Een tijdelijk extern account blijft te lang bestaan

Toegang geven gaat snel, intrekken vraagt een moment van aandacht dat zelden gepland staat. Een freelancer rondt af, het project wordt overgedragen en niemand vraagt wie nog toegang heeft. Daarnaast kan toegang op meerdere manieren bestaan: een eigen gebruikersaccount, een gedeeld wachtwoord, of een koppeling tussen een extern programma en een van je accounts.

De MDN-pagina over webbeveiliging noemt voor webontwikkelaars onder meer toegang tot broncode beheren, geheimen veilig behandelen en afhankelijkheden controleren als goede operationele praktijk. Ons uitgangspunt voor een kmo is een eigen vertaling daarvan en geen MDN-voorschrift: weet wie waartoe toegang heeft, en waarom.

De risico's zijn onderling verschillend. Een vergeten account van een vertrouwde freelancer is een ander geval dan een gedeeld wachtwoord dat al aan drie personen is doorgegeven. Behandel ze daarom niet als één categorie.

Begin met een eenvoudig overzicht, in een spreadsheet of beheerdersdocument. Het hoeft niet ingewikkeld te zijn, zolang het bijgehouden wordt.

1. Systeem en type toegang: bijvoorbeeld advertentieaccount, websitebeheer, mailtool, een gekoppelde externe app.
2. Naam van de externe persoon of partij en het doel van de toegang.
3. Interne eigenaar: de collega die de toegang goedkeurde en verantwoordelijk is voor het intrekken.
4. Einddatum, of een vaste herbeoordelingsdatum als er geen natuurlijk einde is.
5. Datum en wijze van intrekcontrole: wie keek na wanneer of de toegang echt weg is.

Zonder interne eigenaar blijft een account hangen. Zonder einddatum is er geen moment waarop iemand zich afvraagt of de toegang nog nodig is. Maak de eigenaar een persoon, geen afdeling.

Het register is leeg of onvolledig wanneer je begint, dus eerst moet je vinden wat er al bestaat. Doe dit systeem per systeem, en begin met de plekken waar de impact het grootst is: bankgerelateerde tools, advertentieaccounts, websitebeheer en klantendata.

• Open per systeem de lijst met gebruikers en rollen in het beheergedeelte en vergelijk die met je personeelslijst en je lijst met bekende externe partners.
• Zoek naar koppelingen met externe apps. Voor een persoonlijk Google-account kun je via de pagina van Google over gekoppelde apps nagaan welke apps verbonden zijn. Die pagina beschrijft dat je koppelingen kunt bekijken en verwijderen en dat het verwijderen van een Sign in with Google-koppeling de gegevens in de app niet wist. Voor een beheerde bedrijfsomgeving of andere systemen controleer je in de beheerinstellingen zelf.
• Noteer ook gedeelde wachtwoorden en gedeelde mailboxen, want die verschijnen niet altijd in een gebruikerslijst.
• Controleer of er accounts zijn waarvan je de eigenaar niet kent. Die onderzoek je als eerste. Bekende toegang die niet meer nodig is, trek je meteen in en je wacht daarvoor niet tot de inventaris af is.

Waar precies de gebruikerslijst of de lijst met gekoppelde apps staat, verschilt per systeem en kan wijzigen. Controleer dat in de instellingen van het systeem zelf of vraag het aan de beheerder.

Voor elke gevonden toegang neem je een beslissing en leg je die vast. De volgende tabel is een voorstel dat je aan je eigen situatie aanpast.

Overweeg wat er afhangt van het account vóór je het intrekt. Een advertentiecampagne kan stoppen of een koppeling kan breken. Overleg met de interne eigenaar en plan het intrekken van toegang die nog gebruikt wordt, in plaats van alles tegelijk uit te zetten. Toegang die bekend onnodig of ongewenst is, trek je meteen in.

Een intrekcontrole is meer dan een klik op verwijderen. Controleer achteraf dat de toegang echt weg is en dat er geen achterdeur is blijven bestaan.

1. Verwijder het gebruikersaccount of trek de rol in en bekijk de gebruikerslijst opnieuw om te bevestigen.
2. Verwijder gekoppelde externe apps die niet langer nodig zijn. Volgens Google wist het verwijderen van een Sign in with Google-koppeling de gegevens in de app zelf niet.
3. Wijzig wachtwoorden die de externe persoon kende, en vervang gedeelde toegang.
4. Controleer of er een herstelmailadres of herstelmethode aan een account hing die nog naar de externe partij verwijst.
5. Noteer datum, uitvoerder en wijze van controle in het register.

Voor heractivering geldt een eenvoudige regel: toegang komt alleen terug via dezelfde procedure als nieuwe toegang, met een nieuwe einddatum en een benoemde eigenaar. Laat een oud account niet stilzwijgend heropenen omdat 'het er toch nog stond'.

Een fictieve kmo huurde voor een najaarscampagne een externe copywriter in, met een eigen account in de contentomgeving en een koppeling met een planningsapp. Invoer: het register heeft een regel zonder einddatum en zonder interne eigenaar. Verwachte controles:

1. Zoek wie de toegang goedkeurde en noteer die persoon als eigenaar.
2. Check in de gebruikerslijst of het account bestaat en welke rol het heeft.
3. Check de lijst met gekoppelde apps op de planningsapp.
4. Beslis volgens de tabel: campagne afgerond, dus intrekken.
5. Trek in, controleer opnieuw de lijsten, vul datum en uitvoerder in.

Plan daarna een vast herbeoordelingsmoment, bijvoorbeeld per kwartaal, waarop de eigenaar van elke regel bevestigt dat de toegang nog nodig is. Een onbeantwoorde bevestiging is geen toestemming om te blijven laten staan.

Wil je ook zien welke publieke signalen je website uitstuurt, bekijk ze dan via Marketing Scan. De scan toont publiek zichtbare signalen en controleert je interne accounts of toegangsbeheer niet.