Wat moet ik regelen met mijn leveranciers om veilig samen te werken digitaal?

Om veilig digitaal samen te werken met leveranciers moet je minimaal drie dingen regelen: duidelijke contractuele afspraken over gegevensverwerking en toegangsrechten, een gecontroleerde manier om externe partijen toegang te geven tot je systemen, en een proces om die toegang te beheren en tijdig in te trekken. Zonder deze drie pijlers loop je als organisatie aanzienlijke beveiligings- en compliancerisico’s. In dit artikel beantwoorden we de meest gestelde vragen over veilige digitale samenwerking met leveranciers, van de eerste afspraken tot het beheer van externe toegang.

Welke afspraken moet je vastleggen voordat je digitaal samenwerkt?

Voordat je een leverancier toegang geeft tot je digitale omgeving, leg je minimaal vast: welke gegevens zij mogen inzien, tot welke systemen zij toegang krijgen, hoe zij met vertrouwelijke informatie omgaan en wie er verantwoordelijk is bij een beveiligingsincident. Deze afspraken vormen de juridische en operationele basis voor veilig samenwerken.

Concreet gaat het om een aantal documenten en afspraken die je vooraf opstelt:

• Verwerkersovereenkomst (DPA): Verplicht onder de AVG als een leverancier persoonsgegevens verwerkt namens jouw organisatie. Hierin staat hoe zij met die gegevens omgaan, hoe lang ze worden bewaard en wat er bij een datalek moet gebeuren.
• Non-disclosure agreement (NDA): Beschermt vertrouwelijke bedrijfsinformatie die je deelt tijdens de samenwerking.
• Toegangsprotocol: Een intern document dat beschrijft welke systemen toegankelijk zijn, voor wie en onder welke voorwaarden.
• Incidentprocedure: Afspraken over hoe en binnen welke termijn een leverancier een beveiligingsincident bij jou meldt.

Hoe kleiner de leverancier, hoe groter de kans dat dit soort documentatie er nog niet is. Neem dan zelf het initiatief en lever een standaardsjabloon aan. Dat versnelt het proces en zorgt ervoor dat jouw normen worden gehanteerd.

Hoe geef je leveranciers veilig toegang tot je systemen?

Geef leveranciers alleen toegang tot wat zij echt nodig hebben, via een gecontroleerd account dat direct aan hen is gekoppeld. Gebruik nooit gedeelde wachtwoorden of bestaande medewerkeraccounts. Het principe van least privilege is hier leidend: minimale rechten, maximale controle.

In de praktijk betekent dit:

• Gastaccounts via Azure Active Directory: Binnen Microsoft 365 kun je externe gebruikers uitnodigen als gast. Zij krijgen dan toegang tot specifieke Teams-kanalen, SharePoint-sites of gedeelde bestanden, zonder dat zij toegang hebben tot de rest van je omgeving.
• Multifactorauthenticatie (MFA) verplichten: Zorg dat ook externe gebruikers zich moeten verifiëren via een tweede factor. Dit voorkomt dat een gelekt wachtwoord direct tot toegang leidt.
• Conditional Access policies: Stel in dat leveranciers alleen kunnen inloggen vanuit bepaalde landen of op apparaten die aan minimale beveiligingseisen voldoen.
• Tijdelijke toegang: Koppel de toegang aan een einddatum, zodat rechten automatisch vervallen als het project of de samenwerking afloopt.

Een goede configuratie van security binnen Microsoft 365 maakt het mogelijk om al deze maatregelen centraal te beheren, zonder dat je voor elke leverancier een apart proces hoeft op te zetten.

Wat zijn de risico’s van onbeheerde externe toegang?

Onbeheerde externe toegang is een van de meest onderschatte beveiligingsrisico’s voor organisaties. Als een leverancier toegang heeft tot je systemen zonder dat daar toezicht op is, heb je feitelijk een open deur in je digitale infrastructuur die je niet kunt bewaken.

De meest voorkomende risico’s zijn:

• Sluimerende accounts: Accounts van voormalige leveranciers die nooit zijn verwijderd en nog steeds actief zijn. Dit zijn ideale ingangspunten voor kwaadwillenden.
• Overmatige rechten: Een leverancier die ooit brede toegang nodig had maar inmiddels een kleinere rol heeft, behoudt die rechten tenzij iemand ze actief terugdraait.
• Gegevenslekken via derden: Als een leverancier zelf wordt gehackt en toegang heeft tot jouw systemen, kan die aanval zich via hun account naar jou verspreiden.
• Compliancerisico’s: Ongedocumenteerde toegang van externen kan leiden tot problemen bij een AVG-audit of ISO-certificering.

Het risico zit hem niet alleen in kwaadwillendheid, maar ook in nalatigheid. Een leverancier die een wachtwoord hergebruikt of een apparaat verliest, kan zonder het te weten een beveiligingsincident veroorzaken bij jouw organisatie.

Hoe beheer en beëindig je de toegang van een leverancier?

Leveranciersbeheer is een doorlopend proces, geen eenmalige actie. Zodra een samenwerking begint, leg je vast wie verantwoordelijk is voor het beheren van de toegangsrechten. En zodra de samenwerking eindigt, trek je die rechten direct in.

Een werkbaar proces ziet er als volgt uit:

1. Registreer elke externe gebruiker: Houd bij wie toegang heeft, tot welke systemen, en vanaf wanneer.
2. Koppel toegang aan een contract of project: Stel een einddatum in of koppel toegang aan een specifieke taak. Zo vervalt toegang automatisch of wordt er een reminder gegenereerd.
3. Voer periodieke toegangsreviews uit: Controleer minimaal elk kwartaal welke externe accounts nog actief zijn en of de rechten nog kloppen.
4. Deactiveer accounts direct bij beëindiging: Wacht niet op een formeel offboarding-moment. Zodra een leverancier zijn werk heeft afgerond, wordt het account uitgeschakeld.
5. Documenteer alles: Zowel het verlenen als het intrekken van toegang moet worden vastgelegd voor audit- en compliancedoeleinden.

Bij grotere organisaties met veel externe partijen loont het om dit proces te automatiseren via identity governance tools, zodat menselijke fouten worden geminimaliseerd.

Welke Microsoft 365-tools zijn geschikt voor veilige samenwerking met externen?

Microsoft 365 biedt meerdere ingebouwde tools waarmee je veilig kunt samenwerken met leveranciers en andere externe partijen, zonder dat je aparte systemen of platforms nodig hebt. De kracht zit in de combinatie van toegankelijkheid voor externen en centrale controle voor de beheerder.

De meest relevante tools voor veilig samenwerken met leveranciers zijn:

• Microsoft Teams (Gedeelde kanalen en gastaccounts): Nodig leveranciers uit in een specifiek Teams-kanaal. Zij kunnen chatten, vergaderen en bestanden delen zonder toegang te krijgen tot andere kanalen of teams.
• SharePoint Online: Deel documenten en projectmappen met externe partijen via beveiligde links met verloopdatum en downloadbeperking.
• OneDrive voor Bedrijven: Deel individuele bestanden of mappen veilig met externen, inclusief de mogelijkheid om toegang op elk moment in te trekken.
• Azure Active Directory B2B: De technische basis voor gastgebruikers in Microsoft 365. Hiermee beheer je centraal wie toegang heeft en welke beleidsregels voor hen gelden.
• Microsoft Purview (Information Protection): Versleutel gevoelige documenten zodat ze, ook als ze worden gedeeld, alleen leesbaar zijn voor geautoriseerde gebruikers.

De Puur Moderne Werkplek maakt gebruik van al deze Microsoft-technologieën in een samenhangende architectuur, zodat samenwerking met externen standaard veilig is ingericht.

Wanneer schakel je een IT-partner in voor leveranciersbeheer?

Je schakelt een IT-partner in voor leveranciersbeheer zodra de complexiteit of het aantal externe partijen groter wordt dan je intern goed kunt overzien. Dat is het moment waarop fouten sluipen in het beheer van toegangsrechten en de kans op beveiligingsincidenten toeneemt.

Concrete signalen dat het tijd is voor externe ondersteuning:

• Je weet niet precies wie er op dit moment toegang heeft tot je systemen.
• Accounts van voormalige leveranciers zijn nooit actief verwijderd.
• Er is geen formeel proces voor het onboarden en offboarden van externe partijen.
• Je organisatie werkt met meerdere leveranciers tegelijk en heeft moeite om het overzicht te bewaren.
• Je staat voor een audit of certificering waarbij externe toegang moet worden aangetoond en gedocumenteerd.

Een IT-partner helpt niet alleen bij de technische inrichting, maar ook bij het opstellen van beleid, het trainen van medewerkers en het inrichten van rapportages waarmee je als directeur of IT-manager altijd inzicht hebt in wie toegang heeft tot wat.

Hoe Puur ICT helpt bij veilig samenwerken met leveranciers

Wij helpen organisaties om leveranciersbeheer en externe toegang goed in te richten, van de eerste afspraken tot het dagelijkse beheer. Als Microsoft 365-specialist weten we precies welke instellingen en tools nodig zijn om samenwerking met externen veilig, overzichtelijk en compliant te maken.

Wat we voor je kunnen doen:

• Inrichten van gastaccounts en toegangsbeleid in Azure Active Directory en Microsoft 365
• Configureren van Conditional Access en MFA voor externe gebruikers
• Opzetten van een leveranciersregister en toegangsreviewproces
• Adviseren over beleid rondom ICT-beheer en externe toegang
• Doorlopend beheer en monitoring van wie toegang heeft tot jouw omgeving

Wil je weten hoe veilig jouw huidige samenwerking met leveranciers is ingericht? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal, zonder omwegen.

Gerelateerde artikelen

• Wat is een CSIRT en welke rol speelt het bij NIS2?
• Hoe zet je automatische back-ups in voor Exchange, SharePoint en OneDrive?
• Hoe werk je met meerdere mensen tegelijk aan hetzelfde document zonder versiechaos?
• Zijn bestuurders persoonlijk aansprakelijk onder de NIS2-wetgeving?
• Hoe registreer je je organisatie voor de Cyberbeveiligingswet?