Ook bij DigiD verkiezen veel gebruikers gemak boven veiligheid
Overheid publiceerde rapport Monitor Digitale Overheid 2019
Afgelopen maand publiceerde de overheid het rapport Monitor Digitale Overheid 2019. Het rapport bevestigde de paradox ten aanzien van veiligheid en inloggen uit ons onderzoek Trends in Online Security & e-Identity. Ook als mensen zich ervan bewust zijn dat een bepaalde inlogmethode minder veilig is, gebruiken ze deze uit gemak toch.
84% logins zonder gebruik tweede factor
Dat blijkt vooral uit de cijfers over DigiD en 2-factorauthenticatie. DigiD wordt door consumenten als een van de veiligste methoden om in te loggen beschouwd. Vooral als het inloggen beveiligd is met een tweede factor. Het gebruik van die tweede factor komt echter nauwelijks van de grond: 84% van alle logins op DigiD vindt plaats zonder gebruik van een tweede factor.
App DigiD hoogste bereik
Het lage cijfer voor inloggen met een tweede factor is opvallend, omdat er van DigiD een app beschikbaar is. Apps zijn in het huidige mobiele tijdperk het middel om snel veel bereik te genereren en DigiD was medio 2018 al de app met het meeste bereik van alle overheidsapps (7,9%). Eind vorig jaar zou het bereik al de 10% gepasseerd zijn. Desondanks wordt de app in slechts 3% van alle inlogs gebruikt. Het succes van de app vertaalt zich dus nog beperkt door in veiliger inloggedrag.
Onwetendheid en gemak
Een gedeeltelijke verklaring hiervoor is dat gebruikers van overheidsdiensten nog steeds relatief vaak een pc of laptop gebruiken in plaats van een mobiel device. Een andere verklaring is dat mensen zich niet bewust zijn van de mogelijkheid om een tweede factor te gebruiken. Toch is dat niet alles. Het lijkt ook simpel neer te komen op gemakzucht bij gebruikers. Een tweede factor wordt vaak nog niet afgedwongen en inloggen zonder is simpelweg eenvoudiger.
Groot verschil awareness en handelen
DigiD wordt primair gebruikt om in te loggen bij overheden. Uit ons onderzoek blijkt dat de grote meerderheid van de consumenten aangeeft bekend te zijn met de mogelijkheden en ook graag met een tweede factor wil inloggen (slechts 6% vindt een tweede factor in dit geval overbodig). In de praktijk blijkt dat ze dit nog nauwelijks doen. Er gaapt dus een groot gat tussen awareness en actie. In andere woorden: consumenten weten het wel, maar handelen er niet naar.
Tweede factor niet als ongebruiksvriendelijk ervaren
Dat roept de vraag op of de bekende methoden voor 2-factorauthenticatie niet te gebruiksonvriendelijk zijn, maar ook hiervoor is geen bewijs gevonden. Uit ons onderzoek blijkt dat de meest populaire methode (sms-verificatie) door meer dan 60% als gebruiksvriendelijk ervaren wordt. Slechts 13% beschouwt deze methode als min of meer gebruiksonvriendelijk. Ook zijn er nauwelijks consumenten die een sms-verificatie als inbreuk op hun privacy zien.
Verplichten?
Zou de overheid inloggen met een tweede factor niet gewoon verplicht moeten maken? In 2017 kondigde de overheid aan dit inderdaad van plan te zijn, maar voorlopig zijn het alleen individuele overheidsinstellingen die dit ingevoerd hebben. Zoals het UWV dat onlangs aankondigde een tweede factor bij inloggen door burgers af te gaan dwingen. Voor ondernemers is het vanaf 1 november alleen nog mogelijk om in te loggen op het werkgeversportaal van het UWV met een eHerkenningsinlogmiddel met tweede factor. De vraag hierbij is natuurlijk hoe veilig veilig genoeg is. Echt veilig(er) inloggen is dus vooralsnog niet de norm.
