Een culturele instelling werkt zelden met één leverancier voor de volledige digitale omgeving. Verschillende afdelingen en disciplines gebruiken gespecialiseerde systemen waarvoor externe partijen verantwoordelijk zijn.
Ticketing is daar een goed voorbeeld van. De online kaartverkoop kan bestaan uit een website die door een webbouwer wordt beheerd, hosting bij een andere partij en gespecialiseerde ticketingsoftware zoals Ticketmatic. Daarnaast zijn er mogelijk koppelingen met andere systemen.
Ook voor theatertechniek, audiovisuele apparatuur, gebouwsystemen, financiële software en andere applicaties kunnen externe leveranciers betrokken zijn.
Die partijen moeten soms toegang krijgen tot onderdelen van de ICT-omgeving om hun werk te kunnen uitvoeren. De vraag is daarom niet of externe leveranciers toegang mogen krijgen, maar waartoe, onder welke voorwaarden, voor hoe lang en wie daarvoor verantwoordelijk is.
Waarom vraagt leverancierstoegang om aparte afspraken?
Niet iedere leverancier heeft hetzelfde soort toegang nodig.
Een webbouwer kan toegang nodig hebben tot een online omgeving. Een softwareleverancier moet mogelijk een applicatie configureren of ondersteunen. Een technische leverancier kan eigen apparatuur aansluiten op bepaalde netwerkpoorten. Een externe adviseur hoeft misschien alleen enkele documenten te kunnen bekijken.
Wanneer voor al deze situaties dezelfde oplossing wordt gebruikt, ontstaat al snel te veel toegang.
Een leverancier die één applicatie moet ondersteunen hoeft bijvoorbeeld niet automatisch toegang te krijgen tot de rest van het netwerk. En iemand die enkele documenten moet beoordelen hoeft niet de volledige SharePoint-omgeving van een afdeling te kunnen bekijken.
Een goed toegangsmodel begint daarom bij het principe van least privilege: geef alleen de toegang die nodig is om de afgesproken werkzaamheden uit te voeren.
Vijf principes voor veilige leverancierstoegang
1. Bepaal eerst welke resource de leverancier nodig heeft
Voordat toegang wordt verleend, moet duidelijk zijn wat een leverancier daadwerkelijk nodig heeft.
Dat kan bijvoorbeeld toegang zijn tot:
- specifieke documenten of een SharePoint-omgeving;
- een applicatie of beheerdersportaal;
- een server of andere technische resource;
- een specifiek onderdeel van het netwerk;
- één of meerdere netwerkpoorten voor eigen apparatuur;
- een Microsoft Teams-omgeving voor samenwerking;
- een apparaat of technisch systeem.
Vanuit die behoefte kan vervolgens worden bepaald welke toegang daarvoor minimaal noodzakelijk is.
Dat voorkomt dat een leverancier brede toegang krijgt omdat dit technisch de eenvoudigste oplossing is.
2. Werk volgens least privilege
Het uitgangspunt bij externe toegang is dat een leverancier alleen toegang krijgt tot de informatie en systemen die voor de werkzaamheden noodzakelijk zijn.
Moet een externe partij documenten bekijken? Dan hoeft die partij niet automatisch alle documenten van de afdeling te kunnen zien.
Moet apparatuur van een leverancier via het netwerk communiceren? Dan hoeft die apparatuur niet automatisch toegang te krijgen tot het volledige bedrijfsnetwerk.
En moet een leverancier ondersteuning leveren op een applicatie? Dan betekent dit niet automatisch dat permanente beheerdersrechten nodig zijn.
Least privilege betekent daarmee niet dat alles wordt dichtgezet. Het betekent dat toegang bewust wordt afgestemd op het doel waarvoor deze wordt verleend.
Dat sluit aan op de manier waarop toegangsrechten binnen Microsoft 365 kunnen worden ingericht: voldoende vrijheid om te kunnen werken, maar binnen een duidelijke structuur.
3. Maak iemand binnen de organisatie eigenaar van de toegang
IT kan technisch toegang verlenen, maar weet niet altijd of een externe leverancier die toegang inhoudelijk nodig heeft.
Daarom moet voor leverancierstoegang duidelijk zijn wie binnen de organisatie eigenaar is.
Afhankelijk van de situatie kan dat bijvoorbeeld zijn:
- de eigenaar of manager van een afdeling;
- een applicatiebeheerder;
- de interne ICT-functie;
- de verantwoordelijke voor een specifiek systeem of project.
Die eigenaar kan beoordelen waarom de toegang nodig is en hoe lang deze nodig blijft. IT kan vervolgens zorgen dat de technische inrichting aansluit op die beslissing.
Daarmee voorkom je ook dat IT zelfstandig moet bepalen of een externe partij toegang mag krijgen tot informatie of een bedrijfskritisch systeem waarvan de inhoudelijke verantwoordelijkheid ergens anders in de organisatie ligt.
4. Maak tijdelijke toegang ook daadwerkelijk tijdelijk
Een van de belangrijkste aandachtspunten bij leverancierstoegang is de einddatum.
Een externe partij krijgt bijvoorbeeld voor een project, implementatie of storing tijdelijk extra toegang. Het probleem ontstaat wanneer die toegang na afloop niet meer wordt ingetrokken.
Dat kan ongemerkt gebeuren. Het project is afgerond, intern gaat iedereen verder met andere werkzaamheden en maanden later bestaat het externe account of de extra machtiging nog steeds.
Daarom is het verstandig om tijdelijke toegang waar mogelijk direct met een einddatum in te richten.
Wanneer de afgesproken periode voorbij is, vervalt de toegang automatisch. Is verlenging nodig, dan kan de eigenaar opnieuw beoordelen of daar nog een geldige reden voor bestaat.
Dit is veiliger dan erop vertrouwen dat iemand over drie maanden onthoudt dat een bepaalde machtiging handmatig moet worden verwijderd.
5. Houd rekening met onbeheerde apparaten
Externe leveranciers werken meestal niet vanaf een laptop die door de culturele instelling zelf wordt beheerd. Hun apparaten staan bijvoorbeeld niet in Microsoft Intune en vallen daardoor niet onder dezelfde beheerstandaarden als de eigen werkplekken.
Dat hoeft samenwerking niet onmogelijk te maken, maar kan wel reden zijn om andere toegangsvoorwaarden te gebruiken.
Afhankelijk van de informatie en het risico kan een organisatie bijvoorbeeld toestaan dat een externe gebruiker documenten via de browser bekijkt, terwijl downloaden naar een onbeheerd apparaat wordt beperkt.
In andere situaties kan ook bewerken of synchroniseren worden beperkt. Welke maatregelen passend zijn, hangt af van de werkzaamheden en gevoeligheid van de informatie.
Het principe blijft hetzelfde: toegang vanaf een onbeheerd endpoint hoeft niet automatisch dezelfde mogelijkheden te geven als toegang vanaf een volledig beheerde werkplek.
Dit sluit aan op de verschillende beveiligingslagen die we beschrijven in Microsoft 365-beveiliging voor culturele instellingen.
Externe toegang tot Teams en SharePoint
Microsoft Teams en SharePoint maken het relatief eenvoudig om met externe partijen samen te werken. Juist daarom zijn duidelijke afspraken belangrijk.
Wanneer bijvoorbeeld een marketingbureau samenwerkt met medewerkers van marketing, hoeft dat bureau niet automatisch toegang te krijgen tot de volledige afdelingsomgeving.
Voor een project of campagne kan een aparte samenwerkingsomgeving worden ingericht waarin alleen de relevante informatie beschikbaar is.
Daarbij moet duidelijk zijn:
- wie eigenaar is van de samenwerking;
- welke externe gebruikers toegang hebben;
- welke informatie zij kunnen bekijken of bewerken;
- of informatie naar een eigen apparaat mag worden gedownload;
- hoe lang de toegang nodig is;
- wat er na afloop met de omgeving en externe toegang gebeurt.
Zo blijft extern samenwerken praktisch zonder dat daarvoor structureel bredere toegang wordt verleend dan noodzakelijk.
Leveranciers die toegang nodig hebben tot het netwerk
Niet alle leverancierstoegang loopt via Microsoft 365.
In theaters en andere culturele instellingen kunnen externe partijen ook eigen apparatuur plaatsen of toegang nodig hebben tot netwerkresources. Denk bijvoorbeeld aan audiovisuele systemen, theatertechniek, gebouwgebonden apparatuur of andere gespecialiseerde systemen.
Ook hier geldt het principe van least privilege.
Een leverancier die apparatuur aansluit op enkele netwerkpoorten hoeft niet automatisch toegang te krijgen tot hetzelfde netwerksegment als kantoorwerkplekken, servers of andere bedrijfskritische systemen.
Door verschillende typen systemen en leveranciers logisch van elkaar te scheiden, kan toegang worden gegeven waar deze nodig is zonder het volledige netwerk beschikbaar te stellen.
Dit is een van de redenen waarom netwerksegmentatie en professioneel netwerkbeheer bij theaters en culturele instellingen zo belangrijk zijn.
Breng ook de keten achter een systeem in kaart
Bij externe leveranciers is het belangrijk om niet alleen naar de naam van een systeem te kijken, maar ook naar de partijen die nodig zijn om dat systeem te laten functioneren.
Ticketing laat dat goed zien.
De kaartverkoop kan via de website van de organisatie verlopen, terwijl de website door een externe webbouwer wordt onderhouden en elders wordt gehost. De daadwerkelijke ticketingfunctionaliteit komt vervolgens uit gespecialiseerde software en er kunnen koppelingen bestaan met bijvoorbeeld marketing- of financiële systemen.
Bij een storing of beveiligingsvraag kunnen daardoor meerdere partijen betrokken zijn.
Het helpt daarom om per belangrijk systeem inzichtelijk te maken:
- wie eigenaar is binnen de organisatie;
- welke externe leveranciers betrokken zijn;
- welke leverancier welk onderdeel beheert;
- welke toegang iedere partij heeft;
- welke koppelingen met andere systemen bestaan;
- wie de regie voert wanneer meerdere leveranciers betrokken zijn.
Daarmee ontstaat niet alleen grip op toegangsrechten, maar ook op de verantwoordelijkheden rondom bedrijfskritische systemen.
Praktijkvoorbeeld: tijdelijke toegang voor een externe leverancier
Stel dat een theater een externe leverancier inschakelt om een applicatie opnieuw in te richten. De leverancier heeft hiervoor gedurende twee weken toegang nodig tot de applicatie en een aantal documenten.
De eenvoudige oplossing is om een account aan te maken, toegang tot de relevante omgeving te geven en na afloop te onthouden dat het account weer moet worden verwijderd.
Een beheersbaardere aanpak begint bij de applicatiebeheerder of verantwoordelijke afdeling. Die bepaalt welke resources nodig zijn en keurt de toegang voor twee weken goed.
De leverancier krijgt vervolgens alleen toegang tot de benodigde applicatie en documenten. Omdat de leverancier vanaf een onbeheerd apparaat werkt, kunnen voor gevoelige documenten aanvullende beperkingen gelden. De tijdelijke toegangsrechten krijgen direct een einddatum.
Na twee weken vervalt de toegang automatisch. Blijkt de leverancier langer nodig te zijn, dan moet de eigenaar de toegang bewust verlengen.
Het verschil zit niet in het onmogelijk maken van externe toegang. De leverancier kan precies doen wat nodig is, terwijl de organisatie vooraf bepaalt wat toegankelijk is en wanneer die toegang weer verdwijnt.
Hoe krijg je grip op bestaande leverancierstoegang?
Wanneer een organisatie al jaren met verschillende leveranciers werkt, is het niet altijd direct duidelijk welke externe toegang nog bestaat.
Begin daarom met een inventarisatie.
- Stap 1: breng de belangrijkste applicaties, systemen en technische omgevingen in kaart;
- Stap 2: bepaal welke externe leveranciers daarbij betrokken zijn;
- Stap 3: inventariseer welke accounts, rechten, netwerktoegang en andere toegang deze partijen hebben;
- Stap 4: wijs per systeem of samenwerking een interne eigenaar aan;
- Stap 5: controleer of bestaande rechten nog noodzakelijk zijn en beperk deze waar nodig;
- Stap 6: voorzie tijdelijke toegang voortaan waar mogelijk direct van een einddatum;
- Stap 7: leg vast hoe nieuwe leverancierstoegang wordt aangevraagd, goedgekeurd en beëindigd.
Het doel is daarbij niet om alle leveranciers zoveel mogelijk buiten de ICT-omgeving te houden. Externe expertise is juist noodzakelijk voor veel gespecialiseerde systemen.
Het doel is dat de organisatie kan beantwoorden: welke leverancier heeft toegang tot wat, waarom bestaat die toegang, wie heeft deze goedgekeurd en wanneer wordt deze opnieuw beoordeeld?
Conclusie
Veilig samenwerken met externe leveranciers betekent niet dat je de ICT-omgeving volledig moet afsluiten.
Webbouwers, softwareleveranciers, technische partijen en andere specialisten hebben soms toegang nodig om hun werkzaamheden uit te voeren. Die toegang moet alleen passen bij het doel waarvoor deze wordt verleend.
Door te werken volgens least privilege, een interne eigenaar aan iedere toegang te koppelen en tijdelijke rechten automatisch te laten verlopen, blijft externe samenwerking beheersbaar.
Voor culturele instellingen is het daarnaast belangrijk om verder te kijken dan Microsoft 365. Leverancierstoegang kan ook betrekking hebben op applicaties, endpoints, netwerkpoorten en technische systemen.
Grip ontstaat daarom niet door alles dicht te zetten, maar door te weten wie toegang heeft, waartoe, waarom en voor hoe lang.
Over Yitte
Yitte ondersteunt theaters, musea en andere culturele organisaties bij het structureren en beveiligen van hun ICT-omgeving. Daarbij kijken we niet alleen naar medewerkers en werkplekken, maar ook naar externe leveranciers, applicaties, Microsoft 365 en netwerktoegang. Door verantwoordelijkheden en toegangsregels vooraf vast te leggen, kunnen leveranciers hun werk doen zonder dat onnodige toegang ongemerkt blijft bestaan.