Rollen en rechten in een webapplicatie: hoe regel je toegang goed?

Een recht is een enkele toestemming om iets specifieks te doen of te zien, bijvoorbeeld "facturen inzien", "een gebruiker aanmaken" of "een order goedkeuren". Een rol is een verzameling van zulke rechten die bij een bepaalde functie hoort, zoals "beheerder", "medewerker" of "klant". In plaats van elke gebruiker afzonderlijk losse rechten te geven, ken je hem een rol toe, waarmee hij in één keer alle bijbehorende rechten krijgt. Dat maakt toegangsbeheer veel overzichtelijker en minder foutgevoelig, zeker bij veel gebruikers. Verandert het takenpakket van een functie, dan pas je de rol aan en werkt dat door voor iedereen met die rol. Deze manier van werken, waarbij toegang via rollen wordt geregeld, is een beproefde standaard in webapplicaties. Het onderscheid is dus: rechten zijn de individuele toestemmingen, rollen zijn logische groepen daarvan die het beheer praktisch en veilig houden.

Omdat het direct raakt aan wie bij welke gegevens en functies kan, en fouten hierin ernstige gevolgen hebben. Volgens OWASP is verkeerd geregelde toegang (broken access control) het meest voorkomende en een van de meest kritieke risico's voor webapplicaties. Gaat het mis, dan kan een gebruiker gegevens van anderen inzien, functies gebruiken die niet voor hem bedoeld zijn, of zelfs beheerdersrechten krijgen. Dat kan leiden tot datalekken, misbruik en schade aan vertrouwen. Het risico is groot omdat toegang overal in een applicatie speelt: bij elke pagina, elke actie en elk gegeven moet worden gecontroleerd of de gebruiker er recht op heeft. Eén plek waar die controle ontbreekt, kan al een lek vormen. Bovendien zijn dit soort fouten voor kwaadwillenden relatief makkelijk te misbruiken. Daarom verdient toegangsbeheer bijzondere aandacht en hoort het zorgvuldig en consequent te worden ingericht, door de hele applicatie heen.

In de praktijk betekent "least privilege" dat je elke gebruiker precies de toegang geeft die bij zijn werk hoort, en niet meer. Je begint niet met ruime toegang die je achteraf inperkt, maar met niets, en kent gericht toe wat nodig is. Een medewerker in de klantenservice krijgt bijvoorbeeld toegang tot klantgegevens die hij nodig heeft, maar niet tot salarisadministratie of systeeminstellingen. Een externe partner ziet alleen zijn eigen dossiers, niet die van anderen. Het voordeel is tweeledig: het is veiliger, omdat de schade beperkt blijft als een account misbruikt wordt, en het is overzichtelijker voor de gebruiker, die alleen ziet wat voor hem relevant is. Het principe vraagt bij het inrichten wat denkwerk, omdat je per rol bewust bepaalt wat echt nodig is, maar het levert een veiliger en helderder systeem op. Het is een van de meest fundamentele en effectieve principes van goed toegangsbeheer.

Dat kun je laten inrichten zoals het jou uitkomt. Veel webapplicaties krijgen een beheeromgeving waarin jij zelf gebruikers kunt toevoegen, rollen kunt toewijzen en toegang kunt aanpassen, zonder tussenkomst van de bouwer. Dat is handig als er regelmatig gebruikers bij komen of veranderen, en het geeft je controle over je eigen organisatie. De onderliggende rollenstructuur (welke rollen er zijn en welke rechten daarbij horen) wordt doorgaans wel bij de bouw vastgelegd, omdat die de basis van de beveiliging vormt. Wil je later nieuwe rollen of fundamenteel andere rechten, dan loopt dat meestal via je ontwikkelpartner. Voor het dagelijkse beheer, zoals iemand toevoegen of een bestaande rol toewijzen, kun je dus vaak zelf terecht. Bespreek vooraf hoeveel je zelf wilt kunnen beheren, zodat de applicatie daarop wordt ingericht. Zo houd je grip op de dagelijkse toegang zonder afhankelijk te zijn voor elke wijziging.

Bij vertrek horen de toegangsrechten van die medewerker direct te worden ingetrokken, zodat hij geen toegang meer heeft tot je systemen en gegevens. Dit is een belangrijk maar vaak vergeten onderdeel van toegangsbeheer: accounts die actief blijven na vertrek vormen een reëel beveiligingsrisico. Een goed systeem maakt het eenvoudig om een account te deactiveren of te verwijderen, waarmee in één keer alle bijbehorende rechten vervallen, juist omdat die via de rol zijn geregeld. Het is verstandig een vast proces te hebben voor als iemand vertrekt of van functie verandert, zodat toegang altijd meebeweegt met de werkelijke situatie. Ook periodiek controleren wie er nog toegang heeft, helpt om "vergeten" accounts op te sporen. Verwerk je persoonsgegevens, dan is dit ook relevant voor de AVG. Bespreek daarom bij het inrichten van je applicatie hoe je omgaat met vertrekkende gebruikers, zodat dit soepel en veilig verloopt en er geen actieve toegang achterblijft.

Nee, dat is beslist niet genoeg, en het is een veelgemaakte fout. Het verbergen van knoppen of menu-items voor gebruikers zonder rechten verbetert de gebruikerservaring, maar het is geen echte beveiliging. De reden is dat wat je op het scherm verbergt, aan de onderkant vaak nog steeds bereikbaar is: iemand met wat technische kennis kan de verborgen functie alsnog aanroepen als de server niet controleert of het mag. Volgens OWASP is toegangscontrole die alleen aan de voorkant is geregeld een bekende kwetsbaarheid. Echte beveiliging vereist dat elke actie en elk gegeven aan de serverkant wordt gecontroleerd: bij elk verzoek beoordeelt het systeem of deze specifieke gebruiker hier recht op heeft. Het verbergen van knoppen mag daar een aanvulling op zijn voor de overzichtelijkheid, maar nooit de enige maatregel. Toegangscontrole hoort in de kern van de applicatie te zitten, niet alleen in wat de gebruiker ziet.

Rollen en rechten spelen een directe rol in het voldoen aan de AVG wanneer je persoonsgegevens verwerkt. De AVG vereist dat je zorgvuldig omgaat met wie toegang heeft tot persoonsgegevens, en dat je die toegang beperkt tot wie hem echt nodig heeft. Dat sluit precies aan bij het least-privilege-principe. Door toegang via rollen goed te regelen, zorg je dat bijvoorbeeld alleen de juiste medewerkers bij gevoelige klantgegevens kunnen, en dat anderen dat niet kunnen. Ook moet je vaak kunnen aantonen wie waar toegang toe heeft, wat makkelijker is met een heldere rollenstructuur dan met losse, ondoorzichtige rechten. Daarnaast helpt goed toegangsbeheer bij het naleven van andere AVG-eisen, zoals het kunnen inperken of intrekken van toegang. Kortom: zorgvuldig ingerichte rollen en rechten zijn niet alleen goed voor de beveiliging, maar ook een belangrijk hulpmiddel om aantoonbaar aan de privacywetgeving te voldoen bij het verwerken van persoonsgegevens.

Begin met in kaart brengen welke soorten gebruikers je webapplicatie heeft en wat elk van hen moet kunnen zien en doen. Denk in functies: wie zijn de beheerders, wie de gewone gebruikers, zijn er klanten of externe partijen, en wat hoort bij elke groep? Vertaal die functies naar rollen, en bepaal per rol welke rechten echt nodig zijn, vanuit het uitgangspunt "alleen wat nodig is". Denk ook na over bijzondere situaties, zoals tijdelijke toegang of functiewisselingen, en over hoe je toegang intrekt als iemand vertrekt. Met die informatie kan een ontwikkelpartner een veilige, overzichtelijke rollenstructuur bouwen, met de controle in de kern van de applicatie. Je hoeft de techniek niet zelf te beheersen; een goede partner vertaalt jouw organisatie naar een passend toegangsmodel en zorgt dat het veilig is opgezet. Een korte verkenning maakt vaak al duidelijk hoe de rollenstructuur eruit moet zien en waar je op moet letten.