Minimale rechten en Just-In-Time-toegang
Minimale rechten beperken toegang tot het strikt noodzakelijke, Just-In-Time-toegang verleent die voor beperkte tijd. Wat u als medewerker doet.
In 30 seconden
- Waar het voorkomt
- Op elke werkplek of in elke dienst waar beheerdersrechten bestaan, bijvoorbeeld het beheer van Microsoft 365 of van een bedrijfsdirectory2.
- Wat de aanvaller wil
- Een bestaand account en de bijbehorende rechten gebruiken, waardoor hij soms geen malware nodig heeft en zijn aanwezigheid moeilijker op te merken is4.
- De reflex
- Vraag verhoogde toegang aan voor een beperkte duur en met een duidelijke reden, leen nooit uw beheerdersrechten uit en meld rechten die u niet meer gebruikt.
- Als het al gebeurd is
- Breng de IT-afdeling op de hoogte, die bij een toegangsbeoordeling rechten kan intrekken die overbodig zijn geworden3.
Waar gaat het over
Minimale rechten (least privilege) is een beveiligingsprincipe: een systeem moet de toegangsrechten van gebruikers, of van programma's die namens hen handelen, beperken tot het minimum dat nodig is voor de toegewezen taken1. Een medewerker die een map alleen hoeft te lezen, hoort die map niet te kunnen verwijderen.
Just-In-Time-toegang (net op tijd) voert dat idee voor verhoogde rechten verder door. Gebruikers krijgen tijdelijke machtigingen om bevoorrechte taken uit te voeren, en de toegang wordt alleen verleend op het moment dat ze die nodig hebben2. Zodra de termijn is verstreken, wordt de bevoorrechte toegang automatisch ingetrokken3.
Directe vragen
Waarom de rechten van een vertrouwde medewerker beperken?
Organisaties beperken het aantal mensen met toegang tot gevoelige bronnen om twee risico's te verkleinen: dat een kwaadwillende gebruiker bij die gegevens komt, en dat een bevoegde gebruiker per ongeluk invloed heeft op een gevoelige bron2. Microsoft voegt eraan toe dat door rollen en bereiken te beperken, minder bronnen gevaar lopen als het account wordt gecompromitteerd3.
Wat betekent "just-in-time" concreet?
De medewerker heeft geen permanent beheerdersrecht. Hij of zij is "in aanmerking komend" voor een rol en activeert die wanneer een bevoorrechte taak moet worden uitgevoerd. Voor de activering kan multifactorverificatie, een zakelijke motivering of de goedkeuring van een aangewezen goedkeurder nodig zijn2. Na activering blijft de rol gedurende een vooraf bepaalde periode bruikbaar, daarna moet de gebruiker de rol opnieuw activeren2.
Gaat het principe van minimale rechten alleen over beheerders?
Nee. OWASP beschrijft het als een regel voor alle niveaus: een boekhouder en een verkoper staan even hoog in de hiërarchie, maar hebben niet dezelfde bronnen nodig. De boekhouder hoort niet bij de klantendatabase te kunnen, en de verkoper niet bij de salarisgegevens5.
Wat gebeurt er als een toegangsaanvraag verloopt?
Volgens de documentatie van Microsoft kan de gebruiker een verlenging aanvragen wanneer een roltoewijzing bijna verloopt. Is de toewijzing verlopen, dan kan hij of zij een vernieuwing aanvragen. Beide aanvragen lopen via de goedkeuring van een globale beheerder of een beheerder van bevoorrechte rollen2.
1Hoe het werkt2 min
De werking die hier wordt beschreven volgt het hulpmiddel Privileged Identity Management van Microsoft, één voorbeeld uit meerdere. Een beheerder wijst een rol toe aan een gebruiker, een groep of een service-identiteit. De toewijzing bepaalt het bereik (de rol geldt alleen voor een bepaalde set bronnen), het type (in aanmerking komend of actief) en de duur, met begin- en einddatum of zonder limiet2.
Om een rol die in aanmerking komt te activeren, kiest de gebruiker een activeringsduur binnen de grenzen die de beheerders hebben ingesteld en geeft hij of zij de reden van de aanvraag op2. Het hulpmiddel kan goedkeuring eisen, multifactorauthenticatie afdwingen, meldingen sturen bij activering en een auditgeschiedenis bijhouden2. MITRE noemt daarnaast de kortlevende rollen van andere cloudproviders om verhoogde machtigingen voor beperkte tijd te verlenen6.
Microsoft raadt aan om meerdere controles te combineren, omdat geen enkele functie alle gevallen dekt. Het voorbeeld: een aangepaste rol die beperkt is tot een beheereenheid, zodat een regionale supportbeheerder alleen de wachtwoorden van de eigen regio kan resetten. De activering loopt daarna via PIM, met goedkeuring, en vervolgens eist voorwaardelijke toegang een conform apparaat en multifactorauthenticatie3.
De Britse NCSC omschrijft de "zero trust"-aanpak zo: het vertrouwen dat inherent is aan het netwerk wordt weggenomen, het netwerk wordt als vijandig beschouwd en elk verzoek wordt getoetst aan een toegangsbeleid7. CISA koppelt daar toegangsbeslissingen met minimale rechten aan, per verzoek8.
2Wat u doet1 min
- Vraag toegang aan op het moment dat u die nodig hebt, met een duur die bij de taak past en een concrete reden. De reden die u bij de activering opgeeft, helpt om te begrijpen waarom de rol is gebruikt2.
- Gebruik de smalle rol die bij de taak past. Microsoft raadt af om bredere rollen of rollen met een groter bereik toe te wijzen, ook als die handiger lijken3.
- Houd uw beheerdersrechten voor uzelf. Een roolactivering wordt door een gebruiker uitgevoerd, leidt tot een melding en wordt bewaard in de auditgeschiedenis2. OWASP merkt op dat een toegangsschending zonder goede logging mogelijk niet aan een persoon is toe te schrijven5.
- Als u van team of opdracht verandert, vraag dan om intrekking van de rechten van uw vorige functie. Microsoft merkt op dat mensen die van team wisselen zonder audit onnodige toegang opbouwen3.
- Reageer op toegangsbeoordelingen: daarmee wordt gecontroleerd of gebruikers hun rollen nog nodig hebben2.
- Schakel multifactorauthenticatie in op beheeraccounts. Microsoft stelt dat een account volgens eigen onderzoek 99,9 % minder snel wordt gecompromitteerd met multifactorauthenticatie3.
3De valkuilen2 min
Rechten die zich opstapelen. OWASP noemt het "privilege creep" wanneer de rechten van gebruikers groter worden dan oorspronkelijk bepaald. OWASP beveelt een periodieke beoordeling aan en wijst erop dat het makkelijker is om machtigingen toe te voegen dan om ze in te trekken5.
Permanente beheeraccounts. Permanente bevoorrechte toegang is wat PIM voor gebruikers met een bevoorrechte rol wil uitbannen3. Microsoft raadt aan de rol van globale beheerder aan minder dan vijf personen te geven en het aantal toewijzingen van bevoorrechte rollen te beperken tot minder dan 10, omdat deze rollen privilegeverhoging mogelijk maken3. Er is één uitzondering: twee noodtoegangsaccounts, definitief toegewezen, niet aan personen gekoppeld en gereserveerd voor "break glass"-situaties3.
Vergeten accounts. MITRE wijst erop dat aanvallers inactieve accounts kunnen misbruiken, bijvoorbeeld die van mensen die de organisatie hebben verlaten, omdat de vroegere eigenaar er niet meer is om ongewone activiteit op te merken4. MITRE raadt ook aan accounts uit te schakelen na een periode van inactiviteit (30 dagen als voorbeeld) en accounts zonder eigenaar bij audits te verwijderen9.
Te krachtige serviceaccounts. Roltoewijzingen kunnen ook gelden voor service principals of beheerde identiteiten, net als voor personen2. Voor beheerders onderscheidt Microsoft drie aspecten van een roltoewijzing: een specifieke set machtigingen, voor een specifiek bereik, gedurende een specifieke periode3.
Overal dezelfde inloggegevens. MITRE maakt zich zorgen over de overlap van machtigingen tussen lokale accounts, domeinaccounts en cloudaccounts: een aanvaller kan van het ene account naar het andere overstappen tot een hoog toegangsniveau, zoals domeinbeheerder4.
4Praktijkgevallen1 min
2015: de aanval op het Oekraïense elektriciteitsnet
Volgens MITRE gebruikte de groep Sandworm Team bij de aanval op het Oekraïense elektriciteitsnet in 2015 geldige accounts op het bedrijfsnetwerk om zijn rechten te verhogen, zich zijdelings te verplaatsen en zich er duurzaam te nestelen4. De bron geeft niet aan welke rechten deze accounts hadden.
Fiche
- Identificatie
- CP-197
- Vleugel
- 3. Protocollen en verdediging
- Brain-competentie
- Toegang beheersen (control_access)
- Brain-reflex
- cr-029
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 9 bronnen gecontroleerd op 3 november 2026
Bronnen9 bronnen
- NIST, “least privilege - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/least_privilege (geraadpleegd op 3 november 2026)
- Microsoft, “Qu’est-ce que Microsoft Entra Privileged Identity Management ?”. https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (geraadpleegd op 3 november 2026)
- Microsoft, “Meilleures pratiques pour les rôles Microsoft Entra”. https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Valid Accounts, Technique T1078 - Enterprise”. https://attack.mitre.org/techniques/T1078/ (geraadpleegd op 3 november 2026)
- OWASP, “Authorization - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Privileged Account Management, Mitigation M1026 - Enterprise”. https://attack.mitre.org/mitigations/M1026/ (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (geraadpleegd op 3 november 2026)
- CISA, “Zero Trust Maturity Model”. https://www.cisa.gov/zero-trust-maturity-model (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “User Account Management, Mitigation M1018 - Enterprise”. https://attack.mitre.org/mitigations/M1018/ (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Minimale rechten en Just-In-Time-toegang”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp197_nl_2026,
author = {Brain},
title = {Minimale rechten en Just-In-Time-toegang},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/},
note = {CC BY 4.0}
}