Let op bij de keuze voor een wachtwoordmanager: kijk verder dan alleen functionaliteit
Een recent internationaal onderzoek van OCCRP, uitgevoerd in samenwerking met onder andere Investico, NU.nl, De Groene Amsterdammer, Le Monde en De Tijd, zet vraagtekens bij de achtergrond van wachtwoordmanager Passwork. De software presenteert zich als een Europese oplossing, maar zou in werkelijkheid sterke Russische banden hebben. (Investico onderzoeksjournalisten)
Uit het onderzoek blijkt dat Passwork oorspronkelijk in Rusland is opgericht en later via onder meer Spanje en de Verenigde Arabische Emiraten op de Europese markt is gebracht. Volgens de onderzoekers wordt de software bovendien gebruikt door verschillende Russische staats- en defensieorganisaties. (Investico onderzoeksjournalisten)
Geen bewijs van misbruik
Belangrijk om te benadrukken is dat er geen bewijs is gevonden dat Passwork een achterdeur bevat of dat wachtwoorden van klanten zijn buitgemaakt. Wel waarschuwen cybersecurityexperts dat organisaties kritisch moeten kijken naar leveranciers die onder invloed kunnen staan van buitenlandse wetgeving of veiligheidsdiensten. Ook wanneer een wachtwoordkluis lokaal wordt gehost, kan de software voor bijvoorbeeld licentiecontroles verbinding maken met systemen van de leverancier. (Tweakers)
Waarom dit belangrijk is
Een wachtwoordmanager bevat vaak de meest gevoelige informatie binnen een organisatie: beheerdersaccounts, serviceaccounts, API-sleutels en andere digitale toegangsmiddelen. Daarom is het verstandig om niet alleen naar functionaliteit, gebruiksgemak en prijs te kijken, maar ook naar de achtergrond van de leverancier.
Stel bij de selectie van beveiligingssoftware daarom altijd vragen als:
- Wie is de uiteindelijke eigenaar van het bedrijf?
- In welk land is de leverancier gevestigd?
- Onder welke wet- en regelgeving valt de organisatie?
- Waar wordt de software ontwikkeld en onderhouden?
- Is de leverancier transparant over audits, certificeringen en beveiligingsmaatregelen?
Voor organisaties die onder de NIS2-richtlijn vallen of werkzaam zijn in vitale sectoren zijn dit geen theoretische vragen, maar een belangrijk onderdeel van leveranciers- en risicomanagement.
Conclusie
Deze situatie laat zien dat cybersecurity verder gaat dan sterke wachtwoorden en multifactor-authenticatie. Ook de partij die uw beveiligingssoftware ontwikkelt en beheert verdient kritische aandacht. Transparantie, eigenaarschap en vertrouwen zijn minstens zo belangrijk als de technische mogelijkheden van een product.
Over de auteur
