Rechten groeien vanzelf

Niemand ruimt rechten op, want het levert niets zichtbaars op. Ondertussen komt er bij elk project een map bij, wordt er weer iemand toegevoegd om even mee te kijken, en blijft dat allemaal staan. Toegang beperken is dan ook een van de vijf basisprincipes waar het Digital Trust Center (opent in een nieuw tabblad) ondernemers op laat toetsen.

Na een paar jaar heeft de helft van je organisatie toegang tot dingen die ze niet nodig hebben. Dat is geen theoretisch risico. Het is precies wat één gestolen account misbruikt.

Waar je begint met kijken

  1. Accounts van mensen die uit dienst zijn. Nog steeds actief, en soms nog met mail die doorloopt.
  2. Mappen die met de hele organisatie gedeeld zijn, terwijl er personeelsgegevens of contracten in staan.
  3. Links die voor iedereen met de link toegankelijk zijn. Die verlopen zelden en verspreiden zich verder dan je denkt.
  4. Gedeelde postbussen waar iemand bij kan die er allang geen taak meer heeft.

Gasten en externe delen

Externe samenwerking is nuttig, en daarom staat het meestal ruim open. Wat helpt is een vervaldatum op gedeelde links, standaard delen op alleen lezen, en één keer per kwartaal de lijst met gasten doorlopen. De meeste ervan zijn projecten die allang zijn opgeleverd.

Kijk ook naar doorstuurregels in postbussen. Een regel die alle mail naar een extern adres kopieert is een klassiek spoor van een eerdere inbraak.

Beheerdersrechten

Hier geldt de strengste regel. Beheerdersrechten horen op een apart account dat niet voor dagelijks werk wordt gebruikt, met multifactor-authenticatie die je niet kunt overslaan. Twee volledige beheerders is meestal genoeg, met een derde noodaccount dat in de kluis ligt.

Opgeruimd houden

Het opruimen is eenmalig werk. Het opgeruimd houden is een proces, en dat is het deel dat blijft hangen.

  1. Koppel toegang aan groepen en niet aan personen, dan regelt uitdiensttreding zichzelf.
  2. Maak van in- en uitdiensttreding een vaste checklist, met IT erin.
  3. Loop twee keer per jaar de lijst met gasten en met beheerders na.
  4. Zet een melding op het aanmaken van nieuwe beheerders, zodat je het merkt.

Wij nemen dit mee bij cloud oplossingen. Val je onder de Cyberbeveiligingswet, dan is toegangsbeheer een van de maatregelen die je moet kunnen aantonen.