Niet iedereen hoeft bij alles. Maar wie bepaalt dat, en hoe voorkom je dat het uit de hand loopt?

[list] In het kort

• Geef mensen niet meer toegang dan ze voor hun werk nodig hebben. Microsoft noemt dat een van de belangrijkste beveiligingsprincipes.
• Regel toegang via groepen (bijvoorbeeld per afdeling) in plaats van per persoon. Dat scheelt werk en voorkomt dat oude toegang blijft hangen.
• Bij een vertrek heb je een vast stappenplan nodig: inloggen blokkeren, mail en bestanden veiligstellen, daarna pas het account opruimen.
• Medewerkers die weinig achter een computer zitten, kunnen een andere licentievorm krijgen. Die past niet bij iedereen.
• Je kunt achteraf nakijken wie waar bij kan, maar niet alles zie je vanzelf. Dat moet je periodiek bekijken.

Veel bedrijven geven in het begin iedereen overal toegang. Dat is makkelijk, tot de eerste collega vertrekt of van afdeling wisselt.

[question] Waarom is het slim om mensen niet meer toegang te geven dan nodig?

Omdat elk account dat te veel kan zien, een groter risico is als het in verkeerde handen komt. Microsoft schrijft dat het beperken van toegang tot alleen wie die nodig heeft, een van de kernprincipes van Zero Trust is.

Het geldt ook voor beheerders. Wie dagelijks mailt en documenten bewerkt, hoeft geen volledige beheerdersrechten te hebben. Hoe je dat aanpakt, lees je in "Welke Microsoft 365-instellingen pas je het eerst aan?".

Hoe meer mensen overal bij kunnen, hoe meer er misgaat als één account wordt overgenomen.

[cog] Hoe regel ik toegang per afdeling of functie, zonder alles handmatig te doen?

Met groepen. Je geeft een groep toegang tot bijvoorbeeld een SharePoint-site, en iedereen in die groep heeft toegang. Je hoeft niet elke medewerker apart in te stellen. Microsoft onderscheidt twee soorten groepen:

• Beveiligingsgroepen, bedoeld om toegang tot gedeelde bronnen te regelen.
• Microsoft 365-groepen, bedoeld voor samenwerking. Die horen bijvoorbeeld bij een team in Teams en bij een bijbehorende SharePoint-site.

Je kunt mensen handmatig aan een groep toevoegen. Je kunt ook regels instellen, zodat iemand automatisch in een groep komt op basis van een kenmerk zoals afdeling of functie. Verandert dat kenmerk, dan past het lidmaatschap zich aan. Microsoft noemt dat een manier om het risico te verkleinen dat toegang blijft hangen. Volgens een Microsoft-handleiding voor het onderwijs vraagt dit minstens Microsoft Entra ID P1. Controleer voor jouw pakket of dat erin zit.

Bij SharePoint-sites die bij een team horen, adviseert Microsoft de rechten via Teams of de bijbehorende Microsoft 365-groep te beheren.

[handshake] Wie bepaalt wie waarbij mag?

Dat is geen technische vraag, maar een keuze van je bedrijf. Microsoft geeft wel een kader. De eigenaar van een bron, zoals een site of een applicatie, wijst een groep toe. De eigenaar van de groep beheert wie erin zit. Beheerrechten voor een groep kun je ook bij een afdelingsmanager leggen. Microsoft adviseert daarnaast ten minste twee eigenaren per groep, zodat het niet van één persoon afhangt.

Dit is mijn eigen suggestie en geen Microsoft-regel: laat de afdelingsmanager bepalen wie bij welke bestanden hoort, en laat IT of je IT-partner dat uitvoeren en bewaken. Zo weet iemand die het werk kent wat er nodig is.

[clock] Wat doe ik als een medewerker van functie wisselt of vertrekt?

Bij een functiewissel: als je met regels werkt (zie hierboven), verandert het groepslidmaatschap vanzelf mee. Anders moet iemand dit handmatig aanpassen. Dat gebeurt vaak niet, en dan houdt iemand toegang tot dingen die bij de oude functie hoorden.

Bij een vertrek heeft Microsoft een stappenplan. De stappen:

1. Voorkomen dat de persoon nog kan inloggen.
2. De inhoud van het postvak opslaan.
3. Het mobiele apparaat wissen en blokkeren.
4. E-mail doorsturen naar een collega, of het postvak omzetten naar een gedeeld postvak.
5. Een collega toegang geven tot OneDrive en Outlook-gegevens.
6. De licentie verwijderen.
7. Het account verwijderen.

Let op de bewaartermijnen. Volgens Microsoft blijft de inhoud van OneDrive en Outlook na het verwijderen van het account 30 dagen bewaard, en worden e-mail, contacten en agenda na het verwijderen van een licentie ook na 30 dagen definitief verwijderd. Zorg dus dat bestanden eerst bij de juiste collega zijn terechtgekomen.

[factory] Hoe regel ik toegang voor mensen die maar af en toe achter een computer zitten?

Voor medewerkers die vooral onderweg of op de werkvloer zijn, heeft Microsoft aparte licenties: de F-abonnementen (frontline). Volgens Microsoft zijn die bedoeld voor mensen die vaak op telefoon of tablet werken. Een paar dingen om te weten, uit de handleiding van Microsoft:

• F-abonnementen bevatten geen Microsoft 365-programma's voor de computer (zoals Word en Excel als geïnstalleerde apps). Medewerkers werken via de webversie of mobiele apps.
• Met F3 kun je documenten volledig gebruiken in de webversie en mobiele apps. Met F1 is dat alleen-lezen.
• F3 heeft een postvak van 2 GB. F1 heeft geen postvak.
• OneDrive-opslag is 2 GB.

Dit past niet bij iedereen op de werkvloer. Wie een eigen e-mailadres nodig heeft of met bestanden werkt, kan er snel tegenaan lopen. Over prijzen schrijf ik hier niets. Die veranderen te snel.

[key] Hoe zie ik achteraf wie waar toegang toe heeft?

Er zijn drie manieren, elk voor een ander stuk:

• Per groep: in het Microsoft Entra-beheercentrum zie je wie lid is van een groep.
• Per SharePoint-site of OneDrive: een site-beheerder kan een rapport (CSV-bestand) laten maken van elk uniek bestand, elke gebruiker, machtiging en link op die site. Dat rapport laat geen "Iedereen met de link"-links zien.
• Periodiek laten nalopen: met toegangsbeoordelingen vraag je gebruikers of een verantwoordelijke om te bevestigen of toegang nog nodig is. Hiervoor heb je volgens Microsoft Entra ID P2 of Entra ID Governance nodig.

Hoe je het overzicht over apparaten en gebruikers houdt, lees je ook in "Hoe houd ik grip op alle apparaten en gebruikers in mijn netwerk?".

[clock] Tot slot

Goede toegang is geen eenmalige instelling. Begin met groepen per afdeling, spreek af wie bepaalt wie waarbij mag, en maak een vaste lijst voor als iemand vertrekt of van functie wisselt. Kijk daarna met enige regelmaat of het nog klopt.

Wil je weten hoe het er bij jou voor staat? Dan kijken we graag mee.

Wil je weten hoe jouw omgeving ervoor staat?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →

Bronnen

• Meer informatie over groepen, groepslidmaatschap en toegang
• Sharing and permissions in the SharePoint modern experience (Engels)
• Een voormalige werknemer verwijderen: overzicht
• Inzicht in gebruikerstypen en licenties voor frontlinemedewerkers
• Overstappen van een Microsoft 365 E-abonnement naar een Microsoft 365 F-abonnement
• Report on file and folder sharing in a SharePoint site (Engels)
• Gebruikerstoegang beheren met toegangsbeoordelingen