Veilig inloggen begint bij duidelijke toegangsrechten

Maak een overzicht van de werkzaamheden en de toegang die daarbij hoort. Gebruik persoonlijke accounts, zodat duidelijk blijft wie welke handeling kan uitvoeren. Vermijd gedeelde accounts voor dagelijks gebruik.

Nieuwe medewerkers, andere functies en vertrek vragen om een vaste procedure. Leg vast wie toegang aanvraagt, wie goedkeurt en wie controleert of oude rechten zijn ingetrokken.

Extra verificatie en een wachtwoordmanager kunnen helpen, maar vervangen duidelijke afspraken niet. Bespreek ook hoe medewerkers verdachte verzoeken melden en hoe uw organisatie toegang herstelt.

Schrijf per rol op welke taken iemand uitvoert en welke systemen daarvoor nodig zijn. Een verkoopmedewerker heeft bijvoorbeeld andere toegang nodig dan een beheerder. Vermijd een standaardrol waarin iedereen alle rechten krijgt omdat dat bij de start handig was. Beschrijf ook wie nieuwe rechten mag goedkeuren en wanneer tijdelijk extra toegang vervalt.

Controleer de matrix met de mensen die het werk uitvoeren. Te weinig toegang leidt vaak tot omwegen, zoals het delen van accounts of bestanden via een privéomgeving. De oplossing is niet automatisch meer toegang, maar een werkbare procedure om ontbrekende rechten te beoordelen. Gebruik persoonlijke accounts zodat handelingen aan de juiste persoon gekoppeld blijven.

Loop indiensttreding, functiewijziging en vertrek als afzonderlijke situaties door. Bij een nieuwe medewerker moet een eigenaar kunnen aangeven welke rechten nodig zijn. Bij een functiewijziging moeten oude bevoegdheden worden herzien. Bij vertrek tellen ook externe diensten, apparaten, gedeelde documenten en actieve sessies mee.

Leg vast wie bevestigt dat een intrekking is uitgevoerd. Controleer periodiek een kleine steekproef in de systemen zelf in plaats van alleen een lijst af te vinken. Bij bestaande applicaties kan blijken dat een rol technisch niet goed te begrenzen is. Dat is een concrete verbeteropdracht, geen reden om de situatie onzichtbaar te laten.

Extra verificatie werkt pas goed als medewerkers weten wat er gebeurt bij verlies van hun telefoon of beveiligingsmiddel. Beschrijf hoe identiteit wordt gecontroleerd voordat toegang wordt hersteld. Een dringend verzoek via e-mail is onvoldoende bewijs dat het verzoek echt van de collega komt. Geef medewerkers een bekende route om dit te melden.

Voor beheertaken kan noodtoegang nodig zijn. Beperk wie die mag gebruiken, leg het gebruik vast en controleer daarna of wachtwoorden of sleutels moeten worden gewijzigd. De noodprocedure moet getest worden zonder dat daarvoor productiegegevens worden blootgesteld. Spreek ook af wie beschikbaar is wanneer de gewone beheerder afwezig is.

Maak een korte lijst met uitzonderingen: gedeelde accounts, leveranciers met ruime rechten en systemen zonder extra verificatie. Geef elke uitzondering een eigenaar en een vervolgstap. Niet alles kan op dezelfde dag opgelost worden, maar het moet wel duidelijk zijn waarom de uitzondering bestaat en wanneer ze opnieuw wordt beoordeeld.

Bewaar bewijs van periodieke controles bij de beheerafspraken. Dat helpt ook wanneer een klant een leveranciersvragenlijst over beveiliging stuurt. Beschrijf alleen maatregelen die daadwerkelijk werken en noteer eerlijk wat nog gepland is. Zo sluiten uw antwoorden aan op de dagelijkse praktijk.