Waarom is toegangsbeheer zo belangrijk?
Een groot deel van de datalekken begint bij ongecontroleerde toegang. Een medewerker die gegevens ziet die hij niet hoeft te zien, een oud account dat nog actief is na een ontslag, een gedeeld wachtwoord dat niemand ooit heeft gewijzigd.
De GDPR vereist in Artikel 32 dat je “passende technische en organisatorische maatregelen” treft om persoonsgegevens te beveiligen. Toegangsbeheer is daar een van de fundamenten van. Het principe is simpel: niet iedereen in je bedrijf hoeft bij alle gegevens te kunnen. Maar in de praktijk zie je bij veel MKB-bedrijven het tegenovergestelde.
Het principe van least privilege
“Least privilege” betekent: geef iemand alleen de minimale toegang die nodig is om zijn of haar werk te doen. Niet meer, niet minder.
Concreet:
- De receptioniste hoeft niet bij de volledige HR-dossiers
- De accountmanager hoeft niet bij de salarisadministratie
- De marketingmedewerker hoeft niet bij de financiele boekhouding
- De IT-beheerder hoeft niet bij de inhoud van klantdossiers
Dit klinkt logisch, maar in de praktijk krijgen nieuwe medewerkers vaak dezelfde brede toegang als hun voorganger, zonder dat iemand kritisch kijkt of die toegang echt nodig is.
Rolgebaseerd toegangsbeheer
De meest praktische aanpak voor MKB-bedrijven is rolgebaseerd toegangsbeheer (Role-Based Access Control, of RBAC). In plaats van per medewerker rechten in te stellen, definieer je rollen met bijbehorende toegangsrechten.
Voorbeeld:
| Rol | Toegang tot |
|---|---|
| Directie | Alle systemen |
| HR-medewerker | HR-systeem, salarisadministratie |
| Accountmanager | CRM, klantdossiers |
| Marketing | Website CMS, e-mailtool, analytics |
| Administratie | Boekhoudpakket, facturatie |
Wanneer een nieuwe medewerker in dienst komt, wijs je een rol toe. Wijzigt de functie? Pas de rol aan. Zo voorkom je dat rechten zich opstapelen.
Wat te doen bij uitdiensttreding
Een van de meest onderschatte risico’s: oud-medewerkers die nog steeds toegang hebben tot bedrijfssystemen. Dit is een veelvoorkomende oorzaak van datalekken.
Stel een checklist op voor uitdiensttreding:
- Blokkeer de e-mailaccount direct op de laatste werkdag
- Trek alle systeemtoegang in (CRM, boekhouding, HR-systeem, cloudopslag)
- Wijzig gedeelde wachtwoorden waar de medewerker toegang toe had
- Vergeet externe tools niet: Slack, Trello, Google Workspace, social media accounts
- Vorder bedrijfsapparatuur in (laptop, telefoon, badges, sleutels)
Doe dit op de dag van vertrek, niet “als we er aan toekomen”.
Wachtwoordbeleid
Een goed wachtwoordbeleid is de basis van toegangsbeheer.
Do’s:
- Vereis sterke wachtwoorden (minimaal 12 tekens, combinatie van letters, cijfers en symbolen)
- Gebruik een wachtwoordmanager voor je team (1Password, Bitwarden)
- Vereis dat wachtwoorden uniek zijn per systeem
- Blokkeer accounts na meerdere mislukte inlogpogingen
Don’ts:
- Gedeelde wachtwoorden op post-its of in een gedeeld spreadsheet
- Eenzelfde wachtwoord voor meerdere systemen
- Wachtwoorden delen via e-mail of chat
Tweefactorauthenticatie (2FA)
Schakel 2FA in op alle systemen die persoonsgegevens bevatten. Dat betekent dat naast het wachtwoord een tweede verificatie nodig is, zoals een code op je telefoon of een hardware-sleutel.
De meeste zakelijke tools ondersteunen 2FA tegenwoordig: Google Workspace, Microsoft 365, CRM-systemen, boekhoudpakketten. Schakel het in, maak het verplicht, en controleer of iedereen het daadwerkelijk heeft geactiveerd.
Veelgemaakte fouten
- Iedereen heeft admin-toegang. Bij kleine bedrijven krijgt iedereen standaard de hoogste rechten “voor het gemak”. Dit is een van de grootste risico’s
- Gedeelde accounts. Een generiek account als “info@bedrijf.nl” waar vier mensen het wachtwoord van kennen. Je kunt niet traceren wie wat heeft gedaan
- Geen offboarding-procedure. Een vertrokken medewerker die nog maanden toegang heeft tot klantgegevens
- Wachtwoorden die nooit worden gewijzigd. Vooral bij gedeelde accounts of generieke inloggegevens
- 2FA wordt “te lastig” gevonden. En dus niet ingeschakeld op het CRM met 10.000 klantrecords
Begin vandaag
Je hoeft geen uitgebreid IT-beveiligingsplan te schrijven. Begin met drie stappen:
- Maak een overzicht van wie toegang heeft tot welke systemen
- Trek onnodige toegang in
- Schakel 2FA in op alle systemen met persoonsgegevens
GDPRWise helpt je om in kaart te brengen welke systemen persoonsgegevens verwerken en wie daar toegang toe heeft. Zo kun je gericht actie ondernemen.