Wat je leert
Leerdoelen
- Scheid authenticatie van autorisatie
- Leg de rol van passkeys en sessiebeheer uit
- Controleer rechten gedurende de hele levenscyclus van een gebruiker
Authenticatie is pas de eerste beslissing
Een geslaagde aanmelding stelt een identiteitsclaim vast; autorisatie bepaalt wat die identiteit mag doen. Gebruik persoonsgebonden accounts en geef de minimale toegang die de rol vereist. Controleer rechten als verantwoordelijkheden veranderen en trek toegang in via een gecontroleerd uitstroomproces. Gedeelde beheerdersgegevens maken het lastiger om handelingen toe te schrijven en toegang in te trekken.
Kies waar mogelijk voor phishingbestendige authenticatie
Passkeys en beveiligingssleutels kunnen de blootstelling aan phishing naar inloggegevens verkleinen. Ze nemen niet weg dat je herstel, endpoints en bestaande sessies moet beveiligen. Leg vast welke authenticators en herstelprocedures worden ondersteund. Een sterke voordeur kan nog steeds worden ondermijnd door een niet-gecontroleerde herstelroute of een gestolen sessie die lang geldig blijft.
Beperk permanente rechten
Scheid alledaagse activiteiten van beheerwerk. Tijdgebonden verhoging van rechten en goedkeuringen kunnen beperken hoe lang verhoogde toegang beschikbaar is. Controleer naast menselijke gebruikers ook serviceaccounts en inloggegevens van applicaties. Gebruik logs om te beantwoorden wie wat heeft geopend, wanneer en met welke goedkeuring.
Toegepast voorbeeld
Plaats het in context
Een fictieve salarisadministrateur stapt over naar een andere afdeling. Zijn rol wordt direct aangepast, sessies met verhoogde rechten worden gecontroleerd en noodtoegang blijft onafhankelijk beheerd. De organisatie wacht niet op een jaarlijkse controle om verouderde rechten op de salarisadministratie in te trekken.
Illustratief scenario om van te leren, geen bewering over een geverifieerd incident bij een klant.Veelgemaakte fouten
- MFA behandelen als autorisatie
- Rechten van serviceaccounts negeren
- Oude rollen actief laten
Jouw praktische checklist
Vinkjes in de checklist zijn tijdelijk en worden niet vastgelegd als voortgang in je account.
Korte samenvatting
Sterke authenticatie en minimale rechten lossen verschillende delen van het accountrisico op; onderhoud ze allebei.