Toegang regelen voelt ongemakkelijk in een klein bedrijf. Je kent elkaar, je vertrouwt elkaar, en dan ga je toch opschrijven wie waar wel en niet bij mag. Dat lijkt op wantrouwen, maar het gaat ergens anders over: of iemands rechten nog passen bij het werk van dat moment. Rollen schuiven, projecten eindigen, mensen komen en gaan. Zonder iets wat dat bijhoudt, groeit toegang alleen maar aan.
Fysiek en digitaal. Ons kantoor zit bij The Launch, op de Heyendaal-campus van de Radboud Universiteit in Nijmegen. De fysieke toegang tot het gebouw wordt door de Radboud Universiteit geregeld. Wij regelen de digitale toegang: accounts, zakelijke e-mail en alle systemen waarmee we werken. Dat is het onderwerp van dit bericht.
Eén identiteit, en niets daarbuiten. Alles begint bij identiteit. Iedereen die bij ons werkt heeft één zakelijk account, en dat account is het vertrekpunt voor alle andere toegang die diegene krijgt. Je komt dus niet met een privéaccount of een losse login het werk binnen.
Dat heeft een simpele reden: zonder unieke, herleidbare identiteit weet je bij een wijziging of een incident niet wie wat heeft gedaan. Gedeelde accounts zijn daarom bij ons uitgesloten, tenzij er technisch echt geen alternatief is en we er extra maatregelen omheen zetten. Hetzelfde geldt voor toegang tot serveromgevingen: die loopt via sleutels die aan een persoon gekoppeld zijn, niet via een wachtwoord dat rondgaat.
Least privilege en need-to-know, in gewone taal. Twee begrippen uit ons beleid komen steeds terug:
- Least privilege: je krijgt precies de rechten die je werk vraagt, en niet meer.
- Need-to-know: je hebt toegang tot informatie omdat je taak die nodig heeft, niet omdat het handig kan zijn.
Dat is geen principekwestie, het scheelt in de praktijk. Je kunt niets per ongeluk slopen in een omgeving waar je niet in zit. En als een account ooit wordt overgenomen, bijvoorbeeld via phishing, levert een account met bescheiden rechten een aanvaller ook maar bescheiden resultaat op.
SOLL en IST: wat zou moeten, en wat er werkelijk is. Om toegang te kunnen beoordelen hebben we twee overzichten, en het verschil ertussen is het hele punt.
| SOLL | IST | |
|---|---|---|
| Wat | De gewenste situatie | De werkelijke situatie |
| Vraag | Welke rechten horen bij welke rol? | Wat staat er daadwerkelijk aan rechten open? |
| Bron | Vastgesteld met de systeemverantwoordelijken | Opgehaald uit de systemen zelf |
De SOLL-matrix beschrijft de gewenste situatie: welke rechten horen bij welke rol? Die stellen we vast met de mensen die verantwoordelijk zijn voor de systemen, en we kijken hem in elk geval jaarlijks na of eerder, als rollen in het bedrijf veranderen.
De IST-matrix beschrijft de werkelijke situatie: wat staat er daadwerkelijk aan rechten open? Die halen we op uit de systemen zelf, niet uit ons geheugen.
Vervolgens leggen we die twee naast elkaar. Dat heet een gap-analyse en levert twee soorten verschillen op: rechten die iemand wel heeft maar volgens de rol niet nodig heeft, en rechten die iemand volgens de rol nodig heeft maar nog niet heeft. Beide zijn interessant. Het eerste is een risico, het tweede is meestal iemand die zijn werk niet kan doen en dat via omwegen oplost.
We doen die vergelijking elk kwartaal, en extra als er grotere rolwijzigingen zijn. Verschillen blijven niet hangen: ze worden vastgelegd en binnen een paar werkdagen rechtgezet, waarna de administratie weer klopt. Dat ritme is belangrijker dan de perfectie van één moment.
In dienst, van rol wisselen, uit dienst. Nieuwe werknemers's krijgen bij de start het personeelshandboek en lopen een onboardingchecklist door: toegang tot de systemen die bij hun werk horen, een buddy die controleert of alles er echt is, en in een eventuele proefperiode nog geen toegang tot klantgegevens of gevoelige bedrijfsinformatie.
Uit dienst gaan is dezelfde lijst, achterstevoren. HR meldt het vertrek of de rolwijziging, waarna toegang tot systemen en communicatiekanalen wordt ingetrokken, bedrijfsmiddelen worden teruggegeven en onze registratie van mensen en apparatuur wordt bijgewerkt. We vragen vertrekkende collega's ook zelf om bedrijfsdocumenten en repositories van hun apparatuur te verwijderen. Daarnaast plannen we een overdrachtsmoment en een gesprek om terug te kijken; het is een afsluiting, geen afvoerputje.
Blijven verbeteren. Elke kwartaalronde levert verschillen op en daar leren we van: komt hetzelfde soort afwijking steeds terug, dan passen we het proces aan in plaats van alleen de rechten. Hoe we dat aanpakken lees je in continu verbeteren.
Toegang is het soort onderwerp dat zichzelf niet opruimt. Door vaste momenten af te spreken, een aanvraag vooraf, een vergelijking per kwartaal en een vaste lijst bij vertrek, hoeft niemand te onthouden dat het nog moet. Het staat gewoon in de agenda.