Rollen en governance
Functiescheiding (SoD): gevaarlijke rechtencombinaties tegenhouden
Functiescheiding (Segregation of Duties) voorkomt dat één persoon twee rechten heeft die samen fraude of fouten mogelijk maken, zoals facturen aanmaken én goedkeuren. KoppelHet regelt dat met Joinly, dat zulke combinaties bewaakt op de toegang die vanuit het HR-systeem in Microsoft Entra ID en applicaties wordt toegekend, en een nieuwe botsing tegenhoudt voordat die ontstaat.
Wat het is
Functiescheiding is een van de oudste controles in interne beheersing. Wie een betaling invoert, hoort hem niet zelf goed te keuren. De regel is simpel, de uitvoering niet. Gevaarlijke combinaties ontstaan door opbouw: een teamwissel waarbij oude toegang blijft staan, een rol die er iets bij krijgt, een import.
In veel organisaties staat functiescheiding in een Excel-matrix of een controle achteraf. Dan kan een verboden combinatie weken bestaan voordat iemand hem ziet. ISO 27001, NEN 7510 en SOX-achtige kaders hebben functiescheiding als vaste controle.
Hoe Joinly het regelt
- Je legt vast welke twee rechten niet samen mogen. De regel geldt beide kanten op.
- Krijgt iemand de tweede kant erbij, dan zet Joinly die toegang klaar maar geeft hem niet vrij.
- Je kiest wie welk recht houdt, of het conflict lost zich op als iemand van rol wisselt.
- Bestaande toegang blijft staan. Alleen nieuwe botsingen wachten op een keuze.
- Wie beide rechten heeft, staat zichtbaar in een eigen conflicten-tabblad.
- Een conflict kan via een workflow de leidinggevende inseinen of een goedkeuring starten.
- Elke keuze en wijziging wordt gelogd: wie, wat en waarom.
Wat KoppelHet doet
Functiescheiding is zo sterk als het overzicht van rechten. KoppelHet brengt in de intake in kaart in welke systemen de kritieke rechten zitten, zoals het financiële pakket of het ERP, en of Joinly daar een koppeling voor heeft. Ontbreekt die, dan voegt Joinly een integratie toe of loopt het via de SCIM Gateway.
Joinly
Verder bij Joinly
Joinly is de IAM-software van KoppelHet. Op joinly.app staat hoe het product dit onderdeel regelt, met schermen, prijzen en een demo.
Veelvoorkomende koppelingen
AFAS Profit → Microsoft Entra ID
AFAS koppelen met Microsoft Entra ID
Nmbrs → Microsoft Entra ID
Nmbrs Entra ID koppeling: Microsoft-accounts vanuit de salarisadministratie
Visma Raet YouForce → Microsoft Entra ID
YouForce Entra ID koppeling: Microsoft-accounts en leidinggevenden uit Visma Raet
Visma Raet YouForce → Omada
YouForce Omada koppeling: Visma Raet als gezaghebbende bron voor identiteiten in Omada Identity
OIVisma Raet YouForce → One Identity
YouForce One Identity koppeling: medewerkers en afdelingen uit Visma Raet in One Identity Manager
Veelgestelde vragen
Raakt iemand toegang kwijt die hij nodig heeft?
Nee. Bestaande toegang blijft staan. Alleen een nieuwe botsende toekenning wacht op een keuze.
Wat is een voorbeeld van een SoD-conflict?
Betalingen invoeren en betalingen goedkeuren. Of bestellingen plaatsen en de ontvangst ervan bevestigen.
Helpt functiescheiding bij een audit?
Ja. Elke keuze staat gelogd met wie, wat en waarom. Daarmee laat je zien dat de controle werkt, niet alleen dat hij bestaat.
Verder lezen
Meer over Identity en access management
Identity en access management: het overzicht
Lifecycle
Rollen en governance
- Rollen en RBACToegang op basis van functie, afdeling en locatie uit HR.
- Functiescheiding (SoD)Gevaarlijke rechtencombinaties tegenhouden voordat ze ontstaan.
- Toegangsevaluatie en auditlogFeitelijke naast bedoelde toegang, en elke wijziging gelogd.
Koppelingen
- HR als bronHet HR-systeem bepaalt wie een account krijgt, met welke gegevens.
- Microsoft Entra IDAccounts, groepen en licenties in Entra ID vanuit HR.
- Active DirectoryOn-premise AD en hybride Exchange via een agent zonder open poort.
- Applicatie-provisioningAccounts en rollen in je bedrijfsapplicaties, vanuit HR.
- SCIM en SCIM GatewayDe standaard voor provisioning, ook voor applicaties zonder SCIM.
Compliance en sectoren
- NIS2 en de CyberbeveiligingswetWat de zorgplicht vraagt van toegangsbeheer, en wat niet.
- IAM in het onderwijsMedewerkers van schoolbesturen, klaar voor het Normenkader IBP.
- IAM bij de overheidGemeenten, provincies en waterschappen, met de BIO en ENSIA.
- IAM in de zorgFlexkrachten, meerdere dienstverbanden en NEN 7510.