Toegang geven is één ding. Bepalen wat iemand mag doen is een heel ander verhaal. Als iedereen overal bij kan en alles mag, heb je geen controle maar een risico. Niet omdat je medewerkers niet te vertrouwen zijn, maar omdat een vergissing of misbruik anders te grote gevolgen krijgt. In de tweede editie van Het Digitale Kompas staat autorisatie daarom centraal.
Nooit standaard werken met beheerdersrechten
Voor vrijwel elke organisatie, ook een kleine, geldt: het account waarmee je dagelijks werkt, heeft geen beheerdersrechten. Ook niet voor de beheerder zelf. In de praktijk gebeurt dat nog vaak, omdat het “handig is voor de IT’er” of “even praktisch voor updates”. Maar het is een van de grootste risico’s binnen organisaties.
Stel: een medewerker krijgt een geloofwaardige phishingmail die lijkt te komen van Microsoft 365. Hij klikt, logt in op een nagemaakte pagina, en zonder dat hij het merkt heeft een aanvaller zijn sessie te pakken. Bij een normaal account levert dat vooral toegang tot de mail op. Vervelend, maar te overzien.
Heeft dat account ook beheerdersrechten, dan ontstaat er een heel ander scenario:
- direct toegang tot alle systemen waar de rechten toe reiken
- de aanvaller kan nieuwe accounts aanmaken
- er kan ongemerkt software worden geïnstalleerd
- instellingen kunnen worden aangepast
- beveiliging kan worden uitgeschakeld
- back-ups kunnen worden gewist
Eén klik kan zo uitmonden in volledige controle over je omgeving. Daar is geen geavanceerde hack voor nodig. Je geeft de sleutels van het koninkrijk zelf weg.
De oplossing: twee accounts
Gebruik een normaal account zonder bijzondere rechten voor het dagelijkse werk, en een apart account voor beheerwerk, zoals een nieuwe medewerker toevoegen of instellingen aanpassen. Geef dat beheeraccount een sterk, uniek wachtwoord en tweestapsverificatie. Omdat je het weinig gebruikt, is de kans veel kleiner dat het slachtoffer wordt van phishing. In Waarom je als ondernemer nú je digitale basis moet regelen lees je hoe dat in Microsoft 365 werkt.
Role-based access
Een goed autorisatiemodel is duidelijk, schaalbaar en logisch. Het moet nu werken, maar ook als er straks veel nieuwe collega’s bijkomen. Daarom raden we role-based access (RBAC) aan: je geeft rechten per functierol in plaats van per persoon.
Een nieuwe HR-medewerker krijgt bijvoorbeeld de rol “HR-medewerker”, met een vast pakket rechten voor de gegevens en functies die bij het werk horen. Hebben alle HR-medewerkers iets extra’s nodig? Dan pas je de rol één keer aan en geldt het direct voor iedereen. Zo bouwt niemand ongemerkt eigen, ongecontroleerde rechten op.
Rollen maken het ook makkelijk om taken te scheiden. Wie een factuur aanmaakt, kan hem niet zelf goedkeuren. Wie een technische wijziging voorstelt, kan hem niet direct doorvoeren. Een goed model werkt volgens het least-privilege-principe: precies genoeg toegang, nooit meer.
Periodieke controle
Autorisatie is geen eenmalige instelling. Rechten die iemand ooit kreeg maar allang niet meer nodig heeft, vormen een risico. Loop daarom minstens elk half jaar de toegekende rechten na, en pas ze direct aan bij een functiewijziging. Oude rechten vervallen. Zo blijven de risico’s klein en beheersbaar.
Geen bureaucratie, maar risicobeperking
Autorisatie voelt soms als papierwerk, maar het is een van de meest effectieve manieren om schade te beperken. Met duidelijke rollen, gescheiden verantwoordelijkheden en regelmatige controles bouw je een organisatie die veilig en beheersbaar blijft, ook als hij groeit. Goed inloggen hoort daar natuurlijk bij: lees Wachtwoordbeleid dat wél werkt.
Meer in Het Digitale Kompas
Dit artikel is gebaseerd op de tweede editie van Het Digitale Kompas, over het fundament van een veilige digitale organisatie.
Download Het Digitale Kompas, editie 2
Het Digitale Kompas, editie 2
Download pdf