Password sharing software als onderdeel van je ISO 27001 toolkit
ISO 27001 vraagt om aantoonbaar beheer van toegangsrechten en vertrouwelijke informatie. Wachtwoorden vallen onder beide categorieën. Toch is de manier waarop wachtwoorden worden overgedragen tussen personen of systemen in veel organisaties nog steeds een blinde vlek — een plek waar de informele werkwijze het wint van het beleid.
Password sharing software kan dat gat dichten, mits de tool voldoet aan de eisen die de norm stelt.
Wat ISO 27001 vraagt rondom wachtwoorden
De norm spreekt niet letterlijk over "password sharing tools", maar de relevante controls zijn duidelijk:
- A.5.17 (Authentication information): Vertrouwelijke authenticatie-informatie mag niet onbeveiligd worden gecommuniceerd.
- A.8.5 (Secure authentication): Procedures voor authenticatiebeheer moeten aantoonbaar zijn.
- A.5.10 (Acceptable use): Beleid voor het gebruik van informatie en assets moet gedocumenteerd en nageleefd worden.
De kern: als u aantoont dat wachtwoorden nooit als plaintext via e-mail of chat worden verstuurd, en dat er een aantoonbare procedure is voor tijdelijk delen, scoort u goed op deze controls.
Wat een geschikte tool moet bieden
Versleuteling in transit en at rest. Het wachtwoord moet versleuteld worden opgeslagen en alleen via versleutelde verbindingen (HTTPS) worden uitgewisseld. Server-side encryptie met een sterke cipher is het minimum.
Eenmalige uitlevering. Na het ophalen wordt het wachtwoord verwijderd of onleesbaar gemaakt. Dit voorkomt dat een gecompromitteerd linkje achteraf nog bruikbaar is.
Vervaldatum. Links moeten een configureerbare levensduur hebben. Kortere levensduur verkleint het risicovenster. Idealiter stel je per link of per team een maximale geldigheidsduur in.
Geen persistente opslag van plaintext. De tool mag het originele wachtwoord niet in leesbare vorm opslaan — ook niet tijdelijk in een database of logbestand.
Aantoonbaarheid. Voor ISO 27001 is bewijsvoering essentieel. Documenteer in uw ISMS welke tool u gebruikt, waarom deze is geselecteerd, welke verwerkersovereenkomst van toepassing is en hoe medewerkers de tool gebruiken.
PassTransfer in een ISO 27001 context
PassTransfer voldoet aan de kernvereisten: wachtwoorden worden versleuteld opgeslagen via Laravel's Crypt-facade, links zijn eenmalig en hebben een instelbare vervaldatum, en na ophalen wordt de inhoud genullificeerd. De tool is in Europa gehost, wat de AVG-verplichtingen eenvoudiger maakt en aansluit bij de eis om verwerkerslocaties te kennen en te documenteren.
Voor de bewijsvoering richting uw auditor kunt u verwijzen naar:
- Het privacybeleid en de verwerkersovereenkomst van PassTransfer
- De technische beschrijving van de encryptie en het eenmalige-ophaalprincipe
- Uw eigen beleidsdocument waarin staat dat wachtwoorden uitsluitend via deze tool worden gedeeld
Selectiecriteria op een rij
Bij het evalueren van password sharing software voor een ISO 27001-omgeving zijn dit de prioritaire criteria:
| Criterium | Belang |
|---|---|
| End-to-end of server-side versleuteling | Hoog |
| Eenmalige uitlevering | Hoog |
| Instelbare vervaldatum | Hoog |
| EU-hosting / AVG-compliance | Hoog |
| Verwerkersovereenkomst beschikbaar | Hoog |
| Audit log / toegangslog | Middel |
| SSO / integratie met IdP | Middel (bij schaal) |
| Open source / auditeerbare code | Optioneel |
Bewijsvoering in de praktijk
De auditor wil niet alleen zien dat u een tool heeft, maar dat u die consequent gebruikt. Zorg voor:
- Beleid: Een sectie in uw access management policy die expliciet verwijst naar de goedgekeurde tool voor wachtwoordoverdracht.
- Training: Aantoonbaar dat medewerkers weten hoe en wanneer ze de tool gebruiken.
- Geen uitzonderingen: Blokkeer of ontmoedig actief het versturen van wachtwoorden via e-mail of Slack. Een technische maatregel (DLP-regel) is sterker dan alleen beleid.
Conclusie
Password sharing software is geen luxe voor ISO 27001-gecertificeerde organisaties — het is een aantoonbare invulling van controls rondom authenticatiebeheer. De selectie van de juiste tool vereist aandacht voor versleuteling, eenmalige uitlevering, vervaldatums en EU-hosting. PassTransfer biedt die combinatie in een laagdrempelige interface die geen technische beheerslast met zich meebrengt.
