Hoe controleer ik wie toegang heeft tot onze bestanden?

Leon Bovendeur · 26 okt 2026

Je controleert wie toegang heeft tot jullie bestanden door de toegangsrechten in je netwerk of cloudomgeving te raadplegen via de beheertools van je besturingssysteem of platform. In Microsoft 365-omgevingen doe je dit via het SharePoint-beheercentrum of Azure Active Directory. Voor on-premisenetwerken gebruik je de ingebouwde auditfuncties van Windows Server. De secties hieronder behandelen waar die rechten worden opgeslagen, welke tools je gebruikt en hoe je een veilig rechtenbeheer opzet.

Waar worden bestandsrechten in een bedrijfsnetwerk opgeslagen?

Bestandsrechten worden opgeslagen in de toegangsbeheerlijsten (ACL’s) van het besturingssysteem of het cloudplatform. In een Windows-netwerk beheert Active Directory de gebruikersaccounts en groepen, terwijl de NTFS-rechten op de bestanden en mappen zelf bepalen wie wat mag lezen, bewerken of verwijderen. In een Microsoft 365-omgeving worden rechten bijgehouden in SharePoint, OneDrive en Azure Active Directory.

In de praktijk werkt dit op twee niveaus. Het eerste niveau is de gebruikersidentiteit: wie ben je, en tot welke groep behoor je? Het tweede niveau zijn de machtigingen op de resource zelf: welke rechten heeft die groep op een specifieke map of een specifiek bestand? Samen bepalen deze twee lagen wat een medewerker wel en niet kan openen.

In cloudplatforms zoals SharePoint werkt dit via een combinatie van sitecollecties, bibliotheken en individuele bestanden. Rechten kunnen worden geërfd van een bovenliggende map, maar ook specifiek worden ingesteld op een enkel document. Dat maakt het overzicht soms complex, zeker als er in de loop der tijd veel uitzonderingen zijn gemaakt.

Welke tools laten zien wie toegang heeft tot welke bestanden?

De meest gebruikte tools voor inzicht in bestandsrechten zijn het Windows Active Directory-beheercentrum, het SharePoint-beheercentrum en Azure Active Directory voor cloudgebaseerde omgevingen. Voor een gedetailleerd overzicht van wie wat heeft geopend of gewijzigd, gebruik je de auditlogboeken in Microsoft 365 of de beveiligingslogboeken van Windows Server.

Afhankelijk van je omgeving zijn er meerdere opties:

Microsoft 365 Compliance Center: biedt auditlogboeken waarmee je kunt zien wie een bestand heeft geopend, gedeeld of gewijzigd in SharePoint en OneDrive.
Azure Active Directory Access Reviews: laat je periodiek controleren welke gebruikers toegang hebben tot welke resources, en vraagt beheerders of eigenaren om die toegang te bevestigen of in te trekken.
Windows Event Viewer: registreert toegangspogingen op bestanden en mappen op servers wanneer auditing is ingeschakeld via groepsbeleid.
Derdepartijtools: oplossingen zoals Microsoft Entra ID (voorheen Azure AD) of gespecialiseerde IAM-tools bieden uitgebreidere rapportages en automatische signalering bij afwijkingen.

Welke tool je nodig hebt, hangt af van hoe jullie omgeving is ingericht. Een volledig cloudgebaseerde Microsoft 365-omgeving vraagt om andere tools dan een hybride netwerk met lokale servers.

Hoe lees je een toegangsrapport correct af?

Een toegangsrapport lees je correct af door te focussen op drie elementen: wie toegang heeft, welk type toegang dat is (lezen, bewerken, volledig beheer), en hoe die toegang is verleend (direct, via een groep, of geërfd van een bovenliggende map). Die combinatie vertelt je of de rechten logisch en veilig zijn ingericht.

Kijk bij het doornemen van een rapport altijd eerst naar de kolom met het type machtiging. Volledig beheer op een gevoelige map voor een grote groep medewerkers is een direct aandachtspunt. Controleer daarna via welk pad de toegang is verleend. Rechten die via een groepslidmaatschap lopen, zijn doorgaans beter beheersbaar dan rechten die direct aan individuele accounts zijn gekoppeld.

Let ook op verouderde accounts. Voormalige medewerkers of tijdelijke accounts die nog actief zijn in het systeem, zijn een veelvoorkomend risico. Een toegangsrapport maakt dit soort sluipende problemen zichtbaar. Sorteer het rapport op datum van laatste gebruik om snel te zien welke accounts al lang geen activiteit meer vertonen.

Wat zijn de risico’s van te ruime bestandsrechten?

Te ruime bestandsrechten vergroten het aanvalsoppervlak van je organisatie aanzienlijk. Als een medewerker toegang heeft tot meer bestanden dan nodig voor zijn werk, kan een gestolen account, een phishingaanval of een menselijke fout veel grotere schade aanrichten dan wanneer die toegang beperkt was geweest.

De meest voorkomende risico’s zijn:

Datadiefstal: een kwaadwillende of gecompromitteerd account kan grote hoeveelheden gevoelige informatie benaderen en kopiëren.
Ransomware-schade: ransomware versleutelt alles wat het besmette account kan bereiken. Brede rechten betekenen bredere schade.
Onbedoelde wijzigingen: medewerkers die per ongeluk bestanden aanpassen of verwijderen waartoe ze eigenlijk geen toegang zouden mogen hebben.
Compliance-overtredingen: wetgeving zoals de AVG stelt eisen aan wie persoonsgegevens mag inzien. Te brede toegang leidt tot overtredingen, ook zonder kwade opzet.

Het principe van least privilege is hierbij de standaard: geef iedere medewerker alleen de rechten die nodig zijn voor zijn of haar taken, en niet meer. Dit beperkt de potentiële schade bij elk type incident.

Hoe stel je veilige toegangsrechten in voor je organisatie?

Veilige toegangsrechten stel je in door te werken met Role Based Access Control (RBAC): je koppelt rechten aan functies of rollen, niet aan individuele personen. Zo krijgt iedereen met dezelfde rol automatisch de juiste toegang, en pas je bij een functiewijziging alleen de rolkoppeling aan in plaats van tientallen losse rechten.

Een praktische aanpak in stappen:

Inventariseer je bestanden en mappen en bepaal welke informatie gevoelig is.
Definieer rollen op basis van functies binnen je organisatie, zoals administratie, management of buitendienst.
Wijs rechten toe aan rollen, niet aan personen. Gebruik beveiligingsgroepen in Active Directory of Microsoft 365.
Controleer geërfde rechten en maak uitzonderingen alleen als dat echt noodzakelijk is.
Schakel auditing in zodat toegang tot gevoelige bestanden wordt geregistreerd.
Activeer multifactorauthenticatie (MFA) voor alle accounts, zodat een gestolen wachtwoord alleen niet genoeg is om toegang te krijgen.

Betrek ook de eigenaren van afdelingen bij dit proces. Zij weten het beste welke medewerkers welke informatie nodig hebben. Een ICT-beheerder kan de technische inrichting verzorgen, maar de inhoudelijke keuzes liggen bij de organisatie zelf.

Hoe vaak moet je bestandsrechten controleren en bijhouden?

Bestandsrechten controleer je minimaal eens per kwartaal structureel, en direct na organisatorische wijzigingen zoals ontslagen, functiewijzigingen of het vertrek van tijdelijke medewerkers. Een jaarlijkse grondige audit van alle toegangsrechten is bovendien een goede praktijk voor elke organisatie die met gevoelige gegevens werkt.

Naast periodieke controles is het verstandig om automatische signalering in te richten. Tools zoals Azure AD Access Reviews sturen automatisch een verzoek naar de eigenaar van een groep om te bevestigen of alle leden nog toegang nodig hebben. Zo hoef je niet te wachten op een geplande audit om problemen te ontdekken.

Houd bij elke controle een logboek bij van wat je hebt gevonden en welke aanpassingen je hebt gedaan. Dat logboek is niet alleen nuttig voor interne verantwoording, maar ook bij een AVG-audit of een beveiligingsincident. Documentatie toont aan dat je als organisatie actief bezig bent met het beheren van toegangsrechten.

Hoe IC-Automatisering helpt met toegangsbeheer en bestandsbeveiliging

Goed toegangsbeheer vraagt om de juiste technische inrichting én een consequent beleid. Wij helpen organisaties in Zuidwest-Nederland om beide op orde te krijgen. Concreet doen we dat door:

RBAC-inrichting via Microsoft 365 en Active Directory, zodat medewerkers alleen toegang hebben tot wat ze nodig hebben voor hun werk.
Monitoring en alerting via de 365 Baseline en 365 Alerting, waarmee afwijkingen in toegangspatronen proactief worden gesignaleerd.
Periodieke toegangsreviews als onderdeel van het beheer, zodat verouderde rechten tijdig worden opgeschoond.
Vulnerability Management, dat continu inzicht geeft in kwetsbaarheden in hardware, software en toegangsconfiguraties.
Begeleiding bij het verantwoord inzetten van AI binnen een veilig ingerichte werkomgeving, zodat bedrijfsinformatie ook bij gebruik van nieuwe tools beschermd blijft.

We kijken niet alleen naar de techniek, maar ook naar het beleid en de mensen achter de systemen. Zo zorgen we dat toegangsbeheer niet eenmalig goed wordt ingesteld, maar structureel goed blijft. Wil je weten hoe jullie huidige rechtenbeheer ervoor staat? Neem contact met ons op voor een vrijblijvende inventarisatie.

Frequently Asked Questions

Wat is het verschil tussen NTFS-rechten en sharerechten, en welke heeft voorrang?

NTFS-rechten worden ingesteld op het bestandssysteem zelf en gelden zowel lokaal als via het netwerk, terwijl sharerechten alleen van toepassing zijn wanneer iemand via het netwerk een gedeelde map benadert. Wanneer beide van toepassing zijn, geldt altijd de meest beperkende combinatie van de twee. In de praktijk adviseren veel beheerders om sharerechten ruim in te stellen (bijvoorbeeld ‘Iedereen – Volledig beheer’) en de fijnmazige beveiliging volledig via NTFS-rechten te regelen, zodat je alles op één plek beheert.

Hoe ga ik om met tijdelijke medewerkers of externe partijen die tijdelijk toegang nodig hebben?

Maak voor tijdelijke medewerkers en externe partijen aparte gastaccounts of tijdelijke accounts aan met een ingestelde vervaldatum, zodat de toegang automatisch wordt ingetrokken zonder handmatige actie. Koppel deze accounts aan een specifieke beveiligingsgroep met minimale rechten die alleen toegang geven tot de bestanden die strikt noodzakelijk zijn voor de opdracht. Documenteer altijd wie de toegang heeft aangevraagd, waarvoor en tot wanneer, zodat je bij een audit of incident snel kunt achterhalen waarom de toegang is verleend.

Wat moet ik doen als ik ontdek dat een ex-medewerker nog actief toegang heeft tot bedrijfsbestanden?

Deactiveer het account onmiddellijk in Active Directory of Azure Active Directory en trek alle actieve sessies in via het Microsoft 365-beheercentrum. Controleer daarna in de auditlogboeken of het account de afgelopen periode nog activiteit heeft vertoond, zodat je kunt beoordelen of er gevoelige informatie is ingezien of gekopieerd. Stel vervolgens een intern protocol op voor offboarding, waarbij het deactiveren van accounts een vaste stap is op de laatste werkdag van een medewerker.

Hoe voorkom ik dat rechten in de loop van de tijd steeds rommelier worden door uitzonderingen en ad-hocwijzigingen?

Dit fenomeen wordt ook wel ‘permission creep’ genoemd en is een van de meest voorkomende problemen in toegangsbeheer. Voorkom het door een duidelijk beleid te hanteren: rechten worden altijd via beveiligingsgroepen en rollen toegewezen, nooit direct aan individuele accounts. Voer bovendien minimaal eens per kwartaal een toegangsreview uit en gebruik tools zoals Azure AD Access Reviews om groepseigenaren automatisch te laten bevestigen of alle leden nog de juiste toegang nodig hebben.

Is multifactorauthenticatie (MFA) echt noodzakelijk als ik al sterke wachtwoorden gebruik?

Ja, MFA is ook bij sterke wachtwoorden noodzakelijk, omdat wachtwoorden op veel manieren kunnen uitlekken zonder dat de gebruiker het doorheeft — denk aan phishingaanvallen, datalekken bij externe diensten of malware op een apparaat. MFA voegt een tweede verificatiestap toe die een aanvaller niet eenvoudig kan omzeilen, zelfs niet met het juiste wachtwoord. Organisaties die werken met gevoelige gegevens of onder de AVG vallen, worden sterk aangeraden MFA verplicht te stellen voor alle accounts, en zeker voor accounts met beheerdersrechten.

Hoe weet ik of mijn huidige toegangsstructuur voldoet aan de AVG?

De AVG vereist dat persoonsgegevens alleen toegankelijk zijn voor medewerkers die deze gegevens nodig hebben voor hun functie, ook wel dataminimalisatie en toegangsbeperking genoemd. Controleer of je aantoonbaar kunt maken wie toegang heeft tot welke persoonsgegevens, hoe die toegang is verleend en wanneer deze voor het laatst is gecontroleerd. Als je dit niet kunt onderbouwen met documentatie en auditlogboeken, is er een reëel risico op een AVG-overtreding — ook als er zich nog geen incident heeft voorgedaan.

Waar begin ik als mijn organisatie nog nooit een structurele toegangsreview heeft gedaan?

Begin met een inventarisatie van je meest gevoelige mappen en bestanden, zoals die met financiële gegevens, persoonsgegevens of strategische documenten, en exporteer de huidige rechtenlijst via je beheertool. Vergelijk die lijst met de actuele personeelsgegevens en verwijder direct alle accounts van voormalige medewerkers. Stel daarna een eenvoudig RBAC-model op voor de meest kritieke afdelingen en breid dat stapsgewijs uit — een perfecte structuur in één keer is niet haalbaar, maar een eerste opschoning geeft al direct een aanzienlijke verbetering van je beveiligingspositie.