Module 7 · 7.1

Nederlands

Nederlands Deutsch

Rechten en minimaal beheer

Module 7: Toegang, leveranciers en cloud · Leestijd: 10 minuten

Leerdoel: Na deze les kun je rechten inrichten volgens het principe "zo min mogelijk": iedereen een eigen account, beheerdersrechten apart, externe partijen tijdelijk en beperkt, en een vaste aanpak voor als iemand begint, van functie wisselt of vertrekt.
Kernbegrippen: least privilege, persoonlijk account, gedeeld account, beheerdersaccount, functiescheiding, in-, door- en uitstroom, toegangsoverzicht

Het principe: zo min mogelijk

Least privilege (in het Nederlands: minimale rechten) betekent dat iedereen precies de toegang krijgt die nodig is voor zijn werk, en niet meer. NIST omschrijft het als een principe waarbij gebruikers alleen de rechten hebben die minimaal nodig zijn voor hun taken.

Waarom is dat belangrijk? Omdat elk account vroeg of laat kan worden overgenomen: door phishing (module 3), een gelekt wachtwoord (les 1.4) of een besmette laptop. Wat een aanvaller dan kan, hangt volledig af van de rechten van dat account. Het account van een stagiair die alleen social media doet, geeft weinig. Het account van iemand die "voor het gemak" overal beheerder is, geeft alles: mail, betalingen, de website, de back-ups.

Minimale rechten verkleinen dus niet de kans op een inbraak, maar wel de schade. Het is dezelfde gedachte als bij sleutels van een pand: de schoonmaker heeft een sleutel van de voordeur, niet van de kluis.

Iedereen een eigen account

Een gedeeld account is een account waar meerdere mensen met hetzelfde wachtwoord op inloggen: "we gebruiken allemaal info@example.com om in te loggen bij het boekhoudpakket". Het voelt praktisch, maar het heeft vier grote nadelen:

Je weet niet wie wat deed. In het logboek staat alleen "info". Is er een betaling gewijzigd, dan kun je niet nagaan door wie.
Je kunt niemand los afsluiten. Vertrekt er iemand, dan moet je het wachtwoord voor iedereen wijzigen, en dat gebeurt in de praktijk vaak niet.
Tweestapsverificatie werkt slecht. De code komt op één telefoon, dus wordt 2FA uitgezet of wordt de code rondgestuurd.
Het wachtwoord gaat rond via WhatsApp, briefjes en mail, en is daarmee niet meer geheim.

Een persoonlijk account lost dat allemaal op: eigen inlog, eigen 2FA, eigen logboek, los af te sluiten. Bijna elke zakelijke dienst ondersteunt meerdere gebruikers met eigen rechten. Een gedeeld mailadres als info@ mag best blijven bestaan als adres; laat de mensen die het lezen er dan toegang toe krijgen via hun eigen account, als je mailsysteem dat ondersteunt.

Beheerdersrechten apart

Een beheerdersaccount kan gebruikers aanmaken, rechten wijzigen, instellingen veranderen en vaak ook gegevens wissen. Juist daarom gebruik je het zo min mogelijk.

Werk dagelijks met een gewoon account en log alleen als beheerder in als je iets moet beheren. Dat geldt ook voor je laptop (les 5.2).
Zorg voor minstens twee mensen met beheerdersrechten op de belangrijkste diensten, of een goed bewaard noodaccount. Is de enige beheerder ziek of weg, dan zit je vast.
Maar ook niet meer dan nodig. Vijf beheerders in een bedrijf van acht mensen is vier te veel.
Zet op elk beheerdersaccount tweestapsverificatie aan, bij voorkeur phishingbestendig (les 2.4).

Functiescheiding gaat nog een stap verder: één persoon mag niet in zijn eentje een gevoelige handeling van begin tot eind doen. Het bekendste voorbeeld zag je in les 1.2: wie een nieuw IBAN van een leverancier invoert, keurt niet ook zelf de betaling goed. In een klein bedrijf kan dat simpel: de één bereidt de betaling voor, de ander keurt hem goed in de bankapp.

Externe partijen: tijdelijk en beperkt

Webbouwers, boekhouders, IT-bedrijven en freelancers hebben vaak toegang nodig. De klassieke fout is ze je eigen wachtwoord te geven. Dan kunnen ze alles wat jij kunt, en weet je na afloop niet meer wie er nog binnen kan.

Beter:

Geef een eigen account met alleen de rechten die nodig zijn. Een boekhouder heeft genoeg aan facturen; een webbouwer aan de bestanden van één website.
Geef toegang met een einddatum als het een klus is. Veel systemen kunnen een account of sleutel automatisch laten verlopen.
Beperk waar het kan vanaf welk netwerk iemand mag inloggen.
Leg vast wie welke externe toegang heeft, en waarom.

In-, door- en uitstroom

Rechten groeien vanzelf. Iemand begint bij verkoop, helpt een paar maanden bij de administratie en gaat dan naar productie. Als niemand oplet, heeft die persoon na twee jaar de rechten van alle drie de functies. Daarom regel je rechten op drie momenten:

Moment	Wat je doet
Instroom (nieuwe medewerker)	Eigen accounts aanmaken met de rechten van de functie, 2FA meteen instellen, uitleggen waar wat staat
Doorstroom (andere functie)	Nieuwe rechten erbij én oude rechten eraf
Uitstroom (vertrek)	Op de laatste werkdag accounts uitschakelen, sessies op apparaten intrekken, gedeelde wachtwoorden wijzigen, bestanden overdragen

Bij uitstroom is de volgorde belangrijk. Eerst overdragen, dan uitschakelen, pas later verwijderen. Verwijder je een account meteen, dan verdwijnen bij veel diensten de bestanden, agenda's en mail van die persoon ook. Bij sommige clouddiensten is dat na een korte termijn definitief: Microsoft 365 bewaart de OneDrive van een verwijderde gebruiker volgens zijn eigen documentatie standaard 30 dagen. Uitschakelen houdt de gegevens en sluit de toegang.

Vergeet bij vertrek ook: doorstuurregels die de persoon heeft ingesteld (les 2.5), app-wachtwoorden, toegang tot de bankapp, sociale media en de registrar van je domein, en sleutels of passen van het pand.

Het toegangsoverzicht

Een toegangsoverzicht is een eenvoudige tabel: per dienst wie toegang heeft, met welke rechten, en of het een eigen of een extern account is. Loop die lijst minstens twee keer per jaar na, en altijd na een vertrek. Bij elke regel stel je één vraag: heeft deze persoon dit vandaag nog nodig?

In de praktijk: zo ziet het eruit

In de voorbeeldomgeving Mijn WebOké nodig je een collega, boekhouder of webbouwer uit als gebruiker. Die logt in met eigen gegevens, en jij vinkt per machtiging aan wat hij mag, bijvoorbeeld alleen Facturen voor de boekhouder. Alleen de eigenaar van het account kan gebruikers uitnodigen en rechten wijzigen, en met één knop trek je de toegang weer in. In DirectAdmin kun je een webbouwer een eigen FTP-account voor één map geven, of een inlogsleutel met een vervaldatum, beperkte opdrachten en alleen vanaf bepaalde IP-adressen.

In Nextcloud kies je bij een vertrekkende collega eerst Uitschakelen: hij kan niet meer inloggen, maar de bestanden blijven bewaard. De handleiding is duidelijk: verwijder de gebruiker pas als alles is overgenomen, want een verwijderde gebruiker is met al zijn bestanden definitief weg. In andere systemen werkt dit vergelijkbaar, maar de namen en termijnen verschillen; zoek het op voordat iemand vertrekt.

Samenvatting

Minimale rechten beperken de schade als een account wordt overgenomen.
Iedereen een eigen account: dan weet je wie wat deed en kun je iemand los afsluiten.
Beheerdersrechten gebruik je alleen als het nodig is, voor een klein aantal mensen, met sterke 2FA.
Externe partijen krijgen een eigen, beperkt en waar het kan tijdelijk account, nooit jouw wachtwoord.
Regel rechten bij in-, door- en uitstroom; bij vertrek: overdragen, uitschakelen, later verwijderen.

Quiz

Opdracht

Opdracht A7.1: Wie krijgt welke toegang? Je krijgt een reeks situaties uit een klein bedrijf (een nieuwe boekhouder, een webbouwer voor een klus, een vertrekkende collega, een stagiair). Kies per situatie de beste manier om toegang te geven of af te sluiten. Het programma kijkt je keuze na en legt uit waarom.

Opdracht D7.1: Je toegangsoverzicht. Maak een toegangsoverzicht van je vijf belangrijkste diensten: wie heeft toegang, met welke rechten, eigen of gedeeld account, intern of extern. Haal minstens één overbodig recht of gedeeld account weg en schrijf je uitstroomlijst voor de volgende keer dat iemand vertrekt.

Opdracht D7.1: Je toegangsoverzicht

Zo pak je het aan: (1) Kies je vijf belangrijkste diensten (bijvoorbeeld mail, boekhouding, bank, hostingpaneel, cloudopslag, registrar van je domein). (2) Maak per dienst een overzicht: wie heeft toegang (rol, geen namen nodig), welke rechten, eigen of gedeeld account, intern of extern, tweestapsverificatie aan, datum van laatste inlog als de dienst dat toont. (3) Zoek in elke dienst de lijst met gebruikers op en vergelijk die met je overzicht. Noteer verschillen. (4) Haal minstens één overbodig recht, één oud account of één gedeeld account weg, of vervang een gedeeld account door persoonlijke accounts. (5) Controleer per dienst hoeveel beheerders er zijn; streef naar twee. (6) Schrijf je uitstroomlijst: wat doe je op de laatste werkdag van iemand (accounts uitschakelen, sessies intrekken, doorstuurregels en app-wachtwoorden nalopen, gedeelde wachtwoorden wijzigen, bestanden overdragen, bank, sociale media, registrar, sleutels en passen). (7) Zet een terugkerende afspraak (twee keer per jaar) om het overzicht na te lopen.

Voor vijf diensten is bekend wie toegang heeft en met welke rechten.
Minstens één overbodig recht of account is weggehaald.
Geen dienst heeft meer dan nodig beheerders, en geen enkele heeft er maar één zonder noodtoegang.
Externe partijen hebben een eigen account, niet jouw inlog.
De uitstroomlijst is klaar.
De volgende controle staat in de agenda.

Welke toegang vond je die je niet (meer) verwachtte?

Welk gedeeld account is het lastigst om op te splitsen, en waarom?

Als je eigen account morgen wordt overgenomen: wat kan de aanvaller allemaal?

Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing