Toegangsrechten groeien vaak ongemerkt mee met een organisatie. Een medewerker krijgt bij indiensttreding toegang tot de eigen afdeling, wordt later toegevoegd aan een projectteam, helpt tijdelijk een andere afdeling en krijgt toegang tot een extra SharePoint-site. Iedere afzonderlijke wijziging is logisch, maar na een paar jaar kan het lastig worden om te beantwoorden: wie heeft eigenlijk toegang tot welke informatie en waarom?
Voor theaters, musea en andere culturele instellingen speelt daar nog iets bij. Afdelingen hebben hun eigen verantwoordelijkheden en informatie, maar werken tegelijkertijd veel met elkaar samen. Programmering, marketing, techniek, financiën en bedrijfsvoering moeten informatie kunnen delen zonder dat daarvoor de volledige omgeving voor iedereen wordt opengesteld.
Een goede inrichting combineert daarom structuur met flexibiliteit. Basisrechten volgen de organisatie, terwijl Microsoft Teams en SharePoint ruimte bieden voor samenwerking die dwars door afdelingen heen loopt.
Waarom worden toegangsrechten na verloop van tijd onoverzichtelijk?
Het probleem ontstaat meestal niet doordat organisaties helemaal niets aan toegangsbeheer doen. Het ontstaat doordat rechten zich gedurende het dienstverband opstapelen.
Een medewerker begint bijvoorbeeld bij marketing en krijgt toegang tot de informatie van die afdeling. Vervolgens neemt diegene deel aan een festivalproject, wordt toegevoegd aan een werkgroep en krijgt tijdelijk toegang tot informatie van programmering.
Een jaar later is het project afgelopen, maar de rechten bestaan nog steeds.
Wanneer iemand vervolgens van functie verandert, worden vaak vooral nieuwe rechten toegevoegd. Er wordt minder snel gekeken welke oude toegang niet langer nodig is.
Daarom is alleen het beveiligen van accounts niet voldoende. Zoals we ook beschrijven in ons artikel over Microsoft 365-beveiliging in de cultuursector, moet naast identiteit ook structureel worden gekeken naar de toegang die achter een account ligt.
Vijf principes voor grip op toegangsrechten
1. Laat de basisrechten aansluiten op de organisatiestructuur
De eerste laag van toegangsbeheer begint bij de daadwerkelijke inrichting van de organisatie.
Een medewerker werkt binnen een bepaalde afdeling en vervult daar een bepaalde rol. Die combinatie kan worden gebruikt om te bepalen welke basisvoorzieningen en informatie iemand nodig heeft.
Bijvoorbeeld:
- Financiën heeft toegang tot financiële documenten en applicaties;
- Marketing heeft toegang tot communicatie-, campagne- en publieksinformatie;
- Programmering werkt met informatie rondom voorstellingen, artiesten en programma’s;
- Techniek heeft toegang tot de systemen en informatie die nodig zijn voor producties;
- HR en management hebben toegang tot informatie die niet voor de gehele organisatie beschikbaar hoeft te zijn.
Dat betekent niet dat iedere medewerker binnen een afdeling exact dezelfde rechten moet hebben. De combinatie van afdeling + rol bepaalt de basis.
Een manager binnen een afdeling kan bijvoorbeeld andere toegang nodig hebben dan een medewerker binnen diezelfde afdeling.
Door deze structuur vooraf vast te leggen hoeft IT niet bij iedere nieuwe medewerker opnieuw uit te zoeken welke basisrechten nodig zijn. Dit sluit direct aan op een gestandaardiseerd onboarding- en offboardingproces.
2. Gebruik Teams en SharePoint niet alleen als digitale afdelingen
De organisatiestructuur is een goed vertrekpunt, maar Microsoft 365 moet niet simpelweg een digitale kopie van het organogram worden.
Culturele organisaties werken juist veel over afdelingen heen.
Een nieuwe productie kan bijvoorbeeld medewerkers van programmering, marketing, techniek en financiën samenbrengen. Een festival, verbouwing, aanbesteding of nieuw ticketsysteem kan opnieuw een andere groep medewerkers nodig hebben.
Voor dat soort samenwerking kan een apart Team of een aparte SharePoint-omgeving logischer zijn dan medewerkers toegang geven tot de volledige afdelingsomgeving van collega’s.
Je krijgt daarmee eigenlijk twee structuren naast elkaar:
- Structurele toegang: gebaseerd op afdeling en rol;
- Samenwerkingstoegang: gebaseerd op projecten, werkgroepen, producties en andere samenwerkingen.
Die combinatie sluit beter aan bij hoe een culturele organisatie daadwerkelijk werkt.
3. Voorkom zowel wildgroei als overmatige controle
Bij Microsoft Teams en SharePoint zijn twee uitersten mogelijk.
Aan de ene kant kan IT alles centraal willen controleren. Medewerkers moeten dan voor iedere nieuwe samenwerking, map of externe deelnemer toestemming vragen. Dat geeft veel controle, maar kan het dagelijkse werk onnodig vertragen.
Aan de andere kant kan vrijwel alles worden vrijgegeven. Medewerkers maken zelf Teams en SharePoint-sites aan, nodigen externe gebruikers uit en bepalen zelfstandig waar informatie wordt opgeslagen.
Dat werkt snel, maar kan na enkele jaren leiden tot tientallen of honderden omgevingen waarvan niet meer duidelijk is waarvoor ze bestaan, wie verantwoordelijk is en welke informatie erin staat.
De beste inrichting zit meestal tussen die twee uitersten.
Leg duidelijke spelregels vast voor bijvoorbeeld:
- wanneer een nieuw Team of SharePoint-site wordt aangemaakt;
- welke naamgeving wordt gebruikt;
- wie eigenaar moet zijn;
- wanneer externe gebruikers mogen worden toegevoegd;
- hoe vertrouwelijke informatie wordt behandeld;
- wat er gebeurt wanneer een project of samenwerking eindigt.
Medewerkers houden daarmee voldoende vrijheid om samen te werken, terwijl de organisatie grip houdt op de totale omgeving.
Dit is hetzelfde principe dat centraal staat bij standaardisatie van ICT: niet iedere handeling centraal voorschrijven, maar duidelijke standaarden creëren waarbinnen mensen zelfstandig kunnen werken.
4. Geef iedere samenwerkingsomgeving een eigenaar
Technische toegangsrechten zijn uiteindelijk ook een organisatorische verantwoordelijkheid.
IT kan zien welke gebruikers lid zijn van een Team of toegang hebben tot een SharePoint-site, maar weet niet altijd of die toegang inhoudelijk nog noodzakelijk is.
Daarom is het verstandig om voor Teams, SharePoint-sites en andere belangrijke samenwerkingsomgevingen één of meerdere eigenaren aan te wijzen.
Een eigenaar hoeft de omgeving niet technisch te beheren. Wel is diegene verantwoordelijk voor vragen als:
- wie hoort toegang te hebben;
- mogen externe gebruikers deelnemen;
- is de omgeving nog actief;
- moeten voormalige projectleden worden verwijderd;
- wat gebeurt er met de informatie wanneer de samenwerking eindigt?
Daarmee wordt voorkomen dat IT als enige verantwoordelijk wordt gemaakt voor een inhoudelijke vraag die IT niet altijd kan beantwoorden: heeft deze medewerker deze informatie nog nodig?
5. Controleer rechten periodiek én bij veranderingen
Een toegangsmodel blijft alleen betrouwbaar wanneer het wordt onderhouden.
Er zijn drie logische momenten waarop rechten opnieuw moeten worden beoordeeld:
- Bij indiensttreding: welke toegang hoort bij afdeling en rol?
- Bij een functiewijziging: welke nieuwe rechten zijn nodig en welke oude rechten moeten verdwijnen?
- Bij uitdiensttreding: welke accounts, groepen, samenwerkingen en externe applicaties moeten worden afgesloten?
Daarnaast is een periodieke controle verstandig. Bijvoorbeeld door eigenaren regelmatig te laten beoordelen of de deelnemers van belangrijke Teams en SharePoint-sites nog kloppen.
Dat is vooral relevant voor tijdelijke projecten, werkgroepen en externe toegang. Juist daar kan toegang blijven bestaan terwijl de oorspronkelijke reden allang verdwenen is.
Het doel is niet om voortdurend iedere individuele machtiging handmatig te controleren. Door rechten via groepen, rollen en eigenaarschap te organiseren, kan de controle juist op een hoger niveau plaatsvinden.
Hoe ga je om met externe toegang?
Culturele instellingen werken regelmatig samen met mensen buiten de eigen organisatie. Denk aan bureaus, producenten, adviseurs, leveranciers en andere culturele partners.
Microsoft 365 maakt het relatief eenvoudig om extern samen te werken. Dat is een voordeel, maar vraagt wel om duidelijke afspraken.
Een externe partij hoeft bijvoorbeeld niet automatisch toegang te krijgen tot een volledige afdelingsomgeving omdat er voor één project documenten moeten worden uitgewisseld.
Een aparte samenwerkingsomgeving kan dan beter passen. De externe partij krijgt toegang tot de informatie die voor de samenwerking nodig is, terwijl andere informatie binnen de organisatie afgeschermd blijft.
Ook moet duidelijk zijn wie de externe toegang heeft goedgekeurd, wie eigenaar is van de samenwerking en wanneer de toegang weer kan worden ingetrokken.
Zo blijft extern samenwerken praktisch zonder dat toegang onbeperkt blijft bestaan.
Praktijkvoorbeeld: samenwerken rond een festival
Stel dat een theater een meerdaags festival organiseert. Medewerkers van programmering, marketing, techniek en financiën werken gedurende enkele maanden intensief samen. Daarnaast zijn een extern marketingbureau en enkele productiepartners betrokken.
Zonder duidelijke structuur kan de oplossing al snel zijn om medewerkers toegang te geven tot elkaars afdelingsmappen of documenten via losse deel-links te verspreiden.
Een beheersbaardere aanpak is om voor het festival een aparte samenwerkingsomgeving in Microsoft Teams en SharePoint in te richten.
Medewerkers behouden hun structurele toegang vanuit hun eigen afdeling en rol, maar krijgen daarnaast tijdelijk toegang tot de festivalomgeving. Alleen de informatie die voor het project nodig is wordt daar gedeeld. Externe partijen kunnen waar nodig eveneens toegang krijgen tot de onderdelen die voor hun werkzaamheden relevant zijn.
Voor de omgeving worden één of meerdere interne eigenaren aangewezen. Na afloop van het festival beoordelen zij welke informatie bewaard moet blijven, welke externe toegang kan worden ingetrokken en of de samenwerkingsomgeving kan worden gearchiveerd.
Zo hoeft de organisatie samenwerking niet dicht te zetten om grip te houden. De structuur maakt juist mogelijk dat verschillende afdelingen en externe partijen veilig met elkaar kunnen samenwerken.
Wat gebeurt er wanneer iemand van functie verandert?
Een functiewijziging is een moment dat gemakkelijk wordt vergeten in toegangsbeheer.
Bij een nieuwe medewerker is er meestal een onboardingproces en bij vertrek een offboardingproces. Maar wanneer iemand intern verhuist van bijvoorbeeld marketing naar programmering, blijft het account gewoon bestaan.
Juist dan kunnen rechten zich opstapelen.
Een goede functiewijziging bestaat daarom uit twee handelingen:
- toegang toevoegen die bij de nieuwe afdeling en rol hoort;
- controleren welke toegang vanuit de oude functie niet langer nodig is.
Project- en samenwerkingstoegang hoeft daarbij niet automatisch te verdwijnen. Iemand kan bijvoorbeeld vanuit de nieuwe functie nog steeds betrokken blijven bij een bestaande werkgroep.
Daarom is een combinatie nodig van automatisering en inhoudelijke beoordeling. De organisatiestructuur bepaalt de standaard, terwijl uitzonderingen bewust kunnen blijven bestaan.
Hoe begin je met het structureren van toegangsrechten?
Wanneer een Microsoft 365-omgeving al jaren in gebruik is, hoeft niet ieder individueel recht direct opnieuw te worden ingericht.
Begin met structuur.
- Stap 1: breng afdelingen en functies binnen de organisatie in kaart;
- Stap 2: bepaal per afdeling en rol welke basisrechten nodig zijn;
- Stap 3: inventariseer belangrijke Teams, SharePoint-sites en andere samenwerkingsomgevingen;
- Stap 4: wijs voor deze omgevingen eigenaren aan;
- Stap 5: leg afspraken vast voor nieuwe Teams, externe toegang en tijdelijke samenwerkingen;
- Stap 6: richt een proces in voor onboarding, functiewijzigingen en offboarding;
- Stap 7: controleer belangrijke en tijdelijke toegangsrechten periodiek.
Zo ontstaat stap voor stap een toegangsmodel dat aansluit op de daadwerkelijke organisatie, zonder dat alle flexibiliteit uit Microsoft 365 wordt gehaald.
Conclusie
Grip op toegangsrechten betekent niet dat IT zoveel mogelijk moet dichtzetten.
Het betekent dat duidelijk is waarom iemand toegang heeft, wie daarvoor verantwoordelijk is en wanneer die toegang opnieuw moet worden beoordeeld.
Voor de basis kan de daadwerkelijke organisatiestructuur worden gebruikt: afdeling en rol bepalen welke standaardtoegang iemand nodig heeft. Teams en SharePoint bieden vervolgens ruimte voor projecten, producties en samenwerkingen die over afdelingen heen lopen.
Door daar duidelijke afspraken over eigenaarschap, externe toegang en periodieke controle aan toe te voegen, ontstaat een Microsoft 365-omgeving waarin medewerkers vrij kunnen samenwerken zonder dat de organisatie het overzicht verliest.
Over Yitte
Yitte ondersteunt theaters, musea en andere culturele organisaties bij het structureren en beheren van hun Microsoft 365-omgeving. Daarbij kijken we niet alleen naar technische rechten, maar naar de manier waarop afdelingen, rollen en samenwerkingen binnen de organisatie daadwerkelijk zijn ingericht. Zo sluit Microsoft 365 aan op de organisatie en blijft toegang ook op langere termijn beheersbaar.