--- id: CP-197 slug: minimale-rechten-just-in-time-toegang lang: nl title: Minimale rechten en Just-In-Time-toegang description: Minimale rechten beperken toegang tot het strikt noodzakelijke, Just-In-Time-toegang verleent die voor beperkte tijd. Wat u als medewerker doet. canonical_url: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Minimale rechten en Just-In-Time-toegang”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-029 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ fr: https://startbrain.io/cyberpedia/fr/articles/moindre-privilege-acces-jit/ en: https://startbrain.io/cyberpedia/en/articles/least-privilege-just-in-time-access/ de: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ es: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ it: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ sources: - "n": 1 title: least privilege - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/least_privilege accessed: "2026-11-03" - "n": 2 title: Qu’est-ce que Microsoft Entra Privileged Identity Management ? publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 3 title: Meilleures pratiques pour les rôles Microsoft Entra publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Authorization - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Privileged Account Management, Mitigation M1026 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 7 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 8 title: Zero Trust Maturity Model publisher: CISA url: https://www.cisa.gov/zero-trust-maturity-model accessed: "2026-11-03" - "n": 9 title: User Account Management, Mitigation M1018 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" --- # Minimale rechten en Just-In-Time-toegang Minimale rechten (least privilege) is een beveiligingsprincipe: een systeem moet de toegangsrechten van gebruikers, of van programma's die namens hen handelen, beperken tot het minimum dat nodig is voor de toegewezen taken [1]. Een medewerker die een map alleen hoeft te lezen, hoort die map niet te kunnen verwijderen. Just-In-Time-toegang (net op tijd) voert dat idee voor verhoogde rechten verder door. Gebruikers krijgen tijdelijke machtigingen om bevoorrechte taken uit te voeren, en de toegang wordt alleen verleend op het moment dat ze die nodig hebben [2]. Zodra de termijn is verstreken, wordt de bevoorrechte toegang automatisch ingetrokken [3]. ## In 30 seconden - Waar het voorkomt: op elke werkplek of in elke dienst waar beheerdersrechten bestaan, bijvoorbeeld het beheer van Microsoft 365 of van een bedrijfsdirectory [2]. - Wat de aanvaller wil: een bestaand account en de bijbehorende rechten gebruiken, waardoor hij soms geen malware nodig heeft en zijn aanwezigheid moeilijker op te merken is [4]. - De reflex: vraag verhoogde toegang aan voor een beperkte duur en met een duidelijke reden, leen nooit uw beheerdersrechten uit en meld rechten die u niet meer gebruikt. - Als het al gebeurd is: breng de IT-afdeling op de hoogte, die bij een toegangsbeoordeling rechten kan intrekken die overbodig zijn geworden [3]. ## Directe vragen ### Waarom de rechten van een vertrouwde medewerker beperken? Organisaties beperken het aantal mensen met toegang tot gevoelige bronnen om twee risico's te verkleinen: dat een kwaadwillende gebruiker bij die gegevens komt, en dat een bevoegde gebruiker per ongeluk invloed heeft op een gevoelige bron [2]. Microsoft voegt eraan toe dat door rollen en bereiken te beperken, minder bronnen gevaar lopen als het account wordt gecompromitteerd [3]. ### Wat betekent "just-in-time" concreet? De medewerker heeft geen permanent beheerdersrecht. Hij of zij is "in aanmerking komend" voor een rol en activeert die wanneer een bevoorrechte taak moet worden uitgevoerd. Voor de activering kan multifactorverificatie, een zakelijke motivering of de goedkeuring van een aangewezen goedkeurder nodig zijn [2]. Na activering blijft de rol gedurende een vooraf bepaalde periode bruikbaar, daarna moet de gebruiker de rol opnieuw activeren [2]. ### Gaat het principe van minimale rechten alleen over beheerders? Nee. OWASP beschrijft het als een regel voor alle niveaus: een boekhouder en een verkoper staan even hoog in de hiërarchie, maar hebben niet dezelfde bronnen nodig. De boekhouder hoort niet bij de klantendatabase te kunnen, en de verkoper niet bij de salarisgegevens [5]. ### Wat gebeurt er als een toegangsaanvraag verloopt? Volgens de documentatie van Microsoft kan de gebruiker een verlenging aanvragen wanneer een roltoewijzing bijna verloopt. Is de toewijzing verlopen, dan kan hij of zij een vernieuwing aanvragen. Beide aanvragen lopen via de goedkeuring van een globale beheerder of een beheerder van bevoorrechte rollen [2]. ## Hoe het werkt De werking die hier wordt beschreven volgt het hulpmiddel Privileged Identity Management van Microsoft, één voorbeeld uit meerdere. Een beheerder wijst een rol toe aan een gebruiker, een groep of een service-identiteit. De toewijzing bepaalt het bereik (de rol geldt alleen voor een bepaalde set bronnen), het type (in aanmerking komend of actief) en de duur, met begin- en einddatum of zonder limiet [2]. Om een rol die in aanmerking komt te activeren, kiest de gebruiker een activeringsduur binnen de grenzen die de beheerders hebben ingesteld en geeft hij of zij de reden van de aanvraag op [2]. Het hulpmiddel kan goedkeuring eisen, multifactorauthenticatie afdwingen, meldingen sturen bij activering en een auditgeschiedenis bijhouden [2]. MITRE noemt daarnaast de kortlevende rollen van andere cloudproviders om verhoogde machtigingen voor beperkte tijd te verlenen [6]. Microsoft raadt aan om meerdere controles te combineren, omdat geen enkele functie alle gevallen dekt. Het voorbeeld: een aangepaste rol die beperkt is tot een beheereenheid, zodat een regionale supportbeheerder alleen de wachtwoorden van de eigen regio kan resetten. De activering loopt daarna via PIM, met goedkeuring, en vervolgens eist voorwaardelijke toegang een conform apparaat en multifactorauthenticatie [3]. De Britse NCSC omschrijft de "zero trust"-aanpak zo: het vertrouwen dat inherent is aan het netwerk wordt weggenomen, het netwerk wordt als vijandig beschouwd en elk verzoek wordt getoetst aan een toegangsbeleid [7]. CISA koppelt daar toegangsbeslissingen met minimale rechten aan, per verzoek [8]. ## Wat u doet - Vraag toegang aan op het moment dat u die nodig hebt, met een duur die bij de taak past en een concrete reden. De reden die u bij de activering opgeeft, helpt om te begrijpen waarom de rol is gebruikt [2]. - Gebruik de smalle rol die bij de taak past. Microsoft raadt af om bredere rollen of rollen met een groter bereik toe te wijzen, ook als die handiger lijken [3]. - Houd uw beheerdersrechten voor uzelf. Een roolactivering wordt door een gebruiker uitgevoerd, leidt tot een melding en wordt bewaard in de auditgeschiedenis [2]. OWASP merkt op dat een toegangsschending zonder goede logging mogelijk niet aan een persoon is toe te schrijven [5]. - Als u van team of opdracht verandert, vraag dan om intrekking van de rechten van uw vorige functie. Microsoft merkt op dat mensen die van team wisselen zonder audit onnodige toegang opbouwen [3]. - Reageer op toegangsbeoordelingen: daarmee wordt gecontroleerd of gebruikers hun rollen nog nodig hebben [2]. - Schakel multifactorauthenticatie in op beheeraccounts. Microsoft stelt dat een account volgens eigen onderzoek 99,9 % minder snel wordt gecompromitteerd met multifactorauthenticatie [3]. ## De valkuilen Rechten die zich opstapelen. OWASP noemt het "privilege creep" wanneer de rechten van gebruikers groter worden dan oorspronkelijk bepaald. OWASP beveelt een periodieke beoordeling aan en wijst erop dat het makkelijker is om machtigingen toe te voegen dan om ze in te trekken [5]. Permanente beheeraccounts. Permanente bevoorrechte toegang is wat PIM voor gebruikers met een bevoorrechte rol wil uitbannen [3]. Microsoft raadt aan de rol van globale beheerder aan minder dan vijf personen te geven en het aantal toewijzingen van bevoorrechte rollen te beperken tot minder dan 10, omdat deze rollen privilegeverhoging mogelijk maken [3]. Er is één uitzondering: twee noodtoegangsaccounts, definitief toegewezen, niet aan personen gekoppeld en gereserveerd voor "break glass"-situaties [3]. Vergeten accounts. MITRE wijst erop dat aanvallers inactieve accounts kunnen misbruiken, bijvoorbeeld die van mensen die de organisatie hebben verlaten, omdat de vroegere eigenaar er niet meer is om ongewone activiteit op te merken [4]. MITRE raadt ook aan accounts uit te schakelen na een periode van inactiviteit (30 dagen als voorbeeld) en accounts zonder eigenaar bij audits te verwijderen [9]. Te krachtige serviceaccounts. Roltoewijzingen kunnen ook gelden voor service principals of beheerde identiteiten, net als voor personen [2]. Voor beheerders onderscheidt Microsoft drie aspecten van een roltoewijzing: een specifieke set machtigingen, voor een specifiek bereik, gedurende een specifieke periode [3]. Overal dezelfde inloggegevens. MITRE maakt zich zorgen over de overlap van machtigingen tussen lokale accounts, domeinaccounts en cloudaccounts: een aanvaller kan van het ene account naar het andere overstappen tot een hoog toegangsniveau, zoals domeinbeheerder [4]. ## Praktijkgevallen ### 2015: de aanval op het Oekraïense elektriciteitsnet Volgens MITRE gebruikte de groep Sandworm Team bij de aanval op het Oekraïense elektriciteitsnet in 2015 geldige accounts op het bedrijfsnetwerk om zijn rechten te verhogen, zich zijdelings te verplaatsen en zich er duurzaam te nestelen [4]. De bron geeft niet aan welke rechten deze accounts hadden. ## Bronnen 1. NIST, “least privilege - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/least_privilege (geraadpleegd op 3 november 2026) 2. Microsoft, “Qu’est-ce que Microsoft Entra Privileged Identity Management ?”. https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (geraadpleegd op 3 november 2026) 3. Microsoft, “Meilleures pratiques pour les rôles Microsoft Entra”. https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Valid Accounts, Technique T1078 - Enterprise”. https://attack.mitre.org/techniques/T1078/ (geraadpleegd op 3 november 2026) 5. OWASP, “Authorization - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Privileged Account Management, Mitigation M1026 - Enterprise”. https://attack.mitre.org/mitigations/M1026/ (geraadpleegd op 3 november 2026) 7. NCSC (Royaume-Uni), “Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (geraadpleegd op 3 november 2026) 8. CISA, “Zero Trust Maturity Model”. https://www.cisa.gov/zero-trust-maturity-model (geraadpleegd op 3 november 2026) 9. MITRE ATT&CK, “User Account Management, Mitigation M1018 - Enterprise”. https://attack.mitre.org/mitigations/M1018/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.