Wat is toegangsbeheer en waarom is het belangrijk?

Toegangsbeheer is het geheel van maatregelen waarmee een organisatie bepaalt wie toegang krijgt tot welke systemen, gegevens en locaties. Het is een van de meest fundamentele pijlers van informatiebeveiliging: zonder goed toegangsbeheer kunnen onbevoegden bij gevoelige informatie komen, met alle risico’s van dien. In dit artikel beantwoorden we de meest gestelde vragen over toegangsbeheer, van de basisprincipes tot de eisen die ISO 27001 eraan stelt.

Hoe werkt toegangsbeheer in de praktijk?

Toegangsbeheer werkt in de praktijk door rechten en bevoegdheden toe te kennen op basis van de rol of functie van een persoon binnen de organisatie. Dit principe heet Role-Based Access Control (RBAC): een medewerker krijgt alleen toegang tot de systemen en gegevens die nodig zijn voor het uitvoeren van zijn of haar werk, niet meer en niet minder.

Concreet betekent dit dat een organisatie een overzicht bijhoudt van alle gebruikers, systemen en de bijbehorende toegangsrechten. Nieuwe medewerkers krijgen bij indiensttreding rechten toegewezen die passen bij hun functie. Wanneer iemand van rol wisselt of de organisatie verlaat, worden die rechten direct aangepast of ingetrokken. Dit wordt ook wel het lifecyclemanagement van identiteiten genoemd.

Toegangsbeheer omvat zowel digitale als fysieke toegang. Denk aan inloggegevens voor systemen en applicaties, maar ook aan toegangspassen voor serverruimtes of archieven. Binnen ISO 27001 valt toegangsbeheer onder zowel het technische als het organisatorische domein: de technische maatregelen zijn pas effectief als de bijbehorende processen en verantwoordelijkheden ook goed zijn geregeld.

Wat zijn de grootste risico’s bij gebrekkig toegangsbeheer?

Gebrekkig toegangsbeheer leidt tot een van de meest voorkomende oorzaken van datalekken en beveiligingsincidenten: onbevoegde toegang tot gevoelige informatie. Wanneer medewerkers meer rechten hebben dan nodig, of wanneer accounts van vertrokken medewerkers niet worden afgesloten, ontstaan er structurele kwetsbaarheden in de beveiliging van een organisatie.

De voornaamste risico’s zijn:

• Privilege creep: medewerkers verzamelen in de loop van de tijd steeds meer toegangsrechten, zonder dat oude rechten worden ingetrokken. Dit vergroot het aanvalsoppervlak aanzienlijk.
• Ongeautoriseerde toegang door derden: leveranciers of oud-medewerkers die nog actieve accounts hebben, kunnen toegang houden tot systemen lang nadat de samenwerking is beëindigd.
• Insider threats: medewerkers met te ruime rechten kunnen bewust of onbewust gevoelige gegevens inzien, kopiëren of verwijderen.
• Accountovername: zwakke of hergebruikte wachtwoorden maken het voor aanvallers eenvoudiger om in te loggen op accounts met brede toegang.
• Schending van wet- en regelgeving: onvoldoende toegangsbeheer kan leiden tot overtredingen van de AVG, wat boetes en reputatieschade tot gevolg kan hebben.

Veel van deze risico’s zijn niet direct zichtbaar totdat er iets misgaat. Juist daarom is toegangsbeheer in informatiebeveiliging geen eenmalige actie, maar een doorlopend proces dat regelmatige controle en bijsturing vereist.

Wat is het verschil tussen authenticatie en autorisatie?

Authenticatie is het proces waarbij wordt vastgesteld wie iemand is. Autorisatie bepaalt vervolgens wat die persoon mag doen. De twee begrippen werken altijd samen: authenticatie gaat altijd vooraf aan autorisatie, maar ze zijn fundamenteel verschillend van aard.

Een praktisch voorbeeld: een medewerker logt in op het systeem met een gebruikersnaam en wachtwoord. Dat is authenticatie. Vervolgens bepaalt het systeem welke bestanden, applicaties of functies die medewerker mag openen. Dat is autorisatie.

In de context van identity and access management (IAM) zijn beide processen onlosmakelijk verbonden:

• Authenticatie kan worden versterkt met multifactorauthenticatie (MFA), biometrie of certificaten.
• Autorisatie wordt beheerd via rollen, rechtenprofielen en toegangsbeleid dat aansluit bij de functie van de gebruiker.

Een veelgemaakte fout is om de nadruk volledig op authenticatie te leggen, zonder het autorisatieproces goed in te richten. Een sterk wachtwoord of MFA helpt niet als een ingelogde gebruiker vervolgens bij alle data van de organisatie kan.

Welke eisen stelt ISO 27001 aan toegangsbeheer?

ISO 27001 stelt concrete eisen aan toegangsbeheer via bijlage A, die een reeks beheersmaatregelen beschrijft die organisaties moeten beoordelen en waar relevant implementeren. Toegangscontrole is daarin een van de centrale thema’s, zowel op technisch als organisatorisch vlak.

De norm vereist onder andere dat organisaties:

• Een formeel toegangsbeheerbeleid opstellen en onderhouden.
• Toegangsrechten toekennen op basis van het need-to-knowprincipe: alleen de minimale rechten die nodig zijn voor de taak.
• Periodiek toegangsrechten beoordelen en niet meer benodigde rechten intrekken.
• Processen inrichten voor het aanmaken, wijzigen en verwijderen van gebruikersaccounts.
• Bijzondere aandacht besteden aan bevoorrechte toegang (zoals beheerdersaccounts), die extra beveiligd en gemonitord moet worden.
• Toegang van externe partijen en leveranciers apart beheren en beperken.

Belangrijk om te begrijpen is dat ISO 27001 een organisatiebrede norm is. Slechts een derde van de maatregelen is puur IT-gerelateerd; het grootste deel gaat over processen, beleid en menselijk gedrag. Toegangsbeheer is dan ook niet alleen een technische kwestie, maar vraagt om heldere afspraken, rollen en verantwoordelijkheden binnen de hele organisatie. Meer over de brede scope van de norm leest u op de pagina over normen en kaders.

Hoe stel je een toegangsbeheerbeleid op?

Een toegangsbeheerbeleid stel je op door eerst in kaart te brengen welke systemen, gegevens en locaties binnen de organisatie beschermd moeten worden, en wie er toegang toe nodig heeft. Vanuit dat overzicht definieer je regels voor het toekennen, aanpassen en intrekken van rechten.

Een effectief toegangsbeheerbeleid bevat minimaal de volgende onderdelen:

1. Scope en doelstelling: voor welke systemen en gegevens geldt het beleid, en wat wil je bereiken?
2. Rolgebaseerde rechtenstructuur: welke functies bestaan er en welke toegang hoort daarbij?
3. Procedures voor onboarding en offboarding: hoe worden rechten toegekend bij indiensttreding en ingetrokken bij vertrek?
4. Beheer van bevoorrechte accounts: wie heeft beheerdersrechten en hoe worden die gecontroleerd?
5. Periodieke toegangsreview: hoe vaak worden rechten gecontroleerd en door wie?
6. Logging en monitoring: hoe worden toegangspogingen en afwijkingen bijgehouden?
7. Verantwoordelijkheden: wie is eigenaar van het beleid en wie voert de controles uit?

Een goed beleid is niet statisch. Het moet meegroeien met de organisatie en regelmatig worden getoetst op actualiteit. Een interne audit is een effectieve manier om te controleren of het beleid in de praktijk ook daadwerkelijk wordt nageleefd.

Wanneer is multifactorauthenticatie verplicht?

Multifactorauthenticatie (MFA) is wettelijk niet universeel verplicht, maar wordt in toenemende mate vereist door normen, wet- en regelgeving en opdrachtgevers. Onder ISO 27001 is MFA geen harde eis, maar de norm verwacht wel dat organisaties passende authenticatiemaatregelen nemen op basis van een risicoafweging. In de meeste gevallen is MFA daarvoor de logische keuze.

Er zijn situaties waarin MFA in de praktijk zo goed als verplicht is:

• Toegang op afstand: voor medewerkers die via VPN of remote desktop inloggen op bedrijfssystemen, is MFA een standaard beveiligingsvereiste.
• Bevoorrechte accounts: beheerders en andere gebruikers met uitgebreide rechten moeten in vrijwel alle beveiligingskaders MFA gebruiken.
• Zorgorganisaties: de NEN 7510-norm voor informatiebeveiliging in de zorg stelt strenge eisen aan toegangscontrole, waarbij MFA voor gevoelige patiëntdata de norm is.
• NIS2-plichtige organisaties: de Cyberbeveiligingswet, die naar verwachting medio 2026 in werking treedt, vraagt aantoonbare beveiligingsmaatregelen waarbij MFA voor kritieke systemen een logisch onderdeel vormt. Meer hierover leest u op de pagina over NIS2.
• Eisen van opdrachtgevers: steeds meer organisaties stellen MFA als voorwaarde aan hun leveranciers, ook als er geen wettelijke verplichting geldt.

De vuistregel is: hoe gevoeliger de gegevens en hoe groter de impact van een eventuele inbreuk, hoe sterker de authenticatie moet zijn. MFA is daarin de meest toegankelijke en bewezen maatregel.

Hoe Kwinzo helpt met toegangsbeheer en informatiebeveiliging

Toegangsbeheer goed inrichten vraagt om meer dan technische maatregelen alleen. Het vereist een helder beleid, werkbare processen en draagvlak binnen de organisatie. Wij helpen organisaties in zorg, ICT en onderwijs om toegangsbeheer structureel te verankeren als onderdeel van een breder informatiebeveiligingssysteem.

Wat wij bieden:

• Begeleiding bij ISO 27001-implementatie: wij zorgen dat toegangsbeheer op de juiste manier wordt ingericht en gedocumenteerd, afgestemd op uw organisatie.
• Interne audits: een onafhankelijke consultant controleert of uw toegangsbeheerbeleid in de praktijk ook wordt nageleefd en geeft concrete verbeterpunten.
• Trainingen en workshops: via onze interactieve trainingen vergroten medewerkers en Security Officers hun bewustwording rond toegangsbeheer en informatiebeveiliging.
• Eigen ISMS-tool: met onze tool beheert u rechten, beleid en audits overzichtelijk op één plek.
• Maatwerk per organisatie: van volledige begeleiding tot een doe-het-zelfaanpak, wij stemmen de ondersteuning af op uw ervaring en behoeften.

Wilt u weten hoe uw organisatie er nu voor staat op het gebied van toegangsbeheer en informatiebeveiliging? Neem contact op voor een vrijblijvend adviesgesprek.