Om overzicht te krijgen over wie toegang heeft tot welke bestanden, moet je de bestandsrechten (ook wel permissies of ACL’s genoemd) van je mappen en bestanden raadplegen. In een Windows-omgeving doe je dit via de beveiligingsinstellingen van een map, in een cloudomgeving via het beheerportaal van je dienst. Dit overzicht is essentieel voor de veiligheid van je bedrijfsdata en vormt de basis van goed toegangsbeheer. In dit artikel beantwoorden we de meest gestelde vragen over bestandsrechten, van de basis tot de praktische inrichting.
Waar worden bestandsrechten in een bedrijfsomgeving opgeslagen?
Bestandsrechten worden opgeslagen in de toegangscontrolelijst (ACL) van elk bestand of elke map. In een Windows-omgeving beheert het besturingssysteem deze lijsten op bestandssysteemniveau. In een cloudomgeving, zoals Microsoft 365 of SharePoint, worden rechten centraal opgeslagen in het beheerplatform van de dienst.
De locatie van bestandsrechten hangt af van hoe je ICT-omgeving is ingericht. In een klassieke on-premises serveromgeving staan de rechten vastgelegd op de server zelf, gekoppeld aan gebruikersaccounts in Active Directory. Elke gebruiker of groep krijgt daarin specifieke rechten toegewezen per map of bestand.
In een cloudgebaseerde omgeving werkt dit anders. Platforms zoals Microsoft 365 slaan rechten op in de cloud en koppelen deze aan gebruikersaccounts of groepen die centraal worden beheerd. Het voordeel hiervan is dat je altijd en overal toegang hebt tot het overzicht, zonder dat je fysiek op een server hoeft in te loggen.
Hoe zie je wie toegang heeft tot een specifieke map of bestand?
Je kunt zien wie toegang heeft tot een map of bestand door de beveiligingsinstellingen te openen. In Windows doe je dit door met de rechtermuisknop op een map te klikken, te kiezen voor Eigenschappen en vervolgens het tabblad Beveiliging te openen. Daar zie je een lijst van gebruikers en groepen met hun bijbehorende rechten.
In SharePoint of OneDrive for Business navigeer je naar de map of het bestand, klik je op de drie puntjes en kies je voor Toegang beheren. Hier zie je precies welke personen of groepen toegang hebben en op welk niveau.
Wil je een volledig overzicht van alle rechten in je organisatie, dan volstaat handmatig klikken niet meer. Daarvoor gebruik je rapportagetools of scripts, zoals PowerShell in een Windows-omgeving. Met een PowerShell-script kun je automatisch een lijst genereren van alle mappen en de bijbehorende rechten, wat een stuk efficiënter is dan elke map afzonderlijk te controleren.
Wat is het verschil tussen lezen, bewerken en volledig beheer?
De drie meest voorkomende rechtenniveaus zijn lezen, bewerken en volledig beheer. Lezen geeft een gebruiker toegang om bestanden te openen en te bekijken, maar niet om ze aan te passen. Bewerken voegt daar de mogelijkheid aan toe om bestanden te wijzigen, toe te voegen of te verwijderen. Volledig beheer geeft bovendien het recht om de rechten van anderen te wijzigen.
In de praktijk is het verstandig om het principe van least privilege te hanteren: geef gebruikers alleen de rechten die ze daadwerkelijk nodig hebben voor hun werk. Een medewerker die alleen rapporten leest, heeft geen bewerkingsrechten nodig. Een teamleider die documenten aanmaakt en deelt, heeft bewerken nodig, maar zelden volledig beheer.
Volledig beheer is een gevoelig rechtenniveau dat je beperkt moet houden tot systeembeheerders of ICT-verantwoordelijken. Wanneer te veel mensen volledig beheer hebben, vergroot je het risico op onbedoelde of ongewenste wijzigingen in de rechtenstructuur, wat de veiligheid van je bedrijfsdata ondermijnt.
Hoe richt je een overzichtelijke rechtenstructuur in?
Een overzichtelijke rechtenstructuur bouw je op door rechten toe te wijzen aan groepen in plaats van aan individuele gebruikers. Maak groepen aan op basis van functies of afdelingen, zoals Financiën, Sales of HR, en koppel de juiste maptoegang aan die groepen. Gebruikers krijgen dan automatisch de juiste rechten zodra ze aan een groep worden toegevoegd.
Een goede rechtenstructuur volgt een aantal basisprincipes:
- Werk met groepen, niet met individuele accounts: Dit maakt beheer schaalbaar en voorkomt dat je bij elke wijziging tientallen mappen moet aanpassen.
- Gebruik een logische mappenstructuur: Organiseer mappen op afdeling of project, zodat rechten op een hoog niveau kunnen worden ingesteld en automatisch worden overgeërfd door submappen.
- Beperk uitzonderingen: Hoe meer uitzonderingen op de standaardstructuur, hoe moeilijker het overzicht te bewaren is. Houd afwijkingen tot een minimum.
- Documenteer de structuur: Leg vast welke groep toegang heeft tot welke mappen en wat de reden daarvoor is. Dit maakt audits en toekomstige wijzigingen veel eenvoudiger.
Hoe houd je toegangsrechten actueel bij personeelswijzigingen?
Toegangsrechten actueel houden bij personeelswijzigingen vraagt om een vast proces rondom in- en uitdiensttreding. Wanneer een medewerker vertrekt, moeten alle toegangsrechten direct worden ingetrokken. Bij een nieuwe medewerker worden rechten toegekend op basis van de functie. Wanneer iemand van functie wisselt, worden de oude rechten ingetrokken en nieuwe toegewezen.
In de praktijk gaat dit vaak mis omdat er geen gestructureerd proces is. Voormalige medewerkers hebben nog maanden na hun vertrek toegang tot bedrijfsbestanden, of medewerkers die van afdeling wisselen stapelen rechten op zonder dat de oude worden verwijderd. Dit is een veelvoorkomend beveiligingsrisico.
Praktische maatregelen om dit te voorkomen:
- Koppel toegangsrechten aan groepen in Active Directory of Microsoft Entra ID, zodat het verwijderen uit een groep automatisch alle bijbehorende rechten intrekt.
- Stel een vast onboarding- en offboardingproces in waarbij ICT altijd betrokken is.
- Voer minimaal eens per jaar een toegangsreview uit: controleer of alle actieve gebruikers nog de juiste rechten hebben.
- Gebruik automatiseringstools die accounts deactiveren op de laatste werkdag van een medewerker.
Wanneer is een professionele ICT-partner nodig voor toegangsbeheer?
Een professionele ICT-partner is nodig voor toegangsbeheer wanneer je organisatie geen interne ICT-capaciteit heeft, de rechtenstructuur is uitgegroeid tot een onbeheersbaar geheel, of wanneer je te maken krijgt met beveiligingsincidenten of compliancevereisten. Voor veel MKB-bedrijven is toegangsbeheer te complex om zonder specialistische kennis goed in te richten.
Signalen dat je hulp nodig hebt:
- Je weet niet meer precies wie toegang heeft tot welke bestanden.
- Medewerkers hebben rechten die ze voor hun functie niet nodig hebben.
- Er is geen proces voor in- en uitdiensttreding rondom ICT-rechten.
- Je organisatie valt onder regelgeving zoals de AVG en kan geen sluitende verantwoording afleggen over toegang tot persoonsgegevens.
- Je hebt te maken gehad met een datalek of ongeautoriseerde toegang.
De kosten van goed toegangsbeheer wegen ruimschoots op tegen de risico’s van een datalek of boete. Meer weten over wat professionele ICT-ondersteuning kost? Bekijk dan onze pagina over de kosten van ICT uitbesteden.
Hoe Nieuwenborg helpt met toegangsbeheer
Wij begrijpen dat toegangsbeheer voor veel MKB-organisaties een uitdaging is. Het vraagt om technische kennis, een goed proces en consistente opvolging. Precies daar helpen wij bij. Als fullservice ICT-partner voor het MKB in de regio Eindhoven nemen wij dit volledig uit handen, van de eerste inventarisatie tot de dagelijkse opvolging.
Wat wij voor je doen:
- Inventarisatie van bestaande rechten: We brengen in kaart wie momenteel toegang heeft tot welke bestanden en signaleren direct de risico’s.
- Inrichten van een logische rechtenstructuur: Op basis van jouw organisatiestructuur bouwen we een overzichtelijke en schaalbare opzet met groepen en mappenstructuren.
- Koppeling aan onboarding en offboarding: We zorgen dat nieuwe medewerkers direct de juiste rechten krijgen en vertrekkende medewerkers direct worden afgesloten.
- Periodieke toegangsreviews: We voeren regelmatig controles uit zodat rechten altijd actueel en correct zijn.
- ISO 27001-gecertificeerde aanpak: Onze werkwijze voldoet aan de hoogste veiligheidsnormen, wat je ook aantoonbaar helpt bij AVG-compliance.
Wil je weten hoe wij jouw organisatie kunnen helpen met een helder overzicht van bestandsrechten? Neem contact met ons op en we bespreken het graag in gewone mensentaal.
Veelgestelde vragen
Kan ik bestandsrechten instellen zonder beheerdersrechten op de server?
Nee, voor het wijzigen van bestandsrechten heb je in de meeste gevallen beheerdersrechten nodig, of je moet expliciet het recht ‘Volledig beheer’ hebben op de betreffende map. Gewone gebruikers kunnen hun eigen rechten niet aanpassen. In een cloudomgeving zoals Microsoft 365 kunnen sitebeheerders rechten beheren zonder dat ze globale beheerder hoeven te zijn, maar ook dat vereist een specifieke beheerdersrol.
Wat is het verschil tussen gedeelde rechten via een link en formele bestandsrechten?
Wanneer je een bestand deelt via een link (bijvoorbeeld in SharePoint of OneDrive), geef je tijdelijke toegang buiten de formele rechtenstructuur om. Dit is handig voor samenwerking, maar vormt een risico als die links niet worden beheerd of verlopen. Formele bestandsrechten zijn structureel vastgelegd en gekoppeld aan gebruikersaccounts of groepen, waardoor je altijd controle houdt. Het is daarom verstandig om het gebruik van deellinks te beperken en te monitoren via het beheerportaal.
Hoe ga ik om met bestandsrechten voor externe medewerkers of freelancers?
Voor externe medewerkers of freelancers is het verstandig om tijdelijke gastaccounts aan te maken met strikt beperkte toegang, alleen tot de mappen die zij voor hun opdracht nodig hebben. Stel altijd een vervaldatum in op het account of de toegangsrechten, zodat toegang automatisch wordt ingetrokken na afloop van de samenwerking. Voeg externe gebruikers nooit toe aan interne beveiligingsgroepen, maar maak aparte groepen aan specifiek voor externen, zodat je overzicht behoudt.
Hoe weet ik of mijn huidige rechtenstructuur voldoet aan de AVG?
De AVG vereist dat toegang tot persoonsgegevens beperkt is tot medewerkers die deze gegevens daadwerkelijk nodig hebben voor hun werk, het zogenaamde dataminimalisatieprincipe. Om te controleren of je hieraan voldoet, breng je in kaart welke mappen persoonsgegevens bevatten en wie daar momenteel toegang toe heeft. Als je niet direct kunt aantonen waarom een bepaalde gebruiker of groep toegang heeft tot gevoelige gegevens, is dat een signaal dat je rechtenstructuur niet AVG-proof is. Een jaarlijkse toegangsreview met documentatie is een concrete stap om dit aantoonbaar op orde te krijgen.
Wat doe ik als een medewerker per ongeluk rechten heeft gewijzigd en de structuur is verstoord?
Als een medewerker onbedoeld rechten heeft gewijzigd, is de eerste stap om de wijzigingen te achterhalen via de auditlogboeken van Windows of het beheerportaal van je cloudplatform. In Windows kun je via de Logboeken (Event Viewer) zien welke wijzigingen er zijn gedaan en door wie. Herstel de oorspronkelijke rechten op basis van je gedocumenteerde rechtenstructuur, en overweeg daarna om de rechten voor het wijzigen van bestandsrechten verder te beperken zodat alleen beheerders dit kunnen doen.
Is het mogelijk om automatisch te worden gewaarschuwd bij ongeautoriseerde toegangspogingen?
Ja, zowel in Windows Server als in Microsoft 365 kun je auditbeleid instellen dat toegangspogingen registreert en waarschuwingen genereert bij verdachte activiteiten. In Microsoft 365 Defender en Microsoft Purview kun je alerts instellen voor ongebruikelijke toegangspatronen, zoals een medewerker die buiten werktijden grote hoeveelheden bestanden opent of downloadt. Voor een on-premises omgeving kun je Windows-auditlogboeken koppelen aan een SIEM-systeem voor realtime monitoring en meldingen.
Hoe lang duurt het gemiddeld om een rechtenstructuur opnieuw in te richten voor een MKB-bedrijf?
De doorlooptijd hangt sterk af van de omvang van de organisatie en de huidige staat van de rechtenstructuur, maar voor een gemiddeld MKB-bedrijf met 20 tot 100 medewerkers moet je rekenen op enkele weken tot een maand. De inventarisatiefase, waarbij in kaart wordt gebracht wie toegang heeft tot wat, neemt doorgaans de meeste tijd in beslag. Het daadwerkelijk inrichten van de nieuwe structuur gaat sneller als er een duidelijke organisatiestructuur en mappenindeling als uitgangspunt beschikbaar is.
Benieuwd wat Nieuwenborg voor jouw bedrijf kan betekenen?
Overweeg je om je ICT (gedeeltelijk) uit te besteden? Of wil je weten wat de kosten zijn van werken in de cloud?