Samenvatting

Een brandportal is pas echt veilig als externe partijen zoals bureaus, freelancers, persmensen of raadsleden geen persoonlijk account, wachtwoord of WeTransferlink nodig hebben om bij het juiste beeldmateriaal te komen. De oplossing zit in tijdelijke, rolgebaseerde toegang: een externe partij krijgt precies de map of set te zien die nodig is, met een vervaldatum, zonder dat je interne gebruikersbeheer erbij hoeft te betrekken. Zo blijft de controle bij jouw team, ook als je niet meer precies weet wie er ooit een linkje kreeg.

TL;dr

• Wachtwoorden delen of grote bestanden via WeTransfer sturen is geen toegangsbeleid, het is een gat in je beveiliging dat niemand bewust heeft gekozen.
• Een brandportal met rolgebaseerde rechten (Administrator, Manager, User) geeft externe partijen precies genoeg toegang, nooit meer.
• Single Sign On en tijdelijke links vervangen het rondsturen van accountgegevens per mail.
• Begin met één Set per externe doelgroep, wijs een interne eigenaar aan en controleer minstens jaarlijks wie nog toegang nodig heeft.
• Bij overheidsorganisaties en andere AVG gevoelige sectoren is dit ook verantwoording kunnen afleggen, niet alleen gemak.

Iedere marketingafdeling kent het moment: een bureau, fotograaf of perscontact vraagt om het laatste beeldmateriaal, en iemand stuurt een mapje via WeTransfer of een wachtwoord dat "voor nu wel werkt". Het bestand komt aan, het werk is gedaan, maar niemand controleert achteraf nog wie die link heeft doorgestuurd of hoe lang hij blijft staan.

Het probleem zit niet in het delen zelf, maar in de controle die je erover kwijtraakt zodra het buiten je eigen systeem gebeurt. Een brandportal lost dat op door externe toegang te scheiden van interne gebruikersaccounts: externe partijen krijgen een eigen, beperkte ingang, zonder dat je voor iedere freelancer of bureau een volwaardig account hoeft aan te maken.

Dat klinkt eenvoudig, maar de manier waarop je die toegang inricht, bepaalt of het ook daadwerkelijk veiliger is dan de oude situatie met mailbijlagen en gedeelde wachtwoorden.

Waarom mail en WeTransfer geen toegangsbeleid zijn

Het risico van mail en WeTransfer zit vooral in het ontbrekende overzicht. Niemand houdt structureel bij wie toegang heeft gekregen, of die toegang nog nodig is, of wanneer een link eigenlijk had moeten verlopen. Een linkje staat vaak wekenlang open, een wachtwoord wordt zelden gewijzigd nadat een samenwerking is afgelopen, en niemand voelt zich concreet verantwoordelijk voor het opruimen ervan.

Bij Veiligheidsregio Utrecht herkenden ze dat patroon. Foto's stonden verspreid over verschillende mappen en gingen, omdat bestanden te groot waren voor e-mail, vaak via WeTransfer de deur uit. Collega's konden niet zelf bij het materiaal, waardoor het communicatieteam telkens werd gevraagd om iets op te zoeken en door te sturen. In plaats van strengere regels over WeTransfer, koos het team voor een omgeving waarin collega's zelf, binnen hun eigen rechten, konden zoeken en delen, aangevuld met Single Sign On zodat niemand nog een los wachtwoord hoeft te onthouden.

Dat laatste is precies het onderdeel dat externe toegang vaak mist: interne gebruikers loggen steeds vaker in via SSO, terwijl externe partijen nog gewoon een linkje krijgen dat voor onbepaalde tijd blijft werken.

Welke rol past bij welke externe partij

Cocoon werkt met drie standaardrollen: Administrator, Manager en User. Voor extern gebruik is vooral de User rol relevant: toegang beperkt tot precies de bestanden of sets die zijn toegewezen, zonder inzage in de rest van de omgeving. Een bureau dat aan één campagne werkt, hoeft dus nooit de volledige mediabibliotheek te zien, alleen de map die voor die opdracht is klaargezet.

Voor pers of langdurige partners kan een Manager rol met beperkte rechten geschikter zijn: wel kunnen uploaden voor aanlevering, geen rechten om bestanden van andere afdelingen te verwijderen of te wijzigen. De vuistregel is simpel: geef nooit meer toegang dan iemand nodig heeft voor de taak van dit moment, ook niet als dat een paar keer extra instellen betekent. Dat sluit aan op het bredere gebruikersbeheer met rolgebaseerde rechten van Cocoon, waarin deze rollen zijn vastgelegd.

Dat uitgangspunt, bekend als het least privilege principe, staat ook in de basisprincipes voor digitale veiligheid van het Nationaal Cyber Security Centrum: toegang beheren op basis van wat iemand daadwerkelijk nodig heeft, niet op basis van gemak.

Raadsleden, pers en partners: zo ziet het eruit bij een overheidsorganisatie

Een raadslid dat een foto zoekt voor een nieuwsbrief. Een journalist die snel beeldmateriaal nodig heeft bij een lopend project. Een partnerorganisatie die het juiste logo wil voor een gezamenlijke campagne. Bij de meeste gemeenten, waterschappen en veiligheidsregio's loopt dit soort vragen nog via e-mail: iemand in het communicatieteam zoekt het bestand op, controleert of het de juiste versie is en stuurt het door, vaak via WeTransfer omdat de bestanden te groot zijn voor de mailserver.

Dat werkt, tot het te vaak gebeurt. Bij tientallen aanvragen per maand raakt een team het overzicht kwijt over wie welke versie heeft ontvangen, en of dat wel de meest actuele huisstijl was. Het verschil zit niet in hoeveel bestanden je opslaat, maar in wie er zonder tussenkomst van je eigen team bij mag.

Je zorgt voor een consistente huisstijl bij externen door hun Set te vullen met uitsluitend goedgekeurd materiaal, gelabeld met tags die aansluiten op hoe zij zoeken, en niet op hoe je eigen team het archief indeelt. Zodra beeldmateriaal in tags en Sets staat, kun je op elk moment zien welke versie extern is uitgezet, in plaats van dat te reconstrueren uit een mailbox.

Wat heb je nodig om externe toegang veilig in te richten

Om een brandportal veilig open te stellen voor externe partijen zijn een paar concrete keuzes vooraf voldoende, geen nieuw systeem.

• Een aparte set of map per externe partij, doelgroep of project, gevuld met uitsluitend goedgekeurd materiaal, zodat je nooit de hele bibliotheek hoeft open te zetten.
• Een vervaldatum of periodieke controle op wie nog toegang heeft, vooral bij eenmalige opdrachten.
• Single Sign On of tweefactorauthenticatie voor iedereen die structureel toegang heeft, zoals vaste bureaus of perscontacten.
• Eén eigenaar per externe koppeling: iemand die weet wanneer een samenwerking stopt en toegang dus kan intrekken.
• Vooraf ingestelde downloadformaten, zodat een journalist of partner niet zelf hoeft te schalen of te converteren.
• Een lijst van de mensen die nu nog via e-mail of WeTransfer worden bediend, als startpunt voor wie als eerste een gebruikersrol krijgt.

Dit is meteen het punt waarop een brandportal verschilt van een gedeelde schijf: rechten zijn per set of map in te stellen, in plaats van alles of niets. Bekijk in de actuele tarieven en modules welke opties al in je pakket zitten en wat je eventueel kunt bijboeken.

Mail, gedeelde accounts of een brandportal: wat verschilt er echt

Het verschil zit niet in hoe snel een bestand aankomt, maar in wat er na het versturen gebeurt.

Manier van delen	Controle achteraf	Toegang intrekken	Geschikt voor
Mail of WeTransfer	Vrijwel geen, na verzenden staat het bestand overal	Niet mogelijk	Eenmalig, laag risico materiaal
Eén gedeeld account	Beperkt, iedereen deelt dezelfde inloggegevens	Alleen door het wachtwoord voor iedereen te wijzigen	Kleine, vaste groep zonder wisselingen
Brandportal met rolgebaseerde toegang	Volledig, per gebruiker en per set	Direct, per persoon of per map	Bureaus, pers, raadsleden, freelancers en partners met wisselende opdrachten

Wat dit betekent voor AVG en verantwoording

Zodra beeldmateriaal herkenbare personen bevat, denk aan foto's van medewerkers, bewoners of bezoekers, valt het onder de AVG. Dat betekent niet dat er nooit iets extern gedeeld mag worden, wel dat je aantoonbaar moet maken wie toegang heeft gehad en waarom.

De Autoriteit Persoonsgegevens is daar duidelijk over: een goede beveiliging van persoonsgegevens is een voorwaarde, geen bijzaak, en het ontbreken ervan is een veelvoorkomende oorzaak van datalekken. Rolgebaseerde toegang met een vervaldatum is geen wettelijke verplichting op zich, wel een van de eenvoudigste manieren om die aantoonbaarheid in de praktijk te organiseren.

Tot slot

Een brandportal opzetten voor externe partijen komt in de praktijk neer op een gewoonte veranderen: niet meer automatisch een account of linkje sturen, maar eerst bepalen wie precies wat nodig heeft en voor hoe lang. Die keuze kost bij de eerste externe partij een paar minuten extra. Bij de tiende partij, het vertrekkende bureau, of de pers die materiaal opvraagt voor een persbericht, is het verschil tussen overzicht houden en een lijst met linkjes die niemand meer kan traceren.

Wil je zien hoe rolgebaseerde toegang en Single Sign On er in de praktijk uitzien voor jouw organisatie? Vraag een gratis demo van Cocoon aan en bekijk hoe snel je externe partijen veilig toegang geeft.

Bronnen

• NCSC, Basisprincipes voor digitale veiligheid: onderbouwt het advies om toegang te beheren op basis van wat iemand daadwerkelijk nodig heeft (least privilege), zoals toegepast op de rollen Administrator, Manager en User.
• Autoriteit Persoonsgegevens, thema Beveiliging: onderbouwt de AVG verplichting om persoonsgegevens, waaronder herkenbare personen op foto's, aantoonbaar goed te beveiligen.