De Algemene Verordening Gegevensbescherming (AVG) stelt duidelijke eisen aan de manier waarop organisaties omgaan met persoonsgegevens. Toch zien we in de praktijk dat veel datalekken, beveiligingsincidenten en complianceproblemen ontstaan door onduidelijke autorisaties. De autorisatiematrix als fundament voor informatiebeveiliging en AVG-compliance kan daarom veel problemen voorkomen. Wie mag wat zien? Wie mag gegevens wijzigen of verwijderen? En wie controleert dat eigenlijk?
Een goed ingerichte autorisatiematrix vormt hierin een onmisbaar instrument. Niet alleen voor IT en informatiebeveiliging, maar ook voor governance en de rol van de Functionaris Gegevensbescherming (FG).
Waarom is een autorisatiematrix noodzakelijk?
Vrijwel iedere organisatie werkt met meerdere applicaties: een HR-systeem, een financieel pakket, CRM-software, netwerkschijven, cloudomgevingen en soms branchespecifieke systemen. In al deze systemen worden persoonsgegevens en vertrouwelijke bedrijfsgegevens verwerkt.
Niet iedere medewerker hoeft toegang te hebben tot al deze informatie. Toch blijkt in de praktijk dat autorisaties vaak historisch gegroeid zijn. Iemand kreeg ooit “tijdelijk” extra rechten en die zijn nooit ingetrokken of zijn er bij indiensttreding standaard uitgebreide rechten toegekend.
De risico’s van ongeautoriseerde of te ruime toegang
Wanneer een organisatie geen goed inzicht heeft in haar autorisatiestructuur, ontstaan er reële risico’s.
Een HR-medewerker heeft bijvoorbeeld per ongeluk toegang gekregen tot financiële administratiesystemen. Of een administratief medewerker heeft naast leesrechten ook verwijderrechten gekregen op een gedeelde netwerkschijf. Eén verkeerde klik kan leiden tot verlies van belangrijke gegevens.
Denk ook aan een situatie waarin het account van een medewerker wordt gehackt. Als die medewerker ongelimiteerde toegang had tot meerdere systemen, kan ransomware zich razendsnel verspreiden en grote hoeveelheden data versleutelen.
Een ander herkenbaar scenario doet zich voor bij uitdiensttreding. Wanneer niet duidelijk is tot welke systemen iemand toegang had, blijft het risico bestaan dat accounts actief blijven of dat er vergeten toegangsrechten zijn.
Daarnaast vergroot een gebrekkige autorisatiestructuur het risico op interne fraude. Wanneer iemand meerdere rollen combineert zonder duidelijke scheiding van taken, ontstaat een kwetsbare situatie.
Wat is een autorisatiematrix?
Een autorisatiematrix is een gestructureerd overzicht waarin per medewerker of per rol wordt vastgelegd tot welke applicaties en informatiebronnen toegang bestaat en met welke rechten.
In de meest eenvoudige vorm is dit een spreadsheet waarin per systeem wordt aangegeven wie leesrechten, schrijfrechten of verwijderrechten heeft. In zo’n model impliceren schrijfrechten vaak automatisch leesrechten.
Voor kleine organisaties kan dit al een grote stap vooruit zijn. Het maakt inzichtelijk waar risico’s zitten en wie mogelijk te ruime bevoegdheden heeft.
Echter zodra het aantal medewerkers, applicaties en informatiebronnen groeit, wordt een puur persoonsgebonden overzicht snel onoverzichtelijk. Het toekennen en toetsen van rechten wordt dan complex en foutgevoelig.
Werken met gebruikersrollen: meer structuur, meer beheersing
Een effectievere aanpak is het werken met gebruikersrollen. In plaats van rechten direct aan individuele medewerkers toe te kennen, worden rechten gekoppeld aan rollen, zoals administratief medewerker, HR-adviseur of teamleider.
Medewerkers worden vervolgens gekoppeld aan één of meerdere rollen. Nieuwe medewerkers krijgen automatisch de rechten die bij hun rol horen. Bij functiewijziging verandert de rol en daarmee de autorisatie.
Dit zorgt voor overzicht en consistentie. Bovendien dwingt het de organisatie na te denken over de vraag: welke rechten horen functioneel bij deze rol? Het voorkomt dat individuele uitzonderingen de norm worden.
Er zit wel een spanningsveld in. Soms wil je één specifieke medewerker extra toegang geven tot een bepaalde map of applicatie, terwijl anderen in dezelfde rol die toegang niet nodig hebben. In een rolgebaseerd model is dat minder flexibel. Je moet dan óf de hele rol uitbreiden óf een aanvullende rol creëren.
Toch levert deze werkwijze doorgaans een zorgvuldiger en beter toetsbaar autorisatiemodel op.
Rechtenbeheer is geen eenmalige exercitie
Een autorisatiematrix is alleen waardevol als deze actueel blijft. Dat vraagt om een helder proces. Wanneer een medewerker in dienst treedt, van functie verandert of uit dienst gaat, moet duidelijk zijn wie verantwoordelijk is voor het aanpassen van de autorisaties. Ook moet vastliggen wie toestemming geeft voor het toekennen van extra rechten.
Daarnaast is periodieke toetsing erg belangrijk. Minimaal één keer per jaar moet worden gecontroleerd of de rechten in de systemen overeenkomen met de vastgelegde matrix. Een belangrijke inhoudelijke vraag die je kunt stellen: zijn deze rechten nog noodzakelijk en proportioneel?
Hier raakt rechtenbeheer direct aan het beginsel van dataminimalisatie uit de AVG. Toegang tot persoonsgegevens mag niet ruimer zijn dan noodzakelijk voor de uitvoering van de functie.
De rol van de Functionaris Gegevensbescherming
De Functionaris Gegevensbescherming heeft hierin een belangrijke, maar niet een uitvoerende rol. De FG beheert doorgaans niet zelf de autorisaties, maar houdt toezicht op de wijze waarop de organisatie haar toegangsbeheer heeft ingericht.
De FG beoordeelt of het autorisatiemodel aansluit bij de risico’s van de organisatie. Wordt er gewerkt volgens het need-to-know-principe? Zijn er rollen logisch gedefinieerd? Vindt er periodieke controle plaats? En zijn er afwijkingen gemotiveerd vastgelegd?
Bij datalekken of beveiligingsincidenten zal vaak blijken dat te ruime toegangsrechten een rol speelden. De FG moet dergelijke patronen signaleren en het bestuur hierover adviseren.
Ook bij audits en DPIA’s komt rechtenbeheer nadrukkelijk aan de orde. Een gebrekkige rechtenmatrix kan immers leiden tot structurele overtredingen van de AVG, bijvoorbeeld doordat onbevoegden structureel toegang hebben tot gevoelige persoonsgegevens.
De Autoriteit Persoonsgegevens verwacht bovendien dat de FG onafhankelijk opereert en daadwerkelijk invloed uitoefent op de manier waarop risico’s worden beheerst. Een goed ingerichte rechtenmatrix is daarbij een concrete en toetsbare maatregel.
Praktijkvoorbeeld: van incident naar structurele verbetering
Na een intern onderzoek binnen een organisatie kwam naar voren dat meerdere medewerkers toegang hadden tot belangrijke dossiers buiten hun functie. Formeel was dat nooit de bedoeling geweest, maar de historisch toegekende rechten waren nooit herzien.
Na dit incident werd een rolgebaseerde rechtenmatrix ingevoerd. Rollen werden opnieuw gedefinieerd op basis van taken, niet op basis van functietitels. Daarnaast werd een jaarlijks autorisatie-evaluatieproces ingericht, waarbij leidinggevenden expliciet moesten bevestigen dat de toegekende rechten nog passend waren.
De FG speelde hierbij een adviserende rol en zorgde ervoor dat het proces structureel werd geborgd in de governance.
Professionalisering van de FG: kennis van techniek én governance
Toegangsbeheer lijkt op het eerste gezicht een IT-onderwerp, maar raakt direct aan juridische normen, risicobeheersing en interne controle. Van een FG wordt verwacht dat deze voldoende inzicht heeft in zowel juridische kaders als praktische beveiligingsmaatregelen.
De opleiding Functionaris Gegevensbescherming van AVG-trainingen besteedt daarom expliciet aandacht aan onderwerpen zoals autorisatiebeheer, interne controlemechanismen en de vertaling van AVG-normen naar concrete organisatorische maatregelen. Deelnemers leren niet alleen wat de wettelijke eisen zijn, maar ook hoe zij in de praktijk toezicht houden op processen zoals het inrichten en toetsen van een autorisatiematrix.
Dat maakt het verschil tussen papieren compliance en daadwerkelijk beheersbare risico’s.
Conclusie
Een autorisatiematrix is veel meer dan een administratief overzicht. Het is een belangrijk instrument voor informatiebeveiliging, risicobeheersing en AVG-compliance. Zonder inzicht in wie toegang heeft tot welke gegevens, blijft iedere organisatie kwetsbaar.
Bestuurders kunnen een goed ingericht autorisatiemodel gebruiken om grip te krijgen op risico’s. Voor IT biedt het structuur. En voor de Functionaris Gegevensbescherming vormt het een concreet aangrijpingspunt om toezicht te houden op de naleving van de AVG.
Wie serieus werk wil maken van privacy en informatiebeveiliging, begint daarom niet bij mooie beleidsstukken, maar bij een eenvoudige, fundamentele vraag: wie mag wat en waarom?
