Doel
Toegangsbeheer is een van de meest effectieve beveiligingsmaatregelen. Mensen vertrekken, rollen veranderen, en toestemmingen hopen zich op. Regelmatige toegangsbeoordelingen voorkomen:
- Datalekken: Voormalige werknemers hebben nog toegang tot gevoelige gegevens
- Insider-bedreigingen: Mensen hebben toegang tot systemen buiten hun rol
- Nalevingsschendingen: Gebrek aan gedocumenteerde toegangscontrole
- Onopzettelijke schade: Iemand met onnodige toegang verwijdert kritieke gegevens per ongeluk
Context & Aannames
Voor wie dit bestemd is:
- Bedrijfseigenaren en managers
- IT-beheerders die gebruikerstoegang beheren
- Finance- en complianceteams
Wat Toegang Vereist Beoordeling?
Toegang betekent toestemming om te gebruiken, bekijken of wijzigen:
| Systeemtype | Wat Controleer | Frequentie | |-------------|---------------|---------| | | E-mail & Communicatie | Wie heeft mailboxtoegang | Maandelijks of bij in/uit gaan | | Cloudopslag | Mapdelingpermissies | Maandelijks | | Databases & Servers | Gebruikersaccounts, databaserollen | Driemaandelijks | | Financiële Systemen | Goedkeuringspermissies, zichtbaarheid | Driemaandelijks | | SaaS Applicaties | Gebruikersaccounts, admin-toegang | Maandelijks |
Maandelijks Beoordeling
Wanneer: Dezelfde dag elke maand (bijv. eerste maandag) Duur: 30 minuten tot 1 uur Actie: Scan op duidelijke problemen
- Check nieuwe medewerkers: Hebben zij juiste toegang voor hun rollen?
- Check vertrekken: Zijn mensen die vertrokken hebben uit de systemen verwijderd?
- Check inactieve accounts: Gebruikers die 90+ dagen niet hebben ingelogd?
Driemaandelijks Beoordeling
Wanneer: Einde van elk kwartaal Duur: 2–4 uur voor bedrijf met 50 personen Actie: Grondige controle per systeem
- Genereer toegangsrapport uit elk systeem
- Verdeel naar systeemeigenaren: "Hier is wie toegang heeft. Kunt u verifiëren dat dit nog nodig is?"
- Verzamel feedback: Managers bevestigen toegang is passend
- Remedeer: Verwijder onnodige toegang
- Documenteer: Noteer wat is bijgewerkt
Afmeldingsproces
Wanneer iemand vertrekt, trek systematisch toegang in:
Dag 1:
- Deactiveer e-mail
- Verwijder uit chat/communicatie platforms
- Notificeer systeemeigenaren
Laatste dag:
- Backup e-mail en bestanden (indien van toepassing)
- Deactiveer alle accounts
- Maak badges, sleutels terug
- Wijzig wachtwoorden voor gedeelde accounts
Week na vertrek:
- Bevestig alle systeemtoegang is ingetrokken
- Check voor overblijvende toegang
- Controleer op lingering accounts
Veel Gemaakte Fouten
- Geen documentatie — "Ik herinner me niet wie ik toegang gaf." Resultaat: Kan niet controleren.
- Geen on/offboarding proces — Nieuwe mensen krijgen geen toegang; vertrekkende mensen blijven.
- Te weinig frequent review — Jaarlijkse review betekent verouderde toegang 12 maanden lang. Driemaandelijks minimum.
- Geen zakelijke grondslag — "Waarom heeft deze persoon toegang?" Als u niet kunt antwoorden, zouden zij niet moeten.
- Geen groepen — Individuele toestemmingen schalen niet. Gebruik groepen.
- Contractanten vergeten — Contractanten hebben vaak toegang langer dan hun contract. Stel vervaldatums in.
Gerelateerde Documentatie
Deze documentatie vormt geen beveiligings- of nalevingsadvies.