Identiteitsverificatie aan de servicedesk
Een aanvaller heeft geen wachtwoord nodig als de servicedesk het voor hem reset. Technische verificatie vervangt kennisvragen en het oordeel van één medewerker door een control die de beller zelf moet doorstaan. DeepCalls helpt u kiezen welke oplossing bij uw organisatie past, en laat zien wat die wel en niet oplost.
- Overzicht van oplossingen
- Getoetst op uw kwetsbaarheden
- Inclusief wat een oplossing niet afdekt
- Testscenario's voor uw proof of concept
Het probleem
MFA is zo sterk als de reset
Veel organisaties hebben MFA ingevoerd. Maar wie belt dat hij een nieuwe telefoon heeft, vraagt de servicedesk om precies die beveiliging opnieuw in te stellen.
De servicedesk moet dan vaststellen of de beller is wie hij zegt. Vaak gebeurt dat met vragen, een terugbelnummer of een inschatting.
Dat ligt niet aan de medewerkers. Het proces vraagt een oordeel onder tijdsdruk over iemand die zij niet kunnen zien, terwijl een collega aan de lijn snel weer aan het werk wil.
Het risico is niet theoretisch. De Amerikaanse CISA en FBI beschrijven in hun advies over Scattered Spider hoe aanvallers zich bij de helpdesk voordoen als medewerker. Zo laten zij wachtwoorden resetten en MFA overzetten naar een toestel dat zij zelf beheren.
Wat wij zien
Waar verificatie in de praktijk ruimte laat
In onze assessments zien wij terugkerende patronen in verificatie, overdracht en bevoegdheden. Het zijn eigenschappen van het proces, geen fouten van mensen.
Een technische maatregel kan een groot deel hiervan sluiten.
De oplossingen
Twee manieren om een beller te verifiëren
Technische verificatie haalt de beslissing weg bij de vraag of iemand de juiste antwoorden weet. De beller moet iets aantonen. Er zijn twee benaderingen, en sommige oplossingen bieden beide.
| Verificatie op aanwezigheid | Verificatie met identiteitsbewijs | |
|---|---|---|
| Wat de beller aantoont | Dat hij nu toegang heeft tot zijn eigen middelen en gegevens | Dat hij de persoon is die in de directory staat |
| Hoe | Bestaande MFA, gecombineerd met dynamische bedrijfsgegevens zoals recente aanmeldingen, tickets of badgetoegang. Elke controle levert punten op. Pas als de drempel is bereikt die u per rol en type aanvraag instelt, volgt de reset. | Op een telefoon met een ID document, dat wordt gecontroleerd tegen het eigen record in de directory, plus een gezichtscontrole tegen de foto in dat document |
| Sterk wanneer | U bestaande MFA en gegevens wilt gebruiken in plaats van een nieuwe registratiestap | De beller geen eigen middelen meer heeft. Iedereen met een record in de directory is te verifiëren. |
Verificatie op aanwezigheid
- Wat de beller aantoont
- Dat hij nu toegang heeft tot zijn eigen middelen en gegevens
- Hoe
- Bestaande MFA, gecombineerd met dynamische bedrijfsgegevens zoals recente aanmeldingen, tickets of badgetoegang. Elke controle levert punten op. Pas als de drempel is bereikt die u per rol en type aanvraag instelt, volgt de reset.
- Sterk wanneer
- U bestaande MFA en gegevens wilt gebruiken in plaats van een nieuwe registratiestap
Verificatie met identiteitsbewijs
- Wat de beller aantoont
- Dat hij de persoon is die in de directory staat
- Hoe
- Op een telefoon met een ID document, dat wordt gecontroleerd tegen het eigen record in de directory, plus een gezichtscontrole tegen de foto in dat document
- Sterk wanneer
- De beller geen eigen middelen meer heeft. Iedereen met een record in de directory is te verifiëren.
Wat beide gemeen hebben
Voor wie
Voor organisaties waar één telefoontje veel kan openen
Relevant voor elke organisatie waar de servicedesk wachtwoorden of MFA telefonisch kan resetten, in het bijzonder:
Ook als u al selfservice wachtwoordreset of een Temporary Access Pass gebruikt. Zolang de servicedesk handmatig kan resetten, blijft de telefoon een route.
- Multinationals met meerdere entiteiten, een centrale of uitbestede servicedesk en local IT
- Banken en financiële instellingen
- Overheden en organisaties die onder de Cyberbeveiligingswet vallen
- Organisaties met veel medewerkers die de servicedesk nooit persoonlijk ziet
Regelgeving
Cyberbeveiligingswet en NIS2
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing.
NIS2 noemt toegangsbeheer en het gebruik van multifactorauthenticatie bij de verplichte maatregelen (artikel 21). Een specifieke methode om bellers te verifiëren noemt de richtlijn niet. Een MFA reset via de servicedesk is wel een logische plek om te toetsen of die maatregelen in de praktijk standhouden. Voor financiële instellingen geldt daarnaast DORA.
De aanpak
Van assessment tot werkende verificatie
- 01
Assessment.
Wij testen uw servicedesk met realistische telefoontjes en brengen in kaart waar het proces ruimte laat.
- 02
Overzicht van oplossingen.
Per oplossing: hoe die werkt, welke van uw kwetsbaarheden die sluit, wat die niet afdekt en wat die vraagt van beller en medewerker.
- 03
Contact met aanbieders.
Wij brengen u in contact met de aanbieders die passen. De keuze ligt bij u.
- 04
Proof of concept.
De scenario's uit het assessment worden de testgevallen voor uw proof of concept.
- 05
Hertest.
Na implementatie testen wij opnieuw.
Open over samenwerking
Wij beschrijven elke oplossing op dezelfde manier, inclusief wat die niet afdekt. Het overzicht bevat de aanbieders waarmee DeepCalls samenwerkt. De keuze ligt altijd bij u.
Veelgestelde vragen
Is MFA niet genoeg?
Welke oplossing is het beste?
Moeten medewerkers een ID document gebruiken?
Wat als iemand namens een ander belt?
Werkt het met ServiceNow of TOPdesk?
Kennismaken
Benieuwd welke verificatie bij uw servicedesk past?
In een kennismaking bespreken wij uw situatie en wat de logische volgende stap is.
Kennismaken