Toegangsbeheer betekent dat u kunt aantonen wie bij welke systemen, ruimtes of gegevens mag, en dat die toegang wordt ingetrokken zodra iemand dat niet meer nodig heeft. Voor een installatiebedrijf gaat dat verder dan een wachtwoordbeleid op kantoor: het gaat ook over sleutels van klantpanden, badges voor technische ruimtes, en toegang op afstand tot gebouwbeheersystemen die uw monteurs onderhouden.
De reden dat dit onderwerp steeds terugkomt in securityvragenlijsten is simpel: een monteur die zonder wachtwoord kan inloggen op een verwarmingsregeling, of een oud-medewerker die nog met een sleutel bij een serverruimte kan, is precies het soort risico waar de zorgplicht van een opdrachtgever op moet letten. Wie die vraag beantwoordt met een schouderophalen, verliest sneller een contract dan wie een kort, eerlijk antwoord kan geven.
Twee soorten toegang, één register
Bij een installatiebedrijf lopen twee werelden door elkaar. Aan de ene kant is er toegang tot uw eigen systemen: de administratie, de planningssoftware, de mailbox. Aan de andere kant is er fysieke en digitale toegang bij de klant: sleutels, alarmcodes, VPN-verbindingen naar een gebouwbeheersysteem, inlogaccounts op een klimaatregeling die op afstand wordt beheerd.
Beide vallen onder dezelfde vraag: wie mag hierbij, en waarom. Een levend register waarin per systeem of per sleutelbos staat wie toegang heeft, sinds wanneer, en wie dat heeft goedgekeurd, is voor de meeste installatiebedrijven al voldoende om deze vraag te beantwoorden. Het hoeft geen ingewikkeld systeem te zijn; een overzicht dat klopt en dat u kunt tonen, telt zwaarder dan een uitgebreid beleid dat niemand naleeft.
Sleutels en badges: het vergeten deel van toegangsbeheer
Veel installatiebedrijven denken bij toegangsbeheer meteen aan inloggegevens, en vergeten de fysieke kant. Sleutelbossen van klantlocaties, badges voor technische ruimtes en codes van alarmsystemen zijn net zo goed toegang als een wachtwoord, en verdienen dezelfde discipline: vastleggen wie welke sleutel heeft, wanneer die is uitgegeven, en een vast moment waarop die wordt teruggevraagd of ingetrokken.
Dit wordt vaak pas zichtbaar als het misgaat: een monteur die uit dienst gaat maar nog een sleutelbos van drie klanten in de auto heeft liggen, of een subcontractor die na afronding van een project nog steeds kan inloggen op een beheerdersaccount. Een klant die u deze vraag stelt via een securityvragenlijst wil vooral weten of u dit soort momenten structureel afvangt, niet of er ooit iets is misgegaan.
Toegang op afstand tot systemen bij de klant
Installatiebedrijven die op afstand meekijken of ingrijpen in systemen bij de klant, bijvoorbeeld voor storingsdiagnose op een klimaatinstallatie of een energiebeheersysteem, hebben vaak een eigen toegangspad nodig: een VPN, een remote-desktopverbinding, of een leverancierseigen platform. Dat toegangspad is precies het soort schakel waar een opdrachtgever met een zorgplicht naar vraagt, omdat een zwakke plek bij u zich direct kan doorvertalen naar een risico bij hen.
Vragen die hierbij vaak terugkomen gaan over meervoudige verificatie op die afstandstoegang, over wie de accounts beheert, en over wat er gebeurt als een laptop met die toegang wordt gestolen. Het is niet nodig om op elke vraag een uitgebreid technisch antwoord te hebben; het is wel nodig om te weten wie in uw organisatie dit soort toegang toekent en weer intrekt, en dat ergens vast te leggen.
Waar dit in het grotere plaatje past
Toegangsbeheer is één van de maatregelen die onder de zorgplicht vallen, en die zorgplicht raakt installatiebedrijven meestal niet omdat zij zelf onder de wet vallen, maar omdat een opdrachtgever die dat wel doet, het van hen doorvraagt. Wie nog niet weet of dat voor de eigen situatie speelt, kan dat in een paar vragen zien. Voor wie de vraag al heeft binnengekregen en wil weten hoe toegangsbeheer zich verhoudt tot de andere negen maatregelen, staat een compleet overzicht per onderwerp uitgewerkt.
Het is niet aan een leverancier van een platform als secria.eu om te bepalen wat in uw specifieke geval voldoende is; dat blijft een afweging die bij uzelf of, bij twijfel, bij een jurist of de bevoegde toezichthouder ligt. Wat wel te doen is: een eerlijk en actueel overzicht bijhouden van wie waar bij mag, zodat een securityvragenlijst geen verrassing meer is maar een formulier dat u binnen een paar minuten kunt invullen. Meer over hoe zo'n overzicht in de praktijk wordt opgebouwd, staat beschreven op de pagina die laat zien waar de informatie in het dossier vandaan komt.
Wilt u eerst zien of dit onderwerp voor uw organisatie relevant is, en wat een dossier daarvoor precies bevat? Doe de gratis quick-scan of blader door de onderwerpen; beide zijn zonder account te raadplegen en geven direct een concreet antwoord.