer informatie over IT-beveiliging en hoe bedrijven deze kunnen implementeren.

Belangrijkste bevindingen

• IT-beveiliging beschermt de systemen, netwerken en gegevens van een organisatie tegen ongeoorloofde toegang en cyberbedreigingen.
• Hoewel IT-beveiliging, informatiebeveiliging en cyberbeveiliging vaak door elkaar worden gebruikt, is informatiebeveiliging de breedste discipline, waarbij IT-beveiliging en cyberbeveiliging gespecialiseerde subsets vormen.
• De meest voorkomende bedreigingen voor de IT-beveiliging zijn malware, ransomware, phishing en interne bedreigingen, die allemaal ernstige financiële en operationele gevolgen kunnen hebben.
• Sterke identiteitscontroles zoals zero-trust beveiliging, RBAC en PAM behoren tot de meest effectieve beveiligingsmaatregelen die organisaties kunnen implementeren.
• AI stelt cybercriminelen in staat om aanvallen te automatiseren, overtuigende phishing-inhoud te genereren en operaties op te schalen die voorheen aanzienlijke middelen en expertise vereisten, waardoor proactieve beveiligingsmaatregelen belangrijker dan ooit zijn.

IT-beveiliging versus informatiebeveiliging versus cyberbeveiliging

Hoewel IT-beveiliging, informatiebeveiliging en cyberbeveiliging door elkaar kunnen worden gebruikt, heeft elke term een eigen betekenis. Dit zijn de belangrijkste verschillen:

Informatiebeveiliging is simpelweg het overkoepelende begrip waaronder IT-beveiliging en cyberbeveiliging vallen, waarbij elk van deze gebieden zich op een specifieker deelgebied richt. In de praktijk kan informatiebeveiliging bijvoorbeeld bestaan uit het beveiligingsbeleid van een bedrijf met betrekking tot bestanden die op de servers en in archiefkasten zijn opgeslagen. IT-beveiliging kan bijvoorbeeld bestaan uit een IT-team dat multi-factor-authenticatie (MFA) afdwingt op alle apparaten van medewerkers, terwijl cyberbeveiliging erop gericht is om kwaadaardig verkeer te blokkeren, zodat dit de applicaties van het bedrijf niet kan bereiken.

De drie beschermingsdoelen van IT-beveiliging

In het hart van elke IT-beveiligingsstrategie staan drie belangrijke doelstellingen, die bekendstaan als de CIA-triade: vertrouwelijkheid, integriteit en beschikbaarheid. Deze principes vormen de basis van elk IT-beveiligingsbeleid en van elke controle die een organisatie uitvoert.

• Vertrouwelijkheid: zorgt ervoor dat gevoelige informatie alleen toegankelijk is voor geautoriseerde gebruikers. Dit doel voorkomt ongeautoriseerde toegang of misbruik via maatregelen, zoals versleuteling en MFA. Een zorginstelling zou bijvoorbeeld patiëntendossiers moeten versleutelen, zodat alleen bevoegde zorgverleners er toegang toe hebben.
• Integriteit: handhaaft de nauwkeurigheid en consistentie van gegevens, zodat gegevens niet worden aangepast door ongeautoriseerde partijen. Of het nu per ongeluk of opzettelijk gebeurt: elke ongeoorloofde wijziging vormt een inbreuk op de gegevensintegriteit. Een bank kan in de praktijk vertrouwen op de gegevensintegriteit om ervoor te zorgen dat transactiegegevens niet kunnen worden gewijzigd tussen het moment waarop een betaling wordt verricht en het moment waarop deze wordt verwerkt.
• Beschikbaarheid: zorgt ervoor dat systemen, data en netwerken toegankelijk zijn voor geautoriseerde gebruikers wanneer ze nodig zijn. Dit betekent zowel het voorkomen van serviceonderbrekingen als het hebben van herstelplannen voor het geval dat. Een voorbeeld hiervan is een bedrijf dat investeert in systemen voor noodherstel om ervoor te zorgen dat het eigen online platform ook bij een hardwarefout online blijft.

IT-beveiligingsbedreigingen: de meest voorkomende soorten aanvallen

Door inzicht te krijgen in de meest voorkomende soorten van cyberaanvallen en IT-beveiligingsbedreigingen, begrijpen organisaties hoe ze zich hiertegen kunnen verdedigen.

Malware en ransomware

Malware is kwaadaardige software die is ontworpen om een systeem te infiltreren, te beschadigen of er ongeautoriseerde toegang toe te verkrijgen. Een van de meest schadelijke soorten malware is ransomware, waarbij cybercriminelen de bestanden van een organisatie versleutelen en losgeld eisen voor de vrijgave ervan. Succesvolle ransomware-aanvallen kunnen de operatie verstoren, organisaties uitsluiten van kritieke systemen of ernstige financiële verliezen veroorzaken.

Phishing en social engineering

Phishingaanvallen houden in dat mensen worden gemanipuleerd om gevoelige informatie, zoals aanmeldingsgegevens, te delen door zich voor te doen als een betrouwbare bron. Phishing is een van de meest voorkomende vormen van social engineering — een categorie aanvallen waarbij misbruik wordt gemaakt van menselijk gedrag in plaats van beveiligingskwetsbaarheden om ongeoorloofde toegang te krijgen. Aanvallers maken misbruik van mensen omdat ze moeilijker te patchen zijn dan software. Daarom blijft phishing een van de meest voorkomende toegangspunten voor datalekken.

Interne bedreigingen

Bij interne bedreigingen gaat het om huidige of voormalige werknemers, contractanten of partners die misbruik maken van hun toegang tot de systemen en gegevens van een organisatie. Of interne bedreigingen nu opzettelijk of door nalatigheid ontstaan: ze zijn bijzonder moeilijk op te sporen en in te dammen, omdat interne personen reeds legitieme toegang hebben tot gevoelige informatie en kritieke systemen.

DDoS-aanvallen

Distributed Denial-of-Service (DDoS)-aanvallen overspoelen een doelwitserver, netwerk of applicatie met een toestroom van verkeer, waardoor deze onbeschikbaar wordt voor legitieme gebruikers. Dit soort aanvallen wordt vaak gebruikt om reputatieschade te veroorzaken of om de aandacht af te leiden terwijl er een andere cyberaanval wordt uitgevoerd. Organisaties met klantgerichte applicaties of online services zijn bijzonder kwetsbaar voor dit soort aanvallen.

IT-beveiliging implementeren

De moderne IT-beveiliging is in hoge mate afhankelijk van identiteits- en toegangsbeheer (IAM), aangezien het bepalen wie toegang heeft tot wat een van de meest effectieve manieren is om het aanvalsoppervlak van een organisatie te verkleinen. Of een medewerker zich nu aanmeldt bij een bedrijfsapplicatie of een beheerder toegang krijgt tot gevoelige gegevens: het verifiëren van de identiteit en het handhaven van gedetailleerde toegangsbeperkingen zijn essentieel om systemen en gegevens te beveiligen. Dit betekent dat organisaties het principe van minimale privileges (PoLP) moeten toepassen door strenge authenticatiemethoden zoals MFA verplicht te stellen en aanmeldingsgegevens te beveiligen met wachtwoordbeheersystemen voor bedrijven of oplossingen voor Privileged Access Management (PAM).

Privileged Access Management (PAM)

PAM is een cyberbeveiligingsoplossing waarmee organisaties de toegang tot hun meest kritieke systemen en accounts kunnen beheren en monitoren. Geprivilegieerde accounts, die doorgaans worden beheerd door beheerders en DevOps-teams, beschikken over uitgebreide rechten. Als deze accounts worden gehackt, kunnen cybercriminelen hierdoor uitgebreide toegang krijgen tot gevoelige gegevens en infrastructuur. Door toegang met minimale privileges af te dwingen, aanmeldingsgegevens automatisch te vernieuwen en volledig inzicht in sessies te bieden, vermindert PAM het risico op datalekken en interne bedreigingen aanzienlijk.

Zero-trust beveiliging en RBAC

Zero-trust beveiliging en Rolgebaseerde toegangscontrole (RBAC) werken samen om ervoor te zorgen dat de toegang wordt beperkt per gebruikersidentiteit en rol. Zero-trust werkt volgens het principe van “nooit vertrouwen, altijd verifiëren”, wat inhoudt dat geen enkele gebruiker, apparaat of systeem standaard toegang krijgt en elk toegangsverzoek voortdurend wordt geverifieerd. RBAC vult dit aan door rechten toe te kennen op basis van de taak van een gebruiker in plaats van individueel, zodat elke rol alleen toegang heeft tot wat nodig is. Gecombineerd maken deze twee benaderingen het veel moeilijker voor cybercriminelen om zich lateraal door een netwerk te bewegen of overmatig ingerichte accounts te exploiteren.

Wachtwoordbeheer

Een wachtwoordbeheerder voor ondernemingen is een oplossing die aanmeldingsgegevens veilig opslaat, beheert en automatisch invult in de accounts en applicaties van een organisatie. In plaats van erop te vertrouwen dat u als medewerker handmatig wachtwoorden aanmaakt en beheert – wat vaak leidt tot zwakke of hergebruikte wachtwoorden – zorgt een wachtwoordbeheerder voor bedrijven ervoor dat elk account een sterk en uniek wachtwoord heeft en dat deze in een versleutelde kluis worden opgeslagen. Het gebruik van een wachtwoordbeheerder elimineert een van de meest voorkomende oorzaken van datalekken en geeft IT-teams controle over de beveiliging van aanmeldingsgegevens binnen de gehele organisatie.

Multi-factor-authenticatie (MFA) en wachtwoordloze authenticatie

MFA versterkt de accountbeveiliging door gebruikers te verplichten hun identiteit te verifiëren met twee of meer factoren voordat er toegang wordt verleend. Een gebruiker kan zich bijvoorbeeld authenticeren met een wachtwoord en een biometrische scan. Zelfs als het wachtwoord is gecompromitteerd, is de tweede authenticatiefactor nog steeds vereist voor toegang. Aangezien organisaties tegenwoordig verder gaan dan traditionele wachtwoordauthenticatie, worden wachtwoordloze authenticatiemethoden, zoals toegangssleutels en biometrie, steeds vaker gebruikt. Deze wachtwoordloze methoden elimineren de kwetsbaarheden van aanmeldingsgegevens die MFA in de eerste plaats moest compenseren.

Geheimenbeheer

In de IT-beveiliging worden onder ‘geheimen’ de aanmeldingsgegevens verstaan die door applicaties en systemen worden gebruikt om zich te authenticeren en met elkaar te communiceren. Enkele voorbeelden zijn API-sleutels, tokens en certificaten. In tegenstelling tot traditionele wachtwoorden die door menselijke gebruikers worden gebruikt, worden geheimen vaak hardgecodeerd in configuratiebestanden en coderepositories. Hiervoor vormen ze een vaak over het hoofd geziene, maar zeer exploiteerbare aanvalsvector. Een oplossing voor geheimenbeheer zorgt ervoor dat geheimen veilig worden opgeslagen, automatisch worden gerouleerd en alleen toegankelijk zijn voor de systemen en services die ze nodig hebben.

Versleuteling en beveiligde gegevensoverdracht

Versleuteling is het proces waarbij gegevens worden omgezet in een onleesbare vorm die alleen door een bevoegde partij met de juiste ontsleutelingssleutel gelezen kan worden. Versleuteling is een van de meest essentiële aspecten van IT-beveiliging en zorgt ervoor dat gegevens, zelfs als ze worden onderschept of door een onbevoegde gebruiker worden ingezien, onleesbaar en onbruikbaar blijven. Versleuteling is van toepassing op gegevens in rust en gegevens die worden verzonden. Ook beschermt het zowel opgeslagen gegevens als informatie die via netwerken wordt verzonden. Beveiligde transmissieprotocollen zoals Transport Layer Security (TLS) beschermen gegevens tijdens de overdracht tussen systemen en gebruikers. Zo wordt gewaarborgd dat gevoelige gegevens tijdens de verzending niet kunnen worden gemanipuleerd of onderschept.

Hoe AI cyberaanvallen verandert

Dankzij kunstmatige intelligentie (AI) kunnen cybercriminelen aanvallen uitvoeren die sneller verlopen, op grotere schaal plaatsvinden en technisch geavanceerder zijn. AI wordt gebruikt om overtuigende phishing-e-mails te genereren met geavanceerde social engineering-tactieken die steeds moeilijker te herkennen zijn voor medewerkers. Het is nu meer dan ooit van belang dat IT- en beveiligingsteams beveiligingsmaatregelen ontwikkelen die systemen, gegevens en aanmeldingsgegevens beschermen tegen sterk geautomatiseerde en intelligente cyberbedreigingen. Het toepassen van best practices, zoals het handhaven van strenge toegangscontroles, MFA en PAM, is van cruciaal belang om u te beschermen tegen AI-aangestuurde cyberaanvallen. Keeper helpt organisaties bij het opzetten van deze beveiligingsmaatregelen met een uniform platform voor identiteitsbeveiliging dat wachtwoordbeheer op bedrijfsniveau, het afdwingen van MFA, geheimenbeheer en PAM combineert om ervoor te zorgen dat alle identiteiten, aanmeldingsgegevens en systemen worden beschermd.

Start uw gratis proefversie van KeeperPAM om de IT-beveiligingsstrategie van uw organisatie te verbeteren.

Lees verder om meer te weten te komen over CMMC Level 2, waarom het belangrijk is voor onderzoeksuniversiteiten en hoe Keeper CMMC-naleving ondersteunt.

Wat is CMMC Level 2?

CMMC omvat meerdere certificeringsniveaus. Instellingen die betrokken zijn bij door het DoD gefinancierd onderzoek zullen echter waarschijnlijk te maken krijgen met de eisen van CMMC Level 2. CMMC Level 2 is van toepassing op organisaties die CUI opslaan, verwerken of delen om ervoor te zorgen dat gevoelige overheidsinformatie beschermd is tegen potentiële cyberdreigingen en ongeautoriseerde toegang. CMMC Level 2 sluit aan bij de beveiligingsmaatregelen zoals beschreven in de National Institute of Standards and Technology (NIST) Special Publication 800-171, een kader dat is ontworpen om niet-federale organisaties te helpen CUI te beschermen. De 110 beveiligingsmaatregelen bestrijken een scala aan cyberbeveiligingspraktijken, waaronder toegangscontrole, verificatie, incidentrespons en gegevensintegriteit.

Waarom CMMC Level 2 belangrijk is voor onderzoeksuniversiteiten

Overheidsinstanties nemen zero-trust beveiligingsprincipes over, nu op hen gerichte cyberdreigingen blijven toenemen, maar de CMMC-vereisten zijn niet uitsluitend voorbehouden aan traditionele defensieaannemers. Voor onderzoeksuniversiteiten is CMMC Level 2 bijzonder belangrijk, omdat veel door de overheid gefinancierde onderzoeksprojecten gevoelige gegevens, onderzoeksbevindingen, testresultaten en andere vormen van CUI bevatten. Het behalen van CMMC Level 2 vereist dat instellingen aantonen dat er voldoende beveiligingsmaatregelen zijn om CUI gedurende de hele levenscyclus te beschermen.

De handhavingsregel die CMMC in DoD-contractevereist (48 CFR) is op 10 november 2025 van kracht geworden en DoD-contracten bevatten nu CMMC-vereisten volgens een gefaseerd schema. Tijdens de eerste fase nemen de meeste vereisten de vorm aan van een Level 1 of 2 zelfbeoordeling, hoewel sommige contracten reeds Level 2 certificering vereisen via een gecertificeerde externe beoordelingsorganisatie (C3PAO). Vanaf 10 november 2026 treden de uitgebreide vereisten voor Level 2 C3PAO-certificering in werking. De specifieke vereisten hangen af van de contractdetails en de te verwerken informatie. Onderzoeksuniversiteiten die betrokken zijn bij lopende of toekomstige door het DoD gefinancierde projecten, zouden hun beveiligingspositie nu moeten beoordelen om zich voor te bereiden.

Wat onderzoeksuniversiteiten moeten doen voor CMMC-naleving

Om zich voor te bereiden op naleving van CMMC Level 2 moeten onderzoeksuniversiteiten begrijpen waar in hun omgeving CUI zich bevindt, de huidige beveiligingsmaatregelen evalueren en de lopende nalevingsinspanningen ondersteunen. Door proactief te zijn ten aanzien van naleving van CMMC Level 2 kunnen instellingen hiaten in de beveiliging vroegtijdig identificeren en een sterkere basis leggen voor de bescherming van gevoelige gegevens.

Identificeer waar CUI zich bevindt

Alvorens beveiligingsmaatregelen in te voeren, moeten onderzoeksuniversiteiten inzicht hebben in waar CUI binnen de organisatie wordt opgeslagen en verwerkt. CUI kan bestaan in onderzoeksdatabases, laboratoriumsystemen, cloudplatforms en apparaten die door docenten en onderzoekers worden gebruikt. Omdat universiteiten vaak opereren via meerdere afdelingen en programma’s, kan het een uitdaging zijn om volledig zicht te houden op gevoelige informatie. In veel gevallen kan CUI ook buiten specifieke onderzoeksomgevingen voorkomen, bijvoorbeeld in e-mailberichten, op gedeelde schijven of op apparaten die eigendom zijn van docenten. Het identificeren van deze gegevensbronnen is een belangrijke eerste stap om te bepalen welke gebruikers en systemen aan extra beveiligingscontroles onderworpen moeten worden.

Voer een grondige beoordeling van beveiligingshiaten uit

Nadat CUI is geïdentificeerd, moeten onderzoeksuniversiteiten evalueren hoe hun huidige beveiligingspraktijken zich verhouden tot de vereisten van NIST SP 800-171. Dit moet onder meer een evaluatie omvatten van de bestaande toegangscontroles, monitoringmogelijkheden, incidentresponsplannen en auditprocessen. Universiteiten zouden ook gepriviligeerde accounts moeten inventariseren en hun machtigingen moeten herzien om te bepalen of toegang verder reikt dan wat nodig is voor de rollen van gebruikers. Hoewel veel instellingen al beveiligingsmaatregelen hebben genomen, worden deze controles mogelijk niet consistent geïmplementeerd in alle afdelingen en programma’s.

Implementeer veilige onderzoeksomgevingen

Onderzoeksomgevingen moeten zo worden ingericht dat de toegang tot CUI beperkt blijft tot alleen geautoriseerde gebruikers en systemen. Door de toegang te beperken, vermindert u de blootstelling van gegevens en helpt u om ongeoorloofde bekendmaking van gevoelige informatie te voorkomen. Identity and Access Management-oplossingen (IAM) kunnen universiteiten helpen om toegang met minimale privileges af te dwingen door ervoor te zorgen dat gebruikers alleen de toegangsmachtigingen hebben die nodig zijn om hun werkzaamheden te verrichten. Instellingen zouden ook meerledige verificatie (MFA) verplicht moeten stellen voor alle accounts die toegang hebben tot systemen die CUI bevatten, waaronder omgevingen voor toegang op afstand. Sterke identiteits- en toegangscontroles helpen interne dreigingen te minimaliseren en ondersteunen de CMMC Level 2-vereisten met betrekking tot identificatie en verificatie.

Documenteer SSP’s en POAM’s

Het bijhouden van nauwkeurige systeembeveiligingsplannen (System Security Plans, SSP’s) en actieplannen en mijlpalen (Plans of Action and Milestones, POAM’s) kan toekomstige beoordelingen vereenvoudigen en aantonen dat ze voldoen aan de CMMC Level 2-vereisten. Een SSP documenteert de beveiligingsmaatregelen van een organisatie en definieert hoe deze worden geïmplementeerd en beheerd. Een POAM identificeert beveiligingshiaten en de acties die nodig zijn om deze aan te pakken. Universiteiten zouden deze documentatie als een doorlopend proces moeten beschouwen in plaats van als een eenmalige oefening, om ervoor te zorgen dat de informatie accuraat blijft naarmate systemen en onderzoeksomgevingen in de loop van de tijd veranderen.

Bereid u voor op audits door C3PAO’s

Onderzoeksuniversiteiten die CMMC Level 2-certificering nastreven, kunnen worden verplicht om beoordelingen door C3PAO’s te ondergaan. De voorbereiding op deze beoordelingen vereist niet alleen het implementeren van beveiligingsmaatregelen, maar ook het aantonen dat die maatregelen naar behoren functioneren. Instellingen dienen bewijs te bewaren dat hun beveiligingspraktijken ondersteunt, waaronder gedetailleerde auditsporen, toegangsgegevens, beveiligingsbeleid en trainingsdocumenten. Het vooraf verzamelen van deze informatie kan u helpen het beoordelingsproces te stroomlijnen en de last van de voorbereiding op formele beoordelingen te verminderen.

Hoe Keeper^® CMMC 2.0-gereedheid ondersteunt

Organisaties die met CUI werken, hebben behoefte aan strenge toegangscontroles, volledig inzicht in de activiteiten van gebruikers en de mogelijkheid om aan te tonen dat de beveiliging doeltreffend functioneert. Het behalen van CMMC Level 2-conformiteit vereist een combinatie van mensen, technologie en processen en Keeper Security Government Cloud (KSGC) helpt organisaties CUI te beveiligen en diverse beveiligingsmaatregelen te verbeteren die de CMMC-gereedheid ondersteunen. Als FedRAMP High Certified-platform biedt Keeper onderzoeksuniversiteiten de tools die nodig zijn om gevoelige informatie te beschermen, gepriviligeerde toegang te beheren en auditklare zichtbaarheid te behouden in alle omgevingen.

KSGC helpt onderzoeksuniversiteiten bij de voorbereiding op CMMC 2.0 door hen in staat te stellen tot:

Bereid u voor op naleving van CMMC Level 2 met Keeper

Naarmate onderzoeksuniversiteiten steeds meer betrokken raken bij door DoD gefinancierd onderzoek, wordt CMMC-naleving een steeds crucialer onderdeel van de bescherming van gevoelige informatie en het in aanmerking blijven komen voor toekomstige onderzoekskansen. Aangezien CMMC Level 2 zich specifiek richt op de bescherming van CUI, zouden instellingen zo snel mogelijk hun beveiliging moeten beoordelen in plaats van te wachten tot naleving verplicht wordt. Vraag vandaag nog een demo aan om te ontdekken hoe KSGC uw instelling kan helpen toegangscontroles te versterken, CUI te beveiligen en de gereedheid voor CMMC Level 2 te ondersteunen.

Lees verder om te leren hoe KeeperDB de toegang tot databases beveiligt en waarom dit belangrijk is voor de beveiliging van moderne bedrijven.

Waarom het belangrijk is om de toegang tot databases te beveiligen

Databases behoren tot de meest kritieke middelen voor het opslaan van gevoelige organisatiegegevens. Er zijn verschillende factoren waardoor databasebeveiliging extra belangrijk is:

• Waardevolle doelwitten: databases bevatten grote hoeveelheden gevoelige gegevens, waardoor ze waardevolle doelwitten zijn voor cybercriminelen die op financieel of strategisch gewin uit zijn
• Beperkt inzicht: veel organisaties beschikken niet over realtime sessiebewaking en opname van databaseactiviteiten, waardoor ongeoorloofde toegang of verdacht gedrag onopgemerkt blijft
• Nalevingsrisico’s: zonder een deugdelijke audit kunnen organisaties mogelijk niet voldoen aan de eisen van regelgevingskaders zoals SOC 2, HIPAA en ISO 27001
• Aanvallen met aanmeldingsgegevens: gecompromitteerde, hergebruikte of slecht beheerde aanmeldingsgegevens blijven een van de meest voorkomende aanvalsvectoren die cybercriminelen gebruiken om systemen te binnendringen

Om deze uitdagingen aan te pakken, moeten organisaties volledig inzicht hebben in en controle uitoefenen over de toegang tot databases. Dit omvat het toepassen van zero-trust beveiliging, het beheren van aanmeldingsgegevens op clientniveau en het bijhouden van gedetailleerde audittrails. KeeperDB levert dit door gebruik te maken van biometrische authenticatie via Face ID en Windows Hello, wat zorgt voor een wachtwoordloze aanmeldingservaring. Voor aanmeldingsgegevens van databases integreert KeeperDB direct met Keeper Secrets Manager. Hierdoor worden deze gegevens op het moment van verbinding uit de Keeper-kluis opgehaald, in plaats van dat ze verspreid over verschillende eindpunten staan.

Hieronder volgen zeven manieren waarop KeeperDB de toegang tot databases beveiligt.

1. Verwijder opgeslagen aanmeldingsgegevens met wachtwoordloze toegang

Opgeslagen aanmeldingsgegevens voor databases vormen een groot beveiligingsrisico voor organisaties. In veel omgevingen worden wachtwoorden opgeslagen in configuratiebestanden, ingebed in scripts of gedeeld tussen teams. Door deze praktijken ontstaan er meerdere blootstellingspunten, waardoor het voor cybercriminelen gemakkelijker wordt om aanmeldingsgegevens te stelen via phishingaanvallen of malware. Zodra de aanmeldingsgegevens zijn blootgesteld, kunnen ze worden hergebruikt om zich lateraal door systemen te bewegen of om privileges te escaleren.

KeeperDB neemt dit risico weg door aanmeldingsgegevens niet in configuratiebestanden in leesbare tekst op te slaan. Als zelfstandige desktop-applicatie met geïntegreerde Keeper Secrets Manager, worden de aanmeldingsgegevens bij het verbinden uit de kluis opgehaald in plaats van opgeslagen in lokale configuratiebestanden. Zo vormt de biometrische authenticatie een volledige vervanging van het hoofdwachtwoord. Wanneer KeeperDB wordt geïmplementeerd via KeeperPAM, bereiken aanmeldingsgegevens nooit het eindpunt. Ze worden op het moment van toegang alleen ontcijferd binnen de door de klant gecontroleerde Keeper-gateway. Daarna worden aanmeldingsgegevens via een versleuteld kanaal naar KeeperDB in het geheugen gestuurd en direct verwijderd zodra de sessie is beëindigd.

Sessies worden volledig geïsoleerd met behulp Externe browserisolatie van Keeper (RBI), waarbij KeeperDB in een volledig gesloten sessie naar de browser van de gebruiker wordt gestreamd. Aangezien er nooit aanmeldingsgegevens naar het eindpunt worden geschreven, blijven deze van tijdelijke aard en onder controle, waardoor er een strikte scheiding tussen de database en het eindpunt wordt gewaarborgd. Door opgeslagen geheimen te verwijderen, verminderen organisaties het risico op diefstal van aanmeldingsgegevens en beperken zij laterale bewegingen binnen hun infrastructuur.

2. Handhaaf zero-trust beveiliging in alle databasesessies.

Wanneer KeeperDB is geïmplementeerd in KeeperPAM, handhaaft het zero-trust-toegang door geverifieerde, end-to-end versleutelde verbindingen tot stand te brengen via de Keeper-gateway. Databases worden nooit blootgesteld via inkomende firewalls en er is geen VPN vereist. In plaats daarvan verloopt de toegang via beveiligde verbindingen voor uitgaand verkeer, waardoor het aanvalsoppervlak aanzienlijk wordt verkleind.

KeeperDB ondersteunt ook Just-in-Time (JIT)-toegang, waardoor organisaties alleen wanneer nodig tijdgebonden toegang tot de database kunnen verlenen. Toegangsverzoeken kunnen worden gestart en goedgekeurd via integraties zoals Slack, Jira, ServiceNow of Microsoft Teams. De machtigingen worden na gebruik automatisch ingetrokken, waardoor permanente privileges worden opgeheven. Door zero-trust-beveiliging te combineren met JIT-toegang vermindert KeeperDB de kans op ongeoorloofde toegang, terwijl de operationele efficiëntie behouden blijft.

3. Start veilige sessies rechtstreeks vanuit de Keeper-kluis

Met KeeperDB kunnen teams die KeeperPAM gebruiken, rechtstreeks vanuit de Keeper-kluis beveiligde databasesessies starten, waardoor VPN’s of handmatige configuratie overbodig worden. De sessies worden uitgevoerd binnen de RBI-omgeving van Keeper, waardoor alle activiteiten plaatsvinden in een volledig afgesloten sessie die naar de browser van de gebruiker wordt gestreamd. Omdat aanmeldingsgegevens het eindpunt nooit bereiken en nooit lokaal worden opgeslagen, versterkt deze isolatielaag de zero trust-beveiliging en verbetert het tegelijkertijd de gebruikerservaring.

De workflow van KeeperDB stelt gebruikers in staat om een database-record in hun kluis te selecteren, KeeperDB te starten en direct verbinding te maken via de ingebouwde interface. Het is niet nodig om aanmeldingsgegevens te kopiëren en te plakken, verbindingsbestanden te configureren of afzonderlijke tools te beheren. In tegenstelling tot traditionele workflows die afhankelijk zijn van lokaal opgeslagen geheimen en handmatige configuratie, centraliseert KeeperDB de toegang en verwijdert het de frictie uit het proces. Deze aanpak vereenvoudigt de veilige toegang voor ingenieurs en beveiligingsteams, terwijl volledige controle over elke sessie behouden blijft.

4. Bewaak, registreer en controleer databaseactiviteiten in realtime

KeeperDB bevat een realtime prestatiemonitor die zowel in de zelfstandige desktopapplicatie als in de ingebedde PAM-installatie werkt. Het biedt belangrijke operationele inzichten, waaronder lijsten met actieve processen, blokkeringsketens, vergrendelingsanalyse en sessiebeëindiging met één klik. Zodra er een database vertraagt, kunnen teams snel langlopende of blokkerende queries identificeren en sessies beëindigen om de prestaties te herstellen.

Wanneer KeeperDB is geïmplementeerd in KeeperPAM, neemt het elke geprivilegieerde sessie op en legt het alle SQL-activiteiten vast, waardoor de beheerlaag wordt toegevoegd die veel verouderde klanten missen. Querylogs zorgen ervoor dat elke opdracht wordt bijgehouden met tijdstempels, sessiecontext en uitvoeringsstatus. Deze handelingen worden gebundeld in gedetailleerde audittrails die een volledig overzicht bieden van de toegang tot databases. Dit niveau van zichtbaarheid versterkt zowel de beveiliging als de naleving en houdt duidelijke gegevens bij voor frameworks zoals SOC 2, HIPAA en ISO 27001. Door realtime monitoring te combineren met uitgebreide audits, zorgt KeeperDB ervoor dat elke interactie met de database zichtbaar en traceerbaar is.

5. Gebruik KeeperAI^® om databasebewerkingen veilig te automatiseren

KeeperDB integreert KeeperAI om databaseworkflows te stroomlijnen terwijl gedetailleerde toegangscontroles behouden blijven. Gebruikers kunnen met databases communiceren via natuurlijke taal, waardoor er minder tijd nodig is voor het schrijven en oplossen van problemen met SQL-query’s. KeeperAI werkt in verschillende gecontroleerde modi:

• Natuurlijke taalqueries: genereer en leg SQL uit met behulp van volledige schemacontext
• Alleen-lezen automatisering: voer query’s uit en analyseer de resultaten zonder tussenkomst van de gebruiker
• Goedkeuringsgebaseerde schrijfopdrachten: vereisen expliciete autorisatie voor DML- of DDL-wijzigingen om mogelijk destructieve acties vóór uitvoering te voorkomen

Wanneer KeeperDB wordt gebruikt binnen KeeperPAM, analyseert KeeperAI continu sessieactiviteit op anomalieën en pogingen tot exfiltratie en biedt geautomatiseerde sessiebeëindiging. Dit helpt teams om sneller problemen op te lossen en te rapporteren, terwijl ze de volledige controle behouden over wijzigingen in de database en de gegevensintegriteit behouden.

6. Beveiligde verbindingen met tunnels en KeeperDB-proxy

Verouderde mogelijkheden voor toegang tot databases zijn vaak afhankelijk van VPN’s of bastionhosts, maar KeeperDB vervangt deze door zero-trust tunnels die veilige, alleen uitgaande verbindingen bieden via de Keeper-gateway. In plaats van inkomende firewallregels te openen of databases direct bloot te stellen, zorgen tunnels ervoor dat externe databases lokaal lijken voor de gebruiker, terwijl het verkeer versleuteld blijft en via de zero-trust-architectuur van Keeper wordt gerouteerd.

KeeperDB-proxy breidt dit model uit voor desktopworkflows. Als er voor een PAM-databaserecord een proxy is ingeschakeld, fungeert deze als tussenpersoon en regelt deze de authenticatie namens de gebruiker. KeeperDB Proxy haalt aanmeldingsgegevens veilig op uit de kluis via de Keeper-gateway en injecteert ze rechtstreeks in de handshake van het databaseprotocol, zodat u de aanmeldingsgegevens nooit ziet of beheert. Tunnels en KeeperDB Proxy zorgen er samen voor dat de overhead van de infrastructuur wordt verminderd en het risico op ongeautoriseerde toegang tot externe of interne databases wordt geminimaliseerd.

7. Centraliseer het beheer en de roulatie van aanmeldingsgegevens.

Het handmatig beheren van aanmeldingsgegevens brengt aanzienlijke risico’s met zich mee in databaseomgevingen, met name wanneer wachtwoorden binnen teams worden gedeeld, hergebruikt of op inconsistente wijze worden gewijzigd. KeeperDB pakt deze uitdaging aan door het beheer van aanmeldingsgegevens te centraliseren binnen de zero-trust, zero-knowledge architectuur van Keeper. Alle aanmeldingsgegevens voor databases worden veilig opgeslagen in de Keeper-kluis en worden nooit aan gebruikers getoond.

Via KeeperPAM kunnen organisaties geautomatiseerd roulatiebeleid afdwingen om regelmatig aanmeldingsgegevens bij te werken, zonder daarbij de werkprocessen te verstoren. Zodra een wachtwoord is gerouleerd, krijgen geautoriseerde gebruikers automatisch toegang tot de bijgewerkte aanmeldingsgegevens via de Keeper-kluis. Deze aanpak zorgt voor een aanzienlijke vermindering van de wildgroei van aanmeldingsgegevens door wachtwoorden uit eindapparaten, scripts en gedeelde documenten te verwijderen. KeeperDB vereenvoudigt ook offboarding door de toegang tot de kluis in te trekken en ervoor te zorgen dat aanmeldingsgegevens gedurende hun hele levenscyclus beschermd blijven.

Moderniseer de toegang tot databases met KeeperDB

Oudere databasetools zoals DBeaver en MySQL Workbench zijn gebouwd voor functionaliteit, niet voor beveiliging op schaal. Ze vertrouwen op lokaal opgeslagen aanmeldingsgegevens, missen sessie-opnamen en resulteren in blinde vlekken voor audits die niet worden geaccepteerd door nalevingsframeworks. KeeperDB pakt dit echter anders aan. KeeperDB is een zelfstandige desktop-applicatie die biometrische authenticatie, het ophalen van aanmeldingsgegevens uit een kluis en een moderne, door AI aangestuurde interface biedt, waardoor het een krachtig alternatief vormt voor verouderde tools. Zodra uw organisatie er klaar voor is, kan KeeperDB worden uitgebreid met KeeperPAM om zero-trust geprivilegieerde toegang, sessieopname en Just-in-Time (JIT)-inrichting te bieden. Zo kan de beveiliging van uw database met u mee groeien.

Download KeeperDB om de manier waarop uw team met databases werkt te moderniseren. Start vandaag nog uw gratis proefperiode van KeeperPAM en schaal naar veilige toegang tot databases.

Veel organisaties beschouwen shadow AI nog steeds als een probleem op het gebied van gegevensblootstelling, terwijl het in werkelijkheid steeds meer een kwestie van identiteitsbeheer wordt. Elke ongeautoriseerde AI-integratie maakt stilletjes nieuwe gebruikersaccounts, aanmeldingsgegevens en identiteiten, die opereren buiten traditionele toegangscontroles. Organisaties moeten hun identiteitsgerichte beveiligingsmaatregelen uitbreiden naar alle menselijke en niet-menselijke identiteiten (NHI’s) die met hun systemen zijn verbonden, om zo weer inzicht te krijgen, het beheer te waarborgen en de algehele beveiligingsrisico’s te verminderen.

Wat shadow AI daadwerkelijk aanmaakt

Shadow AI verspreidt zich snel omdat moderne AI-tools weinig tot geen installatie vereisen. Medewerkers kunnen applicaties koppelen, workflows automatiseren en gegevens vrijwel direct verwerken zonder tussenkomst van de IT-afdeling. De tools zelf zijn zelden het probleem. Het risico schuilt in waarmee werknemers ze in verband brengen. Zodra AI-platforms toegang krijgen tot SaaS-platforms, cloudomgevingen en interne databases, introduceren ze aanmeldingsgegevens en identiteiten waarvan de meeste beveiligingsteams niet weten dat ze bestaan en waarvan ze geen kader hebben om te beheren.

Elke niet-goedgekeurde AI-integratie creëert nieuwe identiteiten en aanmeldingsgegevens die niemand controleert. Elk van deze draagt bij aan een groeiende inventaris van accounts, toegangspunten en geheimen die IT nooit heeft toegewezen en daarom niet kan intrekken. Wanneer medewerkers accounts aanmaken voor AI-tools, creëren zij identiteiten met hun eigen toegangsrechten, gegevensmachtigingen en sessiegeschiedenis. Deze vermenigvuldigen zich snel. De IT-afdeling zit uiteindelijk opgescheept met een onzichtbare verzameling onbeheerde identiteiten die verspreid zijn over externe platforms, zonder inzicht in waartoe deze toegang hebben, zonder mogelijkheid om het gebruik te controleren en zonder procedure voor het intrekken van toegangsrechten wanneer de medewerker het bedrijf verlaat.

Wanneer medewerkers een stap verder gaan en AI-tools koppelen aan interne systemen, introduceren ze serviceaccounts in de organisatieomgeving. Deze NHI’s opereren doorgaans volledig buiten levenscyclusbeheer, roulatie van aanmeldingsgegevens en toegangsbeheer. Ook genereert elke integratie aanmeldingsgegevens zoals API-sleutels, tokens en geheimen, die vaak worden opgeslagen in browserextensies of configuratiebestanden buiten de beveiligingsperimeter. Deze aanmeldingsgegevens worden zelden gewijzigd en vrijwel nooit gecontroleerd.

De kloof in identiteitsbeheer die hierdoor ontstaat

Traditionele identiteitsbeveiliging was ontworpen voor menselijke gebruikers, door IT verstrekte toegang en gedefinieerde netwerkgrenzen. Shadow AI ondermijnt alle drie de aannames tegelijk.

In veel bedrijfsomgevingen zijn er al meer NHI’s dan menselijke identiteiten. AI-agenten die toegang hebben tot een productiedatabase vormen hetzelfde risico op het gebied van geprivilegieerde toegang als een menselijke beheerder met vergelijkbare rechten, maar ze worden vaak zonder dezelfde zorgvuldigheid ingericht, niet met dezelfde consistentie gecontroleerd en zonder hetzelfde proces weer uitgeschakeld.

Ons eigen onderzoek bevestigt dit. Het rapport Identiteitsbeveiliging op machinesnelheid van Keeper Security gaf aan dat 43% van de besluitvormers op het gebied van cyberbeveiliging wereldwijd het beheer van AI-gerelateerde NHI’s aanmerkt als een van de grootste tekortkomingen in hun identiteitsbeheerprogramma’s. De organisaties die deze kloof onderkennen, lopen voor op degenen die daar nog geen aandacht aan hebben besteed.

Wat organisaties anders moeten doen

Het antwoord op shadow AI is niet een strenger beleid of een breder verbod. Deze benadering breidt identiteitsgerichte beveiligingsmaatregelen uit om rekening te houden met elke identiteit die AI-tools creëren, zowel van mensen als van machines, en zorgt ervoor dat het beheer continu plaatsvindt in plaats van periodiek.

Krijg volledig inzicht in het gebruik van AI

Organisaties kunnen geen controle uitoefenen op wat ze niet zien; zij moeten voortdurend alle goedgekeurde en niet-goedgekeurde AI-tools, agents, automatiseringen en integraties in kaart brengen die binnen hun omgevingen actief zijn. Door hun netwerken te monitoren, kunnen organisaties het gebruik van applicaties bijhouden en maatregelen ontwikkelen om het gebruik van niet-goedgekeurde AI-tools te beperken, terwijl ze tegelijkertijd alle NHI’s identificeren die door die tools worden gemaakt en die oorspronkelijk niet via de IT-afdeling zijn ingericht. Naast ontdekking moeten organisaties realtime monitoring en opname van bevoorrechte sessies implementeren om volledig inzicht te behouden in AI-gestuurde workflows, met het oog op continue controles in plaats van periodieke, achteraf uitgevoerde beoordelingen.

Pas identiteitsbeveiliging toe op zowel mensen als machines

Elk NHI moet worden onderworpen aan dezelfde authenticatie-, autorisatie- en levenscyclusbeheerprocedures als een menselijke identiteit, met toegang op basis van het principe van minimale privileges, geautomatiseerde roulatie van aanmeldingsgegevens en vastgelegde intrekking, gekoppeld aan de levenscyclus van de bijbehorende menselijke eigenaar of werklast. Dezelfde maatregelen die gelden voor geprivilegieerde menselijke accounts, moeten ook gelden voor de AI-agenten en serviceaccounts die naast hen opereren.

Geef werknemers een haalbaar toekomstperspectief

Werknemers die bijdragen aan shadow AI doen dat vaak niet omdat ze de beveiliging omzeilen, maar omdat ze niet weten dat er een gereguleerd alternatief bestaat. Duidelijke richtlijnen over welke tools zijn goedgekeurd, voor welke toepassingen en onder welke voorwaarden, in combinatie met toegankelijke, goedgekeurde alternatieven, pakken de oorzaak aan in plaats van het symptoom.

Verbeter uw identiteitsbeveiliging om shadow AI te beheren

Traditionele beveiligingsmodellen waren ontworpen voor menselijke gebruikers, door IT ingerichte toegang en gedefinieerde netwerkgrenzen. Shadow AI ondermijnt deze aannames door onbeheerde machine-identiteiten, aanmeldingsgegevens en integraties in cloud- en SaaS-omgevingen te introduceren telkens wanneer een medewerker een niet-goedgekeurde AI-tool aan de infrastructuur koppelt. Organisaties die shadow AI uitsluitend als een probleem van gegevenslekken beschouwen, zien het onderliggende gevaar over het hoofd: ongecontroleerde identiteitsuitbreiding. Om shadow AI effectiever te beheren, moeten organisaties volledig inzicht hebben in AI-gestuurde toegang, governance hebben over zowel menselijke als machine-identiteiten en beschikken over geautomatiseerde controles voor aanmeldingsgegevens en geprivilegieerde toegang. Voor meer informatie over hoe organisaties hun identiteitsbeveiligingsstrategieën aanpassen aan AI-gedreven omgevingen, leest u ons nieuwste rapport.

Dit is de realiteit waarop u zich nu moet voorbereiden. Organisaties worden doelwit, ongeacht hun nabijheid tot een conflict. De aanname dat alleen overheidsinstanties risico lopen, is steeds gevaarlijker geworden. Het aanvalsoppervlak in de cyberbeveiliging is uitgebreid, tactieken blijven zich ontwikkelen en de beveiligingspositie van ondernemingen moet zich daarop aanpassen.

Hoe cyberoorlogvoering bedrijven bereikt

De tactieken achter moderne cyberoorlog zijn niet langer uitsluitend gericht op federale doelen. Nationale overheden richten zich steeds vaker op bedrijven als springplank voor bredere verstoringen, of het nu gaat om toegang tot toeleveringsketens, het exfiltreren van gevoelige gegevens of het veroorzaken van nevenschade in onderling verbonden infrastructuur. Intussen zijn ook criminele bedreigingen toegenomen. AI-automatisering heeft het uitvoeren van geavanceerde aanvallen goedkoper en sneller gemaakt, en Ransomware-as-a-Service (RaaS)-platforms hebben iets wat vroeger aanzienlijke middelen vereiste, omgevormd tot een toegankelijke procedure. Door AI gegenereerde phishingcampagnes en autonome aanvalstools zijn nu de standaard in plaats van uitzonderingen. Bedrijven worden tegelijkertijd met beide bedreigingen geconfronteerd, en de benodigde verdedigingsmechanismen om ze aan te pakken overlappen elkaar aanzienlijk.

De dimensie van de toeleveringsketen maakt dit bijzonder gevaarlijk. Eén enkele inbreuk kan gevolgen hebben voor alle daarmee verbonden ondernemingen en veel van die organisaties hebben zichzelf nooit als doelwit beschouwd. Die aanname is precies waar aanvallers op vertrouwen. Bedrijven zijn geen toeschouwers; ze vormen vaak de weg waarlangs aanvallen op grote schaal slagen. Toegang tot een bedrijfsnetwerk betekent toegang tot klanten, partners, gevoelige gegevens en financiële systemen. Elke organisatie die deel uitmaakt van een complexe toeleveringsketen kan een aanvalsvector worden.

Bedrijven onderschatten de impact van identiteit op het aanvalsoppervlak

Bij de meeste grootschalige cyberaanvallen zijn gecompromitteerde identiteiten het voornaamste doelwit. Cyberaanvallers gebruiken technieken zoals password spraying en het verzamelen van aanmeldingsgegevens om organisaties in verschillende sectoren, waaronder de gezondheidszorg en financiële dienstverlening, binnen te dringen. In veel gevallen kan het toegangspunt worden herleid tot een gecompromitteerde identiteit, waaronder niet-menselijke identiteiten (NHI’s), zoals serviceaccounts en AI-agenten.

Het onderzoeksrapport van Keeper Security, Identiteitsbeveiliging met machinesnelheid, bevestigt deze trend en laat zien dat verouderde tools en de ongecontroleerde toepassing van AI identiteitsgerichte aanvallen versnellen in een tempo dat veel organisaties niet aankunnen. Maar liefst 43% van de 3200 wereldwijd ondervraagde besluitvormers op het gebied van cyberbeveiliging noemen het beheer van AI-gerelateerde NHI’s als een van de grootste tekortkomingen in identiteitsbeheer. Serviceaccounts met verouderde machtigingen, API-sleutels ingesloten in code-opslagplaatsen en AI-agents die buiten de vastgestelde bestuursprocessen zijn ingericht, zijn allemaal zwakke punten die cyberaanvallers uitbuiten. De meeste organisaties hebben geen duidelijk inzicht in hoeveel van deze kwetsbaarheden er in hun omgeving aanwezig zijn.

Legacy PAM is niet ontworpen voor deze omgeving

De meeste bedrijven beheren geprivilegieerde toegang nog steeds via een architectuur die is opgezet voor een traditioneel tijdperk van on-premises omgevingen, menselijke beheerders en vaste netwerkgrenzen. Dat model weerspiegelt niet langer hoe moderne ondernemingen daadwerkelijk werken. Organisaties moeten tegenwoordig rekening houden met cloud-native omgevingen, gedistribueerde personeelsbestanden, integraties met derden en AI-gedreven workflows die de grenzen hebben opgeheven die verouderde Privileged Access Management (PAM)-oplossingen zouden moeten beschermen. AI-agents, serviceaccounts en andere machine-identiteiten vallen vaak buiten het toepassingsgebied.

De kloof is niet alleen technisch, maar ook structureel. Organisaties die hun PAM-architectuur in de afgelopen 3 jaar niet hebben herzien, beheren waarschijnlijk slechts een fractie van hun werkelijke geprivilegieerde toegangsvoetafdruk.

Wat ondernemingen anders moeten doen om hun veiligheid te waarborgen

Voor de meeste ondernemingen is de kloof tussen hun huidige beveiligingsniveau en wat de dreigingsomgeving inhoudt groter dan het lijkt. Om die kloof te dichten, moet er meer aandacht worden besteed aan zero-trust beveiliging, PAM en toegang op basis van het principe van minimale rechten.

Implementeer zero-trust beveiliging

Zero-trust beveiliging is gebaseerd op het principe dat geen enkele gebruiker, apparaat of systeem impliciet wordt vertrouwd, ongeacht of het binnen of buiten de netwerkperimeter opereert. Toegang wordt verleend door continue verificatie van identiteit, context en risico, en wordt ingetrokken zodra verificatie faalt. Voor ondernemingen die geconfronteerd worden met aanvallers die lateraal door omgevingen bewegen met legitieme aanmeldingsgegevens, biedt zero trust een sterker beveiligingsmodel door ervoor te zorgen dat elke authenticatiebeslissing continu wordt gevalideerd in plaats van aangenomen.

Breid PAM uit naar NHI’s

PAM die stopt bij menselijke gebruikers beheert niet alle bevoorrechte toegang; het beheert slechts een deel ervan. De toegang op administratief en machineniveau tot AI-trainingsgegevens, installatieomgevingen en kritieke productiesystemen moet worden beheerd met hetzelfde niveau van controle als bevoorrechte gebruikersaccounts. In de praktijk betekent dit dat er voor elk serviceaccount en elke AI-agent unieke, verifieerbare identiteiten moeten zijn, dat er strikte toegangsbeperkingen gelden en dat er geen permanente rechten worden toegekend.

Handhaaf toegang met minimale privileges

Teveel rechten worden over het algemeen achteraf aangepakt door middel van periodieke toegangsbeoordelingen. Toegang met minimale bevoegdheden moet in plaats daarvan vanaf het begin direct in de ontwikkelings- en installatiepijplijnen worden ingesloten, zodat menselijke en machine-identiteiten worden ingericht met alleen de toegang die nodig is voor een specifieke taak en niet meer dan dat. Het voorkomen van ongeautoriseerde toegang op het moment van inrichten is veel effectiever dan proberen een gecompromitterde toeleveringsketen achteraf te verhelpen.

Alle activiteiten monitoren en controleren

Volledig inzicht is een must, aangezien cyberaanvallers in omgevingen kunnen opereren met behulp van gecompromitteerde maar legitieme aanmeldingsgegevens. Menselijke en NHI-activiteiten moeten continu worden gemonitord, geregistreerd en gelogd in alle geprivilegieerde sessies en geautomatiseerde workflows. Het doel is om misbruik van privileges, blootstelling van data en verdacht gedrag te detecteren voordat incidenten escaleren en bredere schade veroorzaken.

Eis garanties van leveranciers

Het beveiligingsniveau van een onderneming is slechts zo sterk als de zwakste schakel in de toeleveringsketen. Elke leverancier met toegang tot uw infrastructuur via data, software of integraties kan een toegangspunt worden voor aanvallers. Zelfverklaring is niet voldoende. Leveranciers zouden verplicht moeten worden om naleving aan te tonen door middel van onafhankelijke beoordelingen en verifieerbare controles.

Bereid u voor op de nevenschade van cyberoorlogvoering

Dat cyberoorlogvoering ook bedrijven treft, is niets nieuws. Wat er veranderd is, is de mate van automatisering achter deze aanvallen en de schaal waarop ze nu kunnen opereren. Er is geen praktische reden om aan te nemen dat een onderneming over het hoofd gezien zal worden. Organisaties dienen te beoordelen of hun huidige beveiligingsstrategie bestand is tegen moderne cyberdreigingen. Als uw organisatie nog steeds werkt met tools die niet zijn ontworpen voor cloud-native omgevingen of NHI’s op grote schaal, kan de bestuurlijke kloof in toegangsbeheer en toeleveringsketenbeveiliging groter zijn dan het lijkt. KeeperPAM is ontwikkeld om die kloof te helpen dichten.