Wat doe je als al je beheerders tegelijk zijn buitengesloten? Zonder voorbereiding sta je dan machteloos. Een break-glass-account, ook wel noodaccount, is je verzekering: een supergebruiker die je alleen in geval van nood gebruikt.
Waarom je een break-glass-account nodig hebt
Een domein met maar één beheerder is kwetsbaar. Raakt die beheerder zijn 2SV kwijt, gaat de telefoon kapot of vertrekt diegene plots, dan kan niemand nog beheertaken uitvoeren. Een noodaccount voorkomt dat scenario.
Google raadt aan om sowieso meerdere supergebruikers te hebben (richtlijn is drie tot vijf), maar het aantal bewust beperkt te houden om de aanvalsoppervlakte klein te houden. Het break-glass-account is daarbinnen het laatste vangnet.
Wat een break-glass-account is
Het is een supergebruikersaccount dat losstaat van personen en dat niemand voor dagelijks werk gebruikt. Het bestaat uitsluitend om toegang te herstellen wanneer de gewone beheerders zijn buitengesloten of niet beschikbaar zijn.
Het account aanmaken en beveiligen
Het account moet sterk beveiligd zijn, want het heeft de hoogste rechten. Tegelijk mag de beveiliging niet afhankelijk zijn van één persoon of één apparaat dat zelf kan uitvallen. Daarom registreer je altijd minstens twee factoren, zodat één verloren sleutel je nooit buitensluit.
Break-glass-account opzetten
- Maak in Directory > Gebruikers een nieuw account aan met een neutrale naam, bijvoorbeeld
noodbeheer. - Ken via Account > Beheerdersrollen de rol Supergebruiker toe.
- Stel een zeer sterk, uniek wachtwoord in en sla het niet op in dagelijkse systemen.
- Registreer minstens twee fysieke beveiligingssleutels en genereer daarnaast offline back-upcodes.
- Bewaar wachtwoord en factoren in een fysieke kluis of een gescheiden, streng beveiligde wachtwoordmanager.
- Documenteer de noodprocedure zodat meerdere vertrouwde personen het account kunnen activeren.
Bewaar de gegevens nooit binnen de omgeving zelf
Sla de inloggegevens van het break-glass-account nooit op in dezelfde omgeving die het moet redden. Als je wachtwoordmanager of mailbox onbereikbaar is, en daar staan je noodgegevens, dan werkt het hele vangnet niet. Bewaar offline.
Misbruik voorkomen en gebruik monitoren
Een account met supergebruikersrechten is een aantrekkelijk doelwit. Omdat het zelden wordt gebruikt, valt misbruik minder snel op. Daarom monitor je elk gebruik strikt.
Waarschuwing bij elke aanmelding
Stel een melding in die afgaat zodra het break-glass-account inlogt. Elk gebruik hoort een geplande noodactie te zijn; een onverwachte aanmelding wijst op misbruik en vraagt om onmiddellijk onderzoek.
In de Admin Console regel je dit via een reporting rule (de opvolger van de oude waarschuwingsregels). Ga naar Rapportage > Controleren en onderzoeken > Aanmeldingslogboek, bouw een voorwaarde op de gebruikersnaam van het noodaccount en zet bij de actie Stuur naar supergebruikers aan. Controleer daarnaast periodiek het auditlogboek, roteer de inloggegevens na elk gebruik en test minstens jaarlijks of het account nog werkt.
Onderhoud en testen
Een noodaccount dat niet werkt op het moment dat je het nodig hebt, is waardeloos. Plan een periodieke test waarin je controleert of het wachtwoord, de beveiligingssleutels en de toegang tot de kluis allemaal nog kloppen.
Zet een terugkerende test in je agenda
Noteer een herinnering om het break-glass-account elk kwartaal te testen en de back-upcodes te verversen. Een onbeheerd noodaccount verloopt of raakt vergeten precies wanneer je het hard nodig hebt.
Hoeveel break-glass-accounts heb ik nodig?
Meestal volstaat één goed beveiligd account, maar voor grotere organisaties zijn er twee aan te raden voor extra redundantie. Houd het totale aantal supergebruikers wel beperkt om de aanvalsoppervlakte klein te houden.
Mag ik het account voor gewone taken gebruiken?
Nee. Dagelijks gebruik verhoogt het risico en maakt misbruik moeilijker te herkennen. Houd het strikt voor noodgevallen.
Hoe beveilig ik het tegen phishing?
Gebruik fysieke beveiligingssleutels in plaats van sms of een eenmalige code. Die zijn bestand tegen phishing en niet afhankelijk van een telefoon. Registreer er minstens twee zodat een verloren sleutel je niet buitensluit.
Wat doe ik na elk gebruik?
Roteer het wachtwoord, controleer het auditlogboek op de uitgevoerde acties en berg de gegevens weer veilig op in de kluis.
Hoe weet ik zeker dat een aanmelding legitiem is?
Koppel elk gebruik aan een geregistreerd noodgeval met datum, persoon en reden. Komt er een melding binnen zonder bijbehorend incident, behandel die dan meteen als mogelijke inbraak en start onderzoek.
Verloopt het wachtwoord van een ongebruikt account?
Een wachtwoord verloopt niet vanzelf, maar je beleid kan rotatie afdwingen en sleutels kunnen na verloop van tijd onbruikbaar raken. Daarom test je het account periodiek in plaats van te vertrouwen dat het blijft werken.