Elke rechtenreview die ik uitvoer, levert hetzelfde soort probleem op. Geen zero-day. Geen geavanceerde tegenstander. Een account van iemand die het bedrijf heeft verlaten, nog steeds actief, nog steeds lid van een groep die toegang geeft tot de productiedatabase.
Waarom het zich opstapelt
Uitstroom wordt meestal behandeld als een HR-gebeurtenis met een IT-bijwerking. Iemand maakt een ticket aan, het primaire account wordt uitgeschakeld, en de lange staart (de SaaS-tools die met een afdelingscreditcard zijn gekocht, het serviceaccount dat “tijdelijk” is aangemaakt, het groepslidmaatschap voor een project dat al is afgerond) blijft onaangeroerd.
Het resultaat is een toegangsoppervlak dat alleen maar groeit. Niemand is verantwoordelijk voor het verkleinen ervan, omdat verkleinen geen deadline heeft.
Wat het echt oplost
- Maak het HR-systeem leidend. Uitdiensttreding in het HR-systeem moet automatisch deprovisioning starten in elke gekoppelde applicatie. Handmatige uitstroomchecklists verwateren binnen twee kwartalen.
- Geef elke toekenning een einddatum. Toegang voor een project verloopt wanneer het project eindigt. Standaard verloop werkt beter dan periodieke review, omdat het systeem het afdwingt in plaats van iemands agenda.
- Wijs eigenaren toe aan serviceaccounts. Elke niet-menselijke identiteit heeft een benoemde menselijke eigenaar en een gedocumenteerd doel nodig. Accounts die die test niet doorstaan, worden uitgeschakeld, niet gedocumenteerd.
- Review op uitzondering. Kwartaalcampagnes waarin managers 200 rechten moeten goedkeuren, leiden tot blind aftekenen. Toon alleen wat is veranderd of wat afwijkend lijkt.
De ongemakkelijke meting
Kies willekeurig een medewerker die zes maanden geleden is vertrokken. Breng elk systeem in kaart dat die persoon vandaag nog kan bereiken. Het aantal is bijna nooit nul, en de oefening overtuigt een bestuur meer dan welke volwassenheidsscore ook.