Wie heeft toegang tot wat? De jaarlijkse toegangscontrole die elke KMO zou moeten doen

Vraag in een KMO van vijftien medewerkers wie toegang heeft tot de gedeelde klantenmap, en je krijgt meestal een aarzelend 'iedereen, denk ik'. Vraag wie beheerder is van de website, en het antwoord is een lijstje namen waarvan er twee niet meer in dienst zijn. Dat is geen slordigheid, dat is hoe toegang werkt als niemand ze beheert: ze groeit alleen maar. Elke functiewissel, elk project en elke tijdelijke uitzondering voegt rechten toe. Niemand haalt ze weg, want daar is nooit een moment voor. Dit artikel gaat over dat moment: een jaarlijkse toegangscontrole, in vijf stappen, op een halve dag.

Toegang die alleen maar groeit

Dit zijn situaties die we bij bijna elke eerste doorlichting tegenkomen. Niet omdat het bedrijf slecht georganiseerd is, maar omdat toegang toekennen een handeling is en toegang wegnemen een beslissing.

• De stagiair van twee jaar geleden staat nog in de gedeelde map, omdat zijn account nooit is afgesloten.
• De vorige boekhouder heeft nog toegang tot het bankplatform, want die machtiging zat bij de bank en niet bij IT.
• Iedereen is beheerder van de website, omdat dat ooit makkelijker was om een nieuwsbericht te plaatsen.
• Een leverancier heeft permanente VPN-toegang voor een project dat vorig jaar is afgerond.
• Wie van verkoop naar administratie ging, heeft nu de rechten van beide functies.

Waarom dit telt

Zolang niemand kwaad wil, merk je hier niets van. Maar toegang die te ruim is, wordt een probleem op het moment dat één account in verkeerde handen valt, of één ex-medewerker met een wrok blijft zitten.

• Eén gehackt account geeft de aanvaller alles waar dat account bij kan. Alleen de toegang geven die iemand nodig heeft, is de goedkoopste schadebeperking die bestaat.
• NIS2 en cyberverzekeraars vragen ernaar. 'Wie heeft toegang tot wat, en wanneer is dat voor het laatst gecontroleerd?' is een standaardvraag geworden, en 'geen idee' is geen antwoord.
• GDPR verwacht dat persoonsgegevens alleen toegankelijk zijn voor wie ze nodig heeft. Een ex-stagiair in de klantenmap is een datalek dat nog niet ontdekt is.

De jaarlijkse review in vijf stappen

De oefening zelf is niet technisch. Het komt erop aan ze één keer per jaar echt te doen.

1. Lijst alle systemen op. Niet alleen Microsoft 365 of Google Workspace, maar ook het boekhoudpakket, de CRM, het bankplatform, de website, de sociale media, de wachtwoordmanager, de VPN, de alarmcentrale en de tools waarvan je vergeten was dat je ze had.
2. Noteer per systeem wie er toegang heeft en met welk niveau: gewone gebruiker, beheerder of alleen-lezen. Vergeet de externen niet: leveranciers, de boekhouder, je vorige IT'er.
3. Laat elke verantwoordelijke bevestigen of het nog klopt. De zaakvoerder voor de bank, de office manager voor de gedeelde mappen, de marketingverantwoordelijke voor de website. Niet IT beslist wie wat mag, de eigenaar van het systeem doet dat.
4. Verwijder of verlaag. Wat niet meer nodig is, gaat weg. Wie te veel mag, krijgt minder. Twijfel je, verlaag dan eerst en wacht af of iemand het mist. Dat gebeurt zelden.
5. Documenteer de datum en de beslissingen. Een eenvoudig tabblad volstaat: systeem, wie, welk niveau, gecontroleerd op, door wie. Volgend jaar vertrek je van die lijst, en bij een audit heb je meteen bewijs.

Hulpmiddelen die het makkelijker maken

Je hoeft dit niet op papier te doen. De meeste platformen die je al betaalt, tonen dit centraal.

• Microsoft 365 en Google Workspace hebben een beheercentrum waar je per gebruiker ziet welke licenties, groepen en gedeelde mappen erbij horen, en wie beheerder is.
• Een wachtwoordmanager met gedeelde kluizen toont wie welke logins kan zien. Wie vertrekt, verdwijnt uit de kluis en de wachtwoorden worden vernieuwd. Meer over die aanpak in wachtwoordmanager voor je team.
• SSO (single sign-on) waar mogelijk: laat je tools inloggen via je Microsoft- of Google-account, dan volstaat één account afsluiten om overal buiten te staan.
• Voor systemen zonder centraal overzicht, zoals het bankplatform of de website, is de lijst uit stap twee je enige bron. Hou ze bij.

Hoe lang duurt het voor vijftien medewerkers?

Realistisch: een halve dag, één keer per jaar. De eerste keer iets langer, omdat je de lijst van systemen nog moet opbouwen en waarschijnlijk meer opruimt dan je verwacht. Koppel het aan een vast moment, bijvoorbeeld de eerste week van december of vlak na de jaarafsluiting. En verbind het met de twee momenten waarop toegang verandert: wanneer iemand start en wanneer iemand vertrekt. Wie die twee goed doet, heeft bij de jaarlijkse controle weinig te verwijderen.

Wat een IT-partner overneemt

Bij klanten waar wij het beheer doen, is de jaarlijkse toegangscontrole een vast onderdeel. Wij bouwen de lijst van systemen op en houden ze bij, halen de huidige toegangen uit de platformen, leggen ze per verantwoordelijke voor, voeren de wijzigingen door en leveren de documentatie op. Jouw rol beperkt zich tot bevestigen wat nog klopt en beslissen bij twijfel. Dat is een uur van je tijd, geen halve dag. En het is precies het soort bewijs dat NIS2-vragen en verzekeraars willen zien.