Waarom Single Sign-On onmisbaar is voor je organisatie

Eén keer inloggen, overal veilig aan het werk

Hoeveel wachtwoorden gebruik jij dagelijks? En hoeveel daarvan zijn eigenlijk hetzelfde wachtwoord in een iets andere variant? Je bent niet de enige. In een gemiddelde culturele instelling werken medewerkers met een flink aantal systemen: e-mail, een planningspakket, ticketverkoop, financiële software, een CRM, misschien een apart systeem voor de website. Elk systeem heeft z’n eigen login. Hoe meer losse systemen, hoe meer wachtwoorden. En hoe meer wachtwoorden, hoe groter de kans dat ze worden hergebruikt, opgeschreven of gedeeld met collega’s. Begrijpelijk, maar riskant.

Single Sign-On (SSO) lost dit probleem op. Je logt één keer in en hebt veilig toegang tot alle aangesloten systemen. Geen stapel wachtwoorden meer, maar één gecontroleerd toegangspunt. En als je planning en ticketing al in hetzelfde platform zitten, zoals bij Ovatic, scheelt dat sowieso weer een login.

Wat is SSO precies?

Bij Single Sign-On authenticeer je jezelf eenmalig via een centrale identiteitsprovider, bijvoorbeeld Microsoft Entra (voorheen Azure AD). Na die ene login herkent elk aangesloten systeem je automatisch. Je hoeft niet opnieuw in te loggen als je van je planning naar je ticketverkoop schakelt, of van je dashboard naar je CRM.

In Ovatic is SSO beschikbaar op twee manieren.

De eerste is een koppeling met Microsoft Entra (Azure AD). Dit is ideaal voor organisaties die al met Microsoft 365 werken. Je medewerkers loggen in met hun bestaande organisatie-account.

De tweede is een One-Time Password (OTP) via e-mail. Dit is geschikt voor organisaties zonder Microsoft-omgeving. Bij het inloggen ontvang je een eenmalige code per e-mail. Geen wachtwoord om te onthouden of te verliezen.

Beide methoden zijn vormen van meerfactorauthenticatie, een maatregel die zowel het Nationaal Cyber Security Centrum (NCSC) als de Autoriteit Persoonsgegevens dringend aanbeveelt.

Waarom is dit belangrijk?

De Autoriteit Persoonsgegevens stelt het helder: inloggen met alleen een wachtwoord is in algemene zin onveilig. Bij systemen die persoonsgegevens bevatten (en een ticketing- en CRM-systeem bevat die per definitie) is extra beveiliging geen luxe maar een verplichting vanuit de AVG.

De AVG (artikel 32) schrijft voor dat organisaties “passende technische en organisatorische maatregelen” moeten nemen om persoonsgegevens te beschermen. Meerfactorauthenticatie is een van de meest concrete invullingen daarvan.

Wat kan er misgaan zonder goede authenticatie? Denk aan een oud wachtwoord van een vertrokken medewerker dat nog werkt. Of een gedeeld wachtwoord dat bij meerdere mensen bekend is. Een zwak wachtwoord dat via een datalek elders is uitgelekt. Of simpelweg geen zicht op wie wanneer heeft ingelogd.

Met SSO via een centrale identiteitsprovider beheer je dit centraal. Medewerker uit dienst? Account uitschakelen op één plek en de toegang tot alle systemen, inclusief Ovatic, is direct geblokkeerd.

In Ovatic kun je bovendien een einddatum instellen per medewerker. Handig voor tijdelijke krachten, stagiaires of seizoensmedewerkers: de toegang verloopt automatisch op de afgesproken datum. Zo voorkom je dat accounts van vertrokken medewerkers ongemerkt actief blijven, een van de meest voorkomende beveiligingsrisico’s in organisaties.

Toegangsbeheer: wie mag wat?

SSO regelt hoe je inlogt. Maar minstens zo belangrijk is wat je mag doen ná het inloggen. De AVG vereist dat medewerkers alleen toegang hebben tot de gegevens die ze nodig hebben voor hun functie, het zogenoemde need-to-know-principe.

Een kassamedewerker hoeft geen toegang te hebben tot financiële rapportages. Een marketingmedewerker hoeft geen kassatransacties te kunnen inzien. En een vrijwilliger die alleen de scanner bedient, hoeft helemaal niet in het CRM te kunnen.

In Ovatic werk je met rollen en rechten die precies bepalen wie wat kan zien en doen. Maar rechten toekennen is één ding. Controleren of ze nog kloppen is minstens zo belangrijk.

Controleer je rechten regelmatig

Rechten hebben de neiging om te groeien. Een medewerker krijgt tijdelijk extra toegang voor een project en houdt die rechten daarna. Iemand wisselt van functie maar de oude rechten worden niet ingetrokken. Na een jaar heeft een deel van je team meer toegang dan nodig.

Ovatic bevat een rapport waarmee je per medewerker kunt opvragen welke rollen en rechten zijn toegekend. Ons advies: bekijk dit rapport minimaal twee keer per jaar en stel jezelf de vraag: heeft deze persoon deze toegang nog nodig? In Ovatic kan je rapporten automatisch inplannen en verzenden. Plan dit rapport in zodat de controle niet vergeet.

Dit is geen bureaucratische exercitie. De Autoriteit Persoonsgegevens verwacht dat organisaties hun autorisaties “goed inrichten en vastleggen.” Bij een datalek of een AVG-controle is een actueel overzicht van wie toegang heeft tot welke gegevens een van de eerste dingen waar naar gevraagd wordt.

Praktische checklist voor je organisatie

Wil je weten of je organisatie goed zit qua toegangsbeheer? Loop deze punten langs.

Gebruiken alle medewerkers SSO of MFA om in te loggen op Ovatic? Of zijn er nog accounts met alleen een wachtwoord?

• Zijn alle accounts van vertrokken medewerkers gedeactiveerd?

  Gebruik de einddatum-functie in Ovatic voor tijdelijke krachten, zodat toegang automatisch verloopt.

• Klopt de rechtenstructuur nog?

  Draai het rechtenrapport in Ovatic en beoordeel per medewerker of de toegang passend is.

• Zijn er accounts die door meerdere mensen worden gebruikt?

  Dit is een beveiligingsrisico en maakt het onmogelijk om te achterhalen wie wat heeft gedaan.

Plan een halfjaarlijkse controle in je agenda en stel het automatisch inplannen van het rechtenrapport in. Rechten die een jaar geleden logisch waren, hoeven dat nu niet meer te zijn.

Bronnen en verder lezen

Autoriteit Persoonsgegevens: Toegang tot persoonsgegevens

Autoriteit Persoonsgegevens: Beveiligingsmaatregelen

NCSC: Factsheet Gebruik tweefactorauthenticatie

NCSC: Multifactorauthenticatie

Rijksoverheid: Persoonsgegevens beschermen (AVG)

Wil je SSO inrichten voor je organisatie of heb je hulp nodig bij het opzetten van je rechtenstructuur in Ovatic? Neem contact op en we helpen je graag.