Case study: secure links voor een ICT-partner

ICT-partners en managed service providers (MSP's) staan in een bijzondere positie: ze beheren de IT-omgevingen van andere bedrijven. Dat betekent dat ze continu werken met toegangsgegevens van klanten — voor servers, netwerkapparatuur, software en cloudomgevingen. Hoe een ICT-partner in de regio Utrecht dat probleem structureel oploste, lees je in deze case study.

Achtergrond

De organisatie telt veertien medewerkers en bedient een mix van klanten: accountantskantoren, productiebedrijven en een aantal scholen. Ze leveren managed IT-diensten, waaronder helpdesk, serveronderhoud en cloudmigraties.

Het bedrijf had geen formeel beleid voor het doorgeven van wachtwoorden. In de praktijk werd gebruik gemaakt van een combinatie van e-mail, hun ticketsysteem (Topdesk), en soms een spraakbericht via Teams. Klanten kregen wachtwoorden mee in de tekst van een e-mail of ticket. Medewerkers stuurden intern logins door via Teams-chats.

Het probleem wordt concreet

De aanleiding om te veranderen was een klantincident. Een medewerker van een klant klikte per ongeluk op een phishing-link en gaf zijn wachtwoord op. Tijdens het onderzoek dat volgde, bleek dat het oorspronkelijke wachtwoord vier maanden eerder per e-mail was doorgestuurd door de ICT-partner. Dat e-mailtje zat nog in de inbox, leesbaar voor iedereen die toegang had tot het e-mailaccount.

De klant trok hieruit zijn eigen conclusies. Er volgde een gesprek over de werkwijze, dat ongemakkelijk was voor beide partijen. De ICT-partner realiseerde zich dat ze bij meerdere klanten op dezelfde manier te werk waren gegaan. Het risico was systemisch.

Aanpak

Het managementteam besloot tot twee maatregelen. Ten eerste een nieuw beleid: wachtwoorden mogen nooit meer in de body van een e-mail of ticket staan. Hoe je veilig omgaat met credentials in supporttickets lees je in ons aparte artikel. Ten tweede: een tool die het alternatief zo makkelijk maakt dat medewerkers er geen omweg omheen zoeken.

Na een korte evaluatie werd gekozen voor PassTransfer. De voornaamste redenen:

• Geen account nodig voor klanten
• Links verlopen automatisch, configureerbaar per situatie
• White-label optie, zodat de pagina visueel aansluit bij de huisstijl van de ICT-partner
• Nederlandstalige interface, wat relevant was voor de meer traditionele klanten
• Eenvoudig te gebruiken, zonder technische kennis

De white-label optie was in dit geval doorslaggevend. Klanten ontvangen nu een link die de naam en het logo van de ICT-partner toont. Dat straalt vertrouwen uit en versterkt de professionele uitstraling.

Integratie in de dagelijkse workflow

De ICT-partner bouwde een korte procedure in hun interne kennisbank. Bij elk ticket waarbij een wachtwoord wordt doorgegeven, volgt de medewerker drie stappen:

1. Maak een secure link aan via PassTransfer
2. Plak de link in het ticket of de e-mail (nooit het wachtwoord zelf)
3. Noteer in het ticket dat een secure link is aangemaakt

Dit kost gemiddeld twintig seconden extra per handeling. In de eerste week vroegen klanten soms wat die link was. Na een korte uitleg was dat verduidelijkt, en vragen bleven daarna uit.

Meetbare uitkomsten

Klanttevredenheid: Na de uitrol ontvingen ze meerdere positieve reacties van klanten die de aanpak professioneel vonden. Een accountantskantoor gaf expliciet aan dit te waarderen vanwege de gevoeligheid van de data die ze beheren.

Intern vertrouwen: Medewerkers voelden zich zekerder over hun aanpak. De onzekerheid van "doe ik dit wel goed?" verdween na de introductie van de duidelijke procedure.

Audits en aanbestedingen: Het bedrijf dient regelmatig mee op aanbestedingen bij semi-publieke klanten. In twee gevallen na de uitrol werd expliciet gevraagd naar de procedure voor credential-overdracht. Ze konden nu een concreet, gedocumenteerd antwoord geven. In beide gevallen werden ze geselecteerd.

Geen herhalingsincident: In de twaalf maanden na de uitrol was er geen incident meer waarbij een wachtwoord teruggevonden werd in een communicatiekanaal.

Conclusie

Voor ICT-partners is veilig wachtwoorden delen geen randkwestie. Het is een kernonderdeel van de dienstverlening en een directe reflectie van de professionaliteit van de organisatie. Een eenvoudige, goed geimplementeerde tool lost het probleem structureel op, verbetert de klantrelatie en verkleint het risico op incidenten aanzienlijk. Meer praktijkvoorbeelden vind je in de use case over secure password sharing voor ICT-partners, en op onze pagina voor ICT-bedrijven en MSP's lees je hoe PassTransfer deze sector ondersteunt.