{"id":1610,"date":"2026-04-02T10:33:48","date_gmt":"2026-04-02T08:33:48","guid":{"rendered":""},"modified":"2026-08-20T22:21:33","modified_gmt":"2026-08-20T19:57:53","slug":"een-vraag-van-een-auditor-legt-jaren-ongeregistreerde-toegang-bloot","status":"publish","type":"post","link":"https:\/\/inheriti.com\/nl\/blog\/security\/een-vraag-van-een-auditor-legt-jaren-ongeregistreerde-toegang-bloot\/","title":{"rendered":"E\u00e9n vraag van een auditor legt jaren ongeregistreerde toegang bloot"},"content":{"rendered":"\n

Een klant stelt ze tijdens een security review. Een auditor stelt ze in week twee. Soms stelt een incident ze voor jou, op vrijdagavond om elf uur.<\/p>\n\n\n\n

Wie heeft dit geopend, en wanneer?<\/strong><\/p>\n\n\n\n

In de meeste bedrijven is het eerlijke antwoord een schouderophalen, gevolgd door een week rondvragen. En op het moment dat je het niet kan beantwoorden, wordt een technisch gat een persoonlijk gat: het is jouw bedrijf, dus het is jouw antwoord.<\/p>\n\n\n\n

Antwoord uit een register in plaats van uit je geheugen<\/h2>\n\n\n\n

Dat niemand het kan beantwoorden, komt niet door slordigheid. Het komt doordat de vraag nergens werd opgeschreven.<\/p>\n\n\n\n

Een gedeelde kluis weet wie er een account heeft. Een spreadsheet weet helemaal niets. Een bestand op een schijf toont wanneer het laatst gewijzigd is, en dat is iets anders dan wie het las. Lezen laat geen spoor na<\/strong>, dus net de belangrijkste gebeurtenis wordt door niemand geregistreerd.<\/p>\n\n\n\n

In Inheriti\u00ae Business is het omgekeerd. Elke toegangsaanvraag<\/strong>, elke goedkeuring<\/strong> en elke onthulling<\/strong> wordt vastgelegd op het moment zelf, in de audit trail van je organisatie, naast gebeurtenissen rond authenticatie, moderatie, data assets, lidmaatschap, opslag en abonnement.<\/p>\n\n\n\n

Het antwoord op “wie heeft dit geopend, en wanneer” is dus geen herinnering. Het is een regel met een naam, een rol, een tijdstip en het plan waar het bij hoort.<\/p>\n\n\n\n

\"Een
Een regel met een naam, een rol, een tijdstip en het plan waar het bij hoort.<\/figcaption><\/figure>\n\n\n\n

Weet precies wat je moet roteren na een incident<\/h2>\n\n\n\n

Wat een inbraak duur maakt, is zelden de inbraak zelf. Het is de onduidelijkheid erna.<\/p>\n\n\n\n

Niemand weet welke inloggegevens blootgesteld zijn, dus is de veilige aanname: allemaal. Er gaan weken in het roteren van alles, slecht, terwijl het bedrijf wacht. De helft liep nooit gevaar, en je zal nooit weten welke helft.<\/p>\n\n\n\n

Met een register van wie aanvroeg, wie goedkeurde en wat onthuld werd, wordt dat een korte lijst in plaats van giswerk. Je roteert wat er echt geopend is.<\/strong><\/p>\n\n\n\n

Geef een rapport af dat bewijst dat het niet bewerkt is<\/h2>\n\n\n\n

Een export die iedereen in een teksteditor had kunnen aanpassen, is geen bewijs maar een document.<\/p>\n\n\n\n

Elk rapport sluit af met een integriteitspagina<\/strong>: een SHA-256-hash van het document, de referentie en de scope ervan. Wie het ontvangt, kan nagaan dat wat hij leest ook is wat er geproduceerd werd. Daarmee wordt “hier zijn onze logs” iets waar een auditor op kan steunen.<\/p>\n\n\n\n

E\u00e9n bewuste beperking is het waard om te kennen: het planregister in een rapport beschrijft enkel de configuratie<\/strong>, nooit beschermde inhoud. Het rapport bewijst wie wat deed. Het wordt nooit een tweede kopie van je geheimen.<\/p>\n\n\n\n

Beperk het register tot \u00e9\u00e9n lid, \u00e9\u00e9n team of \u00e9\u00e9n plan<\/h2>\n\n\n\n

“Stuur ons jullie logs” levert meestal een dump op die niemand leest.<\/p>\n\n\n\n

Het register kan afgebakend worden voor het ge\u00ebxporteerd wordt: \u00e9\u00e9n lid<\/strong>, \u00e9\u00e9n team<\/strong>, \u00e9\u00e9n plan<\/strong> of \u00e9\u00e9n storage layer<\/strong>. Een leveranciersaudit over \u00e9\u00e9n systeem krijgt precies dat systeem, en er reist niets anders over je bedrijf mee.<\/p>\n\n\n\n

Bewijs de regel, niet alleen de gebeurtenis<\/h2>\n\n\n\n

Er is een tweede vraag die een auditor bijna altijd stelt: niet alleen wat er gebeurd is, maar wat er zou zijn<\/strong> gebeurd.<\/p>\n\n\n\n

Omdat de governance in het plan zit, is ook dat leesbaar: welke teams toegang hebben, wie de moderatoren zijn, hoeveel goedkeuringen er nodig zijn, en hoe de Dead Man Switch is ingesteld. De regel staat opgeschreven op de plek waar ze wordt afgedwongen, en dat is de enige plek waar een regel eerlijk te controleren valt.<\/p>\n\n\n\n

Wat Inheriti\u00ae Business hieraan doet, en waarom je ons nodig hebt<\/h2>\n\n\n\n

“Wie heeft dit geopend, en wanneer” is geen moeilijke vraag. Het is een onbeantwoordbare vraag, want net de gebeurtenis die het zwaarst weegt, lezen, laat nergens anders een spoor na.<\/p>\n\n\n\n

Inheriti\u00ae Business schrijft het op waar het gebeurt:<\/p>\n\n\n\n