Denk je dat enkel jij en twee vertrouwde collega’s bij het mapje met contracten en loonbrieven kunnen? Kans is groot dat het er tien of twintig zijn. En niemand heeft dat ooit zo beslist.

Dat klinkt onwaarschijnlijk, maar het is doodnormaal. Toegang tot je bedrijfsdata regelt zich in Microsoft 365 meestal via groepen. Handig, want je hoeft niet iedereen apart rechten te geven. Alleen: die groepen groeien mee met je zaak, en na een paar jaar weet niemand nog precies wie waar bij kan. Het goede nieuws? Je kan dit vandaag laten checken zonder zelf iets technisch te moeten doen.

Waarom je misschien niet weet wie bij je bedrijfsdata kan

Toegang tot data is een bedrijfsvraag, geen puur technisch detail dat je blind aan de IT wegduwt. In de praktijk regel je in Microsoft 365 wie bij welke mappen kan via groepen: de groep “verkoop” krijgt toegang tot de verkoopmap, de groep “boekhouding” tot de facturen. Zet je iemand in die groep, dan krijgt hij meteen alle toegang die daaraan hangt.

Op zich prima. Maar zo’n structuur groeit organisch mee met je bedrijf. Er komt een nieuwe collega bij, een projectgroep, een externe boekhouder als gast. En omdat groepen rechten automatisch doorgeven, waaiert toegang stilletjes breder uit dan iemand ooit bewust besloot.

Volgens Microsoft geven groepen inderdaad toegang en permissies door aan hun leden. Dat is geen fout, het is gewoon hoe het bedoeld is om te werken. Het punt is dat er beheer bij hoort. Zonder dat beheer krijg je na een tijd een situatie waarin je oprecht niet meer weet wie bij wat kan. En dat wil je net wel weten. Precies dat gebrek aan overzicht wordt gevaarlijk zodra groepen elkaar gaan bevatten.

Wat er precies misgaat met ‘geneste’ groepen

Het grootste risico zit in groepen die andere groepen bevatten. Dat noemen ze nesting: je stopt een groep in een andere groep, waardoor iedereen uit de eerste groep automatisch de rechten van de tweede erbij krijgt.

Neem een voorbeeld. Je hebt een groep “alle medewerkers” en een groep “directie” met toegang tot gevoelige mappen. Zet iemand ooit die “alle medewerkers”-groep als lid in de “directie”-groep, dan kan plots je hele personeel bij die gevoelige mappen. Zonder dat iemand dat expliciet zo wou.

Vergelijk het met een sleutelbos. Je geeft een collega de sleutel van het magazijn. Maar aan die sleutelbos hangt ook, zonder dat je het merkt, de sleutel van je bureau en de kluis. Hij vraagt er niet naar, hij ziet het niet eens, maar de deur staat open.

Dit gebeurt zelden met opzet. Het is bijna nooit iemands schuld. Het groeit mee met je zaak, laag per laag, tot de structuur zo verweven is dat overzicht verdwijnt. Precies daarom is het iets om af en toe bewust te controleren. En dat controleren wordt vooral belangrijk op de momenten waarop het echt telt.

Wanneer dit een echt probleem wordt

Meestal merk je hier niets van, tot het moment waarop het echt telt. En net dan is de timing beroerd.

Denk aan deze situaties:

1. Een medewerker vertrekt na een geschil en blijkt nog toegang te hebben tot klantgegevens of prijzen.
2. Er is een datalek en je moet kunnen aantonen wie bij welke persoonsgegevens kon.
3. Een klant of verzekeraar vraagt bij een audit een overzicht van je toegangsrechten.
4. Een externe gast, die een keer voor een project werd toegevoegd, staat er jaren later nog in.

In elk van die gevallen is de vraag dezelfde: wie kon bij deze data? Kan je daar niet vlot op antwoorden, dan wordt een klein incident groot. Herstelwerk, uitzoeken wat er precies is gebeurd, mogelijk een melding doen. Dat kost tijd, geld en vertrouwen.

Gelukkig is dit precies wat een periodieke controle voorkomt. Volgens Microsoft Entra ID Governance zijn periodieke toegangscontroles net bedoeld om onnodige toegang op te sporen en op te ruimen. Niet omdat er iets stuk is, maar omdat het meegroeit en dus af en toe opkuis nodig heeft. Zoals je ook eens je sleutels opnieuw telt na een verbouwing.

Wat je vandaag aan je IT-partner kan vragen

Je hoeft dit niet zelf op te lossen, en zeker niet zelf te programmeren. Je hoeft alleen de juiste vragen te stellen. Een goede IT-partner geeft daar binnen de kortste keren een helder antwoord op.

Vraag concreet:

1. Wie kan vandaag bij onze gevoelige mappen, zoals contracten en loonbrieven?
2. Zitten er groepen in groepen, en geeft dat ergens onbedoeld brede toegang?
3. Staan er nog ex-medewerkers of externe gasten in groepen waar ze niet meer horen?
4. Wie mag bij ons zelf nieuwe groepen aanmaken?
5. Controleren we dit een keer per jaar, of gebeurt dat nooit?

Krijg je op die vragen een duidelijk overzicht terug, dan zit je goed. Blijft het stil of vaag, dan weet je meteen waar het werk zit.

Zet vandaag nog de eerste stap: stuur je IT-partner een korte mail en vraag om een overzicht van wie bij je gevoelige mappen kan. Plan meteen een half uurtje in om dat samen te overlopen. Zo weet je binnen de week met een gerust hart wie waar bij kan.

Veelgestelde vragen

Is dit een fout van Microsoft?

Nee. Dat groepen toegang doorgeven is precies hoe het bedoeld is om te werken en het maakt beheer net eenvoudiger. Het risico ontstaat niet door een bug, maar doordat de structuur meegroeit zonder dat iemand ze af en toe opkuist.

Moet ik hier zelf technische dingen voor doen?

Nee. Als zaakvoerder stel je de juiste vragen, je IT-partner doet de controle. De technische kant, zoals nagaan hoe groepen in elkaar zitten, is werk voor je IT-partner en niet iets waar jij je in moet verdiepen.

Hoe vaak moet ik dit laten checken?

Een controle per jaar volstaat voor de meeste kmo’s, plus telkens wanneer er iets verandert: een medewerker die vertrekt, een grote nieuwe klant of een nieuw project met externe partners. Zo blijft je overzicht mee met de realiteit.

Wat kost zo’n controle mij?

Dat hangt af van hoe groot en verweven je structuur is, maar een eerste overzicht is meestal beperkt werk. Bespreek dit met je IT-partner: bij een vaste maandprijs zit dit soort nazicht vaak al mee in de afspraak, zonder verrassingen achteraf.