--- id: CP-198 slug: beheer-bevoorrechte-toegang-pam-beheerdersaccounts lang: nl title: Beheerdersaccounts beschermen (PAM) description: Een beheerdersaccount opent alle deuren. Zo beschermt PAM zo'n account en dit doen medewerkers en hun leidinggevenden dagelijks. canonical_url: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Beheerdersaccounts beschermen (PAM)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ it: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Beheerdersaccounts beschermen (PAM) Een bevoorrecht account is een systeemaccount dat de machtigingen van een bevoorrechte gebruiker bezit [1]. Een bevoorrechte gebruiker is een persoon die gemachtigd is, en dus vertrouwd wordt, om controle-, toezichts-, beheer- of beveiligingsfuncties uit te voeren die gewone gebruikers niet mogen uitvoeren [2]. Dit account is niet per se van een IT-medewerker van het bedrijf. De Britse NCSC gebruikt het woord "beheerder" zowel voor een persoon, zoals een databasebeheerder, als voor een systeemaccount dat een geplande taak start, en wijst erop dat het beheer vaak aan een externe leverancier wordt toevertrouwd [3]. Allemaal hebben ze meer rechten dan een gewone gebruiker [3]. Privileged Access Management, kortweg PAM, omvat de regels en hulpmiddelen die deze accounts omkaderen. ## In 30 seconden - Waar het gebeurt: op elk systeem waar iemand beheerrechten heeft, in de bedrijfsdirectory, op een werkstation, een server of een onlinedienst. - Wat de aanvaller wil: de inloggegevens van een bestaand account bemachtigen, om te handelen zonder argwaan te wekken [4]. - De reflex: gebruik een beheerdersaccount alleen om te beheren, nooit voor e-mail, internet of kantoorsoftware, en vraag de rechten aan op het moment dat u ze nodig hebt. - Als het al gebeurd is: waarschuw het beveiligingsteam. ## Directe vragen ### Wat is een bevoorrecht account? Het is een account met meer rechten dan een gewone gebruiker: een gebruiker aanmaken in een domein, via SSH inloggen op een webserver om een bestand te wijzigen en een alarm instellen op een industriële klep zijn drie voorbeelden van de NCSC [3]. Al deze handelingen kunnen schade veroorzaken, en daarom moeten ze beschermd worden [3]. ### Waarom richten aanvallers zich eerst op deze accounts? Gestolen inloggegevens maken het mogelijk toegangscontroles te omzeilen. Ze dienen ook om langdurig toegang te houden tot blootgestelde diensten zoals VPN, webmail of extern bureaublad [4]. Een gecompromitteerd account kan bovendien een hoger bevoegdheidsniveau op bepaalde systemen geven of toegang tot afgeschermde delen van het netwerk [4]. Met legitieme inloggegevens kan de aanvaller buiten malware om, waardoor zijn aanwezigheid moeilijker op te merken is [4]. Microsoft beschrijft hetzelfde mechanisme voor de Active Directory-directory: de aanvaller haalt inloggegevens uit geopende sessies en zoekt eerst naar accounts die al verhoogde rechten hebben, die hij vervolgens nabootst [5]. De gebruikelijke doelwitten zijn accounts met permanente bevoegdheden, accounts van leidinggevenden, directoryaccounts met bevoegdheden en domeincontrollers [5]. ### Mag u uw e-mail lezen met een beheerdersaccount? Nee. Microsoft noemt onder de gedragingen die het risico op diefstal van inloggegevens vergroten: surfen op internet terwijl u bent ingelogd op een bevoorrecht account, en inloggen vanaf een onbeveiligde computer [5]. De leverancier raadt aan sterk bevoorrechte accounts niet te gebruiken voor routinematige beheertaken wanneer dat te vermijden is [5]. Beveiligde beheerwerkstations draaien geen e-mailprogramma, geen browser en geen kantoorsoftware [5]. ### Wat betekent PAM concreet? De NCSC geeft de richtlijn: zorgvuldig controleren wie beheert, waar, wanneer, waarom en hoe, beheerders de minste bevoegdheden geven en de toegang intrekken wanneer die niet meer nodig is [3]. Bij Microsoft maakt de dienst Privileged Identity Management het mogelijk de toegang tot belangrijke bronnen van de organisatie te beheren, te controleren en te bewaken [6]. MITRE voegt daaraan toe: het toezicht op het gebruik van bevoorrechte accounts en de verantwoording die logging en audit waarborgen [7]. ## Hoe het werkt Een PAM bestaat uit meerdere onderdelen. Ten eerste een wachtwoordkluis. MITRE beveelt kluistools aan voor het opslaan en roteren van inloggegevens en noemt CyberArk, HashiCorp Vault en KeePass als voorbeelden [7]. Voor wachtwoorden van lokale beheerders noemt dezelfde pagina Microsoft LAPS [7]. Ten tweede de tijdelijke verhoging van rechten. In de dienst Privileged Identity Management van Microsoft Entra kan een medewerker "in aanmerking komen" voor een rol zonder die permanent te hebben. Wanneer hij de rol nodig heeft, activeert hij die voor beperkte tijd, binnen een door de beheerders vastgesteld maximum, onder vermelding van de reden van zijn verzoek [6]. Voor activering kan een controle met multifactorauthenticatie, een zakelijke motivering of de goedkeuring van een aangewezen goedkeurder vereist zijn [6]. Na afloop van de termijn dooft de rol: dat is het principe van "just in time"-toegang, waarbij tijdelijke machtigingen voorkomen dat een kwaadwillende of onbevoegde gebruiker er na het verlopen nog bij kan [6]. Dezelfde dienst stuurt een melding wanneer een bevoorrechte rol wordt geactiveerd en maakt toegangsbeoordelingen mogelijk om na te gaan of iedereen zijn rol nog nodig heeft [6]. Ten derde de traceerbaarheid. De NCSC vraagt alle beheeractiviteiten te loggen en te auditen, om na te gaan of beheerders alleen legitieme en goedgekeurde handelingen verrichten [3]. Met de dienst van Microsoft kunt u de auditgeschiedenis downloaden [6]. Microsoft raadt ook aan de directory te bewaken om tekenen van een aanval op te sporen [5]. Ten vierde sterke authenticatie. Die vraagt minstens twee bewijzen van identiteit: iets wat u weet, iets wat u hebt, iets wat u bent [8]. MITRE adviseert haar op te leggen aan alle bevoorrechte accounts [7] en in het bijzonder aan bevoorrechte rollen [8]. Microsoft eist haar bij het gebruik van bevoorrechte accounts of voor beheertaken [5]. Ten slotte de scheiding van accounts. In zijn model maakt Microsoft een gebruikersaccount voor een beveiligd werkstation en een apart account voor apparaatbeheerders [9]. De NCSC beveelt beheer in niveaus aan, omdat niet al het beheer hetzelfde risico met zich meebrengt [3]. ## Wat u doet Wat de medewerker doet, komt neer op vier punten. - Twee gebruiksvormen gescheiden houden. Het dagelijkse account dient voor e-mail, internet en kantoorsoftware. Het beheeraccount dient alleen om te beheren, op een werkstation dat daarvoor bedoeld is [5]. - De rechten aanvragen wanneer nodig. Als uw rol af en toe verhoogde toegang vereist, volg dan de activerings- of goedkeuringsprocedure van uw bedrijf in plaats van permanente rechten te houden [6]. Microsoft gaat in dezelfde richting: het permanente lidmaatschap van sterk bevoorrechte groepen afschaffen en een tijdelijk lidmaatschap verlenen wanneer dat nodig is [5]. - Sterke authenticatie accepteren. Microsoft vraagt haar minstens aan beheerders op te leggen [9]. - Geen lokale beheerrechten op uw werkstation houden zonder noodzaak. Microsoft voorziet in het intrekken van deze rechten voor de gebruikers van zijn bevoorrechte werkstations [9], en MITRE raadt aan gebruikers uit de groep van lokale beheerders te halen [7]. Voor een leidinggevende bestaat de taak erin het aantal personen met toegang tot gevoelige informatie te beperken. Dat verkleint het risico dat een kwaadwillende erbij komt en dat een bevoegde gebruiker per ongeluk een gevoelige bron raakt [6]. Een aangewezen goedkeurder ontvangt een e-mailmelding wanneer een rolaanvraag op goedkeuring wacht [6]. ## De valkuilen - Het hergebruikte beheerderswachtwoord. MITRE legt uit dat hergebruik van wachtwoorden misbruik van lokale accounts op een reeks machines mogelijk kan maken, om bevoegdheden te verhogen en van het ene werkstation naar het andere te gaan [10]. Microsoft rekent lokale bevoorrechte accounts met dezelfde inloggegevens op alle systemen tot de risicovolle configuraties [5]. - Het slapende account. De aanvaller kan inactieve accounts misbruiken, bijvoorbeeld die van mensen die de organisatie hebben verlaten, omdat de oorspronkelijke gebruiker er niet meer is om abnormale activiteit op te merken [4]. Toegangsbeoordelingen maken het mogelijk na te gaan of gebruikers hun rol nog nodig hebben [6]. - Te veel krachtige accounts. Te veel gebruikers toewijzen aan bevoorrechte domeingroepen moedigt overmatig gebruik ervan aan [5]. - Diefstal van inloggegevens. Inloggen met een bevoorrecht account op een onbeveiligde computer stelt deze inloggegevens bloot [5]. - Overlappende rechten tussen lokale, domein- en onlineaccounts. MITRE maakt zich hier zorgen over, want de aanvaller kan van het ene account en systeem naar het andere gaan, tot op het niveau van domein- of ondernemingsbeheerder [4]. ## Praktijkgevallen ### Aanval op het Oekraïense elektriciteitsnet, 2015 Bij deze aanval gebruikte de groep Sandworm Team geldige accounts op het bedrijfsnetwerk om haar bevoegdheden te verhogen, zich lateraal te verplaatsen en zich duurzaam in dat netwerk te nestelen [4]. ## Bronnen 1. NIST, “privileged account - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_account (geraadpleegd op 3 november 2026) 2. NIST, “privileged user - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_user (geraadpleegd op 3 november 2026) 3. NCSC (Royaume-Uni), “Secure system administration”, 15 september 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (geraadpleegd op 3 november 2026) 5. Microsoft, “Best practices for securing Active Directory”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (geraadpleegd op 3 november 2026) 6. Microsoft, “What is Privileged Identity Management? - Microsoft Entra ID Governance”. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1026/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1032/ (geraadpleegd op 3 november 2026) 9. Microsoft, “Deploying a privileged access solution - Privileged access”. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (geraadpleegd op 3 november 2026) 10. MITRE ATT&CK, “Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/003/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.