De aanleiding was een vraag van een opdrachtgever. Niet “zijn jullie veilig”, maar “laat zien hoe jullie het geregeld hebben”. Dat is een ander gesprek, en een waar techniek alleen je niet uit redt.
De nulmeting duurde een ochtend
We zijn begonnen met een lijst van vijfentwintig punten, samen doorgelopen met de partner die over bedrijfsvoering gaat. Achter zestien punten stond binnen een uur een vinkje: die waren al geregeld, alleen nergens vastgelegd. Vijf punten stonden half. Vier waren er niet.
Dat is bijna altijd de uitkomst, en het is een prettiger startpunt dan een rapport van veertig pagina’s. Het gesprek ging daarna over negen punten in plaats van over alles tegelijk.
Rechten per rol, niet per persoon
De grootste verandering zat in hoe toegang werd toegekend. Voorheen kreeg een nieuwe medewerker “dezelfde rechten als die collega”, wat betekende dat rechten zich stapelden en nooit verdwenen. Nu hangt toegang aan de rol en aan de dossiergroep. Verandert iemand van rol, dan verandert de toegang mee.
- Nieuwe medewerker: één formulier, rechten staan binnen een uur klaar.
- Vertrekkende medewerker: één handeling, alle toegang tegelijk dicht.
- Elk kwartaal een lijst met wie waar bij kan, ter controle.
Het opruimen leverde het meeste op
Bij die eerste inventarisatie bleken veertien accounts nog actief van mensen die het kantoor al hadden verlaten — de oudste van vier jaar geleden. Geen daarvan was misbruikt, voor zover we konden nagaan. Dat is geen geruststelling, dat is geluk.
En toen kwam de audit
Toen de opdrachtgever een half jaar later doorvroeg, was het antwoord een map met vier documenten: het rechtenoverzicht, het incidentplan, het verslag van de hersteltest en de lijst met leveranciers. Opgesteld op de dag zelf, uit dingen die er al lagen.
Wat er is gebouwd
- Toegangsrechten per dossiergroep in plaats van per persoon
- Tweestapsverificatie voor iedereen, ook voor de partners
- Incidentplan op één A4, met telefoonnummers
- Jaarlijkse hersteltest van de back-up, met verslag
