Toegangsbeheer loopt in de meeste organisaties die wij spreken op goed overleg. Komt er iemand in dienst, dan stemt de manager met HR af welke rechten diegene nodig heeft, en IT richt het in. Dat werkt prima, tot iemand van functie wisselt. Dan komen er rechten bij en gaan er geen weg.
Wat je moet weten
- Rechten volgen in de praktijk vaker uit gesprekken dan uit een vastgelegd overzicht.
- Het echte risico zit niet bij indiensttreding maar bij functiewissel: rechten stapelen zich op.
- Fysieke toegang is opvallend vaak strakker geregeld dan toegang tot systemen.
- Een autorisatiematrix die één persoon bijhoudt, is een nieuw risico in plaats van een oplossing.
Hoe toegangsbeheer er in de praktijk uitziet
Op de vraag of er een autorisatiematrix is, een overzicht van welke functie welke rechten krijgt, is het antwoord in onze GAP-analyses meestal nee. Gevolgd door een uitleg die steeds op hetzelfde neerkomt: dat gaat in goed overleg met HR en de manager van de persoon. En bij bepaalde functies weet je ook wel welke set aan rechten erbij hoort.
Dat klopt. Het is ook precies het probleem. “Je weet ook wel” werkt zolang de mensen die het weten er zijn, en zolang de organisatie klein genoeg is om het te overzien. Eén IT-verantwoordelijke zei het eerlijk: ze zijn groot genoeg om functies van elkaar te onderscheiden, maar het komt toch redelijk vaak voor dat er nog wat overlap zit.
Het risico dat niemand ziet: rechten stapelen
Indiensttreding gaat meestal goed, omdat er een aanleiding is: iemand begint en heeft toegang nodig om te kunnen werken. Uitdiensttreding gaat redelijk, omdat het account in zijn geheel wordt afgesloten.
Wat misgaat zit ertussen. Iemand wisselt van functie. Hij krijgt de rechten die bij zijn nieuwe rol horen. De oude rechten blijven staan, want niemand weet zeker welke weg kunnen, en weghalen voelt riskanter dan laten staan. Bij een risicobeoordeling werd het treffend samengevat: rechten kunnen hier op stapelen.
Na twee of drie functiewissels heeft een medewerker de optelsom van alles wat hij ooit deed. Dat is geen theoretisch risico. Het is precies het account dat een aanvaller het liefst overneemt.
Waarom fysieke toegang vaak beter geregeld is
Een patroon dat telkens opvalt: de toegang tot het gebouw is strakker geregeld dan de toegang tot de systemen.
Facilitair beheert een tagsysteem waarin per deur vastligt wie er naar binnen mag. Medewerkers van de ene afdeling komen niet in de ruimtes van een andere, en wie altijd toegang heeft tot het gebouw, komt daarom nog niet in het personeelsarchief. Dat systeem is niet gebouwd voor informatiebeveiliging, maar het doet precies wat toegangsbeheer hoort te doen.
Aan de IT-kant gebeurt hetzelfde op basis van goede wil. Dezelfde organisatie die haar deuren per persoon regelt, regelt haar SharePoint per verzoek. De les is niet dat facilitair het beter doet, maar dat de werkwijze er al is: je hoeft hem alleen naar systemen door te trekken.
Wat er in een autorisatiematrix hoort
Geen ingewikkeld systeem. Een spreadsheet volstaat, mits erin staat:
- Per functie, niet per persoon. Mensen wisselen; functies blijven.
- Welke systemen en applicaties bij die functie horen.
- Welk niveau: lezen, schrijven of beheren. Lezen en schrijven door elkaar is waar het meestal misgaat.
- Wie de eigenaar is van elk systeem, en dus beslist over uitzonderingen.
- Speciale accounts apart: beheerdersaccounts en serviceaccounts horen er met naam in, inclusief de vraag of handelingen daarop worden gelogd.
Beheer je rechten al via groepen in Entra ID, dan heb je technisch gezien al een matrix: een groep per functie ís dat. Wat ontbreekt is meestal het leesbare overzicht ernaast, zodat iemand anders dan de beheerder kan zien wie waar bij kan.
Waarom rechten alleen groeien
Op de vraag of er periodiek wordt gecontroleerd of iedereen nog de juiste rechten heeft, kwam in een van de gesprekken een antwoord dat het mechanisme precies beschrijft. Je begint minimaal, en het wordt uitgebreid als het nodig is. Maar het wordt niet periodiek nagelopen, tenzij er een aanleiding is.
Rechten kennen dus één richting. Er komt iets bij als iemand erom vraagt, want dan is er een probleem dat opgelost moet worden. Er gaat niets af, want als iemand een recht niet meer nodig heeft, merkt niemand dat. Een periodieke review, bijvoorbeeld per kwartaal voor beheerdersaccounts en jaarlijks voor de rest, is het enige moment waarop rechten de andere kant op bewegen. In een risicobeoordeling stond het droog genoteerd: er is geen periodieke review van toegangsrechten ingericht.
Pas op voor de matrix van één persoon
In een van de gesprekken was er wel een autorisatiematrix, up-to-date zelfs. De toelichting: elke wijziging houdt één persoon zelf bij.
Dat is beter dan geen matrix, maar het verplaatst het risico. Het overzicht klopt zolang die ene persoon er is, het bijhoudt en niet op vakantie is. Toegangsbeheer hoort een proces te zijn met een vaste aanvraag, een goedkeuring door de eigenaar en een periodieke controle, niet een document dat iemand uit zijn hoofd actueel houdt.
Wil je weten hoe jouw toegangsbeheer ervoor staat? In een GAP-analyse lopen we na wie waar bij kan, waar de rechten zijn opgestapeld en wat er nodig is om het vast te leggen.
Veelgestelde vragen
Wat is een autorisatiematrix?
Een overzicht dat per functie vastlegt welke rechten erbij horen, in welke systemen, en of dat lees- of schrijfrechten zijn. Vaak gewoon een spreadsheet. Het doel is dat rechten volgen uit iemands functie en niet uit wie er toevallig om vroeg.
Wij beheren rechten via groepen in Entra ID. Is dat genoeg?
Technisch is dat een goede basis, want een groep per functie ís in feite een autorisatiematrix. Wat meestal ontbreekt is het leesbare overzicht ernaast, zodat iemand die geen beheerder is kan zien wie waar bij kan, en een auditor kan toetsen of dat klopt.
Waarom stapelen rechten zich op?
Bij indiensttreding krijgt iemand de rechten van zijn functie. Bij een functiewissel komen er nieuwe rechten bij, maar de oude worden zelden ingetrokken, omdat niemand weet welke er weg mogen. Na een paar wissels heeft iemand de optelsom van alle functies die hij ooit had.
Wie hoort eigenaar te zijn van toegangsbeheer?
Niet alleen IT. IT voert uit, maar de beslissing wie wat mag hoort bij de eigenaar van de informatie of het proces. Ligt het hele beheer bij één persoon die elke wijziging zelf bijhoudt, dan is dat een kwetsbaarheid op zich.
