Identiteits- en toegangsbeheer - Patronen
Lees meer over Goed Architectuurde Trust → Identiteits- en toegangsbeheer
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Architectuur | ✅ Toegangscontroles verifiëren identiteit expliciet op elk verzoek, onafhankelijk van netwerklocatie of apparaat |
| Platform | Architectuur | ✅ Identiteitsgebaseerde beveiliging vervangt netwerkgebaseerde Trust aannames |
| Platform | Organisatie | ✅ Toegangsbeslissingen houden rekening met wie toegang aanvraagt (authenticatie), wat ze mogen doen (autorisatie) en context (apparaat, locatie) |
| Platform | Documentatie | ✅ Beveiliging architectuur documenten identiteit als de primaire Trust grens, niet netwerk perimeter |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Architectuur | ⚠️ Gebruikers op het bedrijfsnetwerk of VPN worden betrouwbaar geacht en bredere toegang verleend op basis van alleen de netwerkpositie |
| Platform | Architectuur | ⚠️ Toegangscontroles vertrouwen op netwerkperimeter in plaats van identiteitsverificatie |
| Platform | Organisatie | ⚠️ Toegangsbeslissingen houden geen rekening met contextsignalen (apparaat, locatie, tijd, gedragspatronen) |
| Platform | Documentatie | ⚠️ Beveiligingsarchitectuur behandelt netwerklocatie als primaire Trust grens |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Organisatie | ✅ Oplossingen maken gebruik van alle vier Salesforce-toegangslagen: Organisatie (licenties, voorzieningen), Object (CRUD), Veld (FLS), Record (delen) |
| Platform | Organisatie | ✅ Toegangsmodel is ontworpen top-down (organisatie → object → veld → record) en gevalideerd bottom-up |
| Platform | Organisatie | ✅ Standaardinstellingen voor de hele organisatie (OWD) zijn ingesteld op Privé voor objecten met gevoelige gegevens |
| Platform | Organisatie | ✅ OWD’s die zijn ingesteld op Openbaar alleen-lezen, zijn beperkt tot verwijzingsobjecten (producten, prijslijsten) waarbij een brede zichtbaarheid het bedrijf ondersteunt zonder risico bloot te stellen |
| Platform | Organisatie | ✅ Beperkingen op organisatieniveau (licenties, IP-bereiken, inloguren, machtigingen voor voorzieningen) definiëren baselinemogelijkheden voor gebruikerspopulaties |
| Platform | Organisatie | ✅ Objectmachtigingen (via profielen en machtigingensets) bepalen de toegang voor maken, lezen, bewerken en verwijderen van elk object voor gebruikerssegmenten |
| Platform | Organisatie | ✅ Beveiliging op veldniveau beschermt gevoelige velden, zelfs wanneer objecttoegang wordt verleend |
| Platform | Organisatie | ✅ Delen op recordniveau gebruikt rollenhiërarchie en regels voor delen op basis van gedocumenteerde bedrijfsvereisten |
| Platform | Organisatie | ✅ Toegang wordt opzettelijk uitgebreid vanuit beperkende baseline, niet beperkt na toegestane standaardinstellingen |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Organisatie | ⚠️ Toegangsmodel maakt geen gebruik van alle vier lagen (organisatie, object, veld, record) |
| Platform | Organisatie | ⚠️ OWD’s worden ingesteld op Openbaar lezen / schrijven voor gemak tijdens de ontwikkeling zonder beperking plannen |
| Platform | Organisatie | ⚠️ Te tolerante OWD’s die vroeg worden ingesteld, worden exponentieel moeilijker te beperken naarmate het gegevensvolume groeit en bedrijfsprocessen kristalliseren |
| Platform | Organisatie | ⚠️ Beveiliging op veldniveau is niet geconfigureerd en vertrouwt alleen op toegangscontroles op object- of recordniveau |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Organisatie | ✅ Multi-factorenauthenticatie (MFA) wordt afgedwongen voor alle gebruikers die toegang hebben tot productieomgevingen (verplicht voor UI-toegang) |
| Platform | Organisatie | ✅ MFA wordt uitgebreid naar bevoorrechte bewerkingen, waaronder bulkgegevensexports, machtigingswijzigingen en administratieve configuratie |
| Platform | Organisatie | ✅ Single Sign-On (SSO) gebruikt SAML 2.0 of OpenID Connect-protocollen |
| Platform | Organisatie | ✅ Sessie time-out is correct geconfigureerd: 2 uur voor standaardgebruikers, 15-30 minuten voor beheerders en gebruikers met toegang tot gegevens met beperkingen |
| Platform | Organisatie | ✅ IP-beperkingen worden afgedwongen voor administratieve profielen en integratiegebruikers |
| Platform | Organisatie | ✅ Inloguren beperken serviceaccounts tot verwachte operationele vensters |
| Platform | Organisatie | ✅ Eigen apparaatactivering verifieert logins vanaf niet-herkende apparaten; MFA- en IP-beperkingen voegen bescherming toe voor accounts met hoge privileges |
| Platform | Organisatie | ✅ Als SSO is ingeschakeld, hebben goedgekeurde beheerders directe inlogtoegang (breekglasprocedures) |
| Platform | Organisatie | ✅ De relatie tussen gebruikers en entiteiten die inloggen bij Salesforce is 1:1 (geen gedeelde gebruikersaccounts) |
| Platform | Organisatie | ✅ API-toegangscontrole voorkomt dat gebruikers authenticeren via niet-geverifieerde verbonden apps |
| Platform | Benoemde gegevens | ✅ Benoemde inloggegevens en externe inloggegevens beheren authenticatie centraal met rotatiemogelijkheden |
| Platform | Benoemde gegevens | ✅ Benoemde inloggegevens abstracte authenticatiedetails uit code, waardoor inloggegevens kunnen worden bijgewerkt zonder codewijzigingen |
| Platform | Benoemde gegevens | ✅ Inloggegevens worden nooit ingebed in code, configuratiebestanden of versiebeheer |
| Platform | Apex | ✅ Methoden die authenticatie uitvoeren, gebruiken benoemde inloggegevens om gebruikersnaam / wachtwoordstromen af te handelen |
| Platform | Apex | ✅ Geen gebruikersnamen of wachtwoorden worden weergegeven in code in leesbare indelingen (geen hard-coded waarden of tekenreeksen) |
| Platform | Aura | ✅ Methoden die authenticatie uitvoeren, gebruiken benoemde inloggegevens om gebruikersnaam / wachtwoordstromen af te handelen |
| Platform | Aura | ✅ Geen gebruikersnamen of wachtwoorden worden weergegeven in code in leesbare indelingen |
| Platform | Lightning webcomponenten (LWC) | ✅ Methoden die authenticatie uitvoeren, gebruiken benoemde inloggegevens |
| Platform | Lightning webcomponenten (LWC) | ✅ Er worden geen gebruikersnamen of wachtwoorden weergegeven in code |
| Integratie | API | ✅ OAuth 2.0 JWT-bearerstroom wordt gebruikt voor server-naar-server-integraties in vertrouwde omgevingen (voorkeur voor productie-integraties) |
| Integratie | API | ✅ OAuth 2.0 webserverstroom wordt gebruikt voor server-naar-server integraties die gebruikerscontext vereisen |
| Integratie | API | ✅ OAuth 2.0-apparaatstroom wordt gebruikt voor headless apparaten; CLI en CI / CD-tooling gebruiken webserverstroom (sf org login web) of JWT-bearerstroom (sf org login jwt) - apparaatstroom is geblokkeerd voor de standaard verbonden app Salesforce CLI vanaf 28 augustus 2025 |
| Integratie | API | ✅ Gebruikersnaam-wachtwoord OAuth-stroom wordt niet gebruikt; bestaande integraties die erop vertrouwen, worden gemigreerd naar JWT-bearer- of clientinloggegevensstroom |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Organisatie | ⚠️ MFA wordt niet afgedwongen voor toegang tot productieomgevingen |
| Platform | Organisatie | ⚠️ Inlogconfiguraties komen niet overeen met Salesforce MFA-vereisten |
| Platform | Organisatie | ⚠️ MFA wordt niet uitgebreid tot bevoorrechte bewerkingen (bulkexports, machtigingswijzigingen, beheerconfiguratie) |
| Platform | Organisatie | ⚠️ Sessietime-out is niet geconfigureerd of is buitensporig permissief (>24 uur) |
| Platform | Organisatie | ⚠️ Sessiebeleidsvormen maken geen onderscheid tussen standaardgebruikers en beheerders/gebruikers die toegang hebben tot Beperkte gegevens |
| Platform | Organisatie | ⚠️ IP-beperkingen worden niet afgedwongen voor administratieve profielen en integratiegebruikers |
| Platform | Organisatie | ⚠️ Serviceaccounts hebben geen inloguren die zijn beperkt tot verwachte operationele vensters |
| Platform | Organisatie | ⚠️ Accounts met hoge privileges vertrouwen op niets anders dan apparaatactivering - geen MFA- of IP-beperkingen toegevoegd |
| Platform | Organisatie | ⚠️ Als SSO is ingeschakeld, hebben geen goedgekeurde beheerders directe inlogtoegang (geen glasbreukprocedures) |
| Platform | Organisatie | ⚠️ De relatie tussen gebruikers en entiteiten is niet 1:1 (gedeelde gebruikersaccounts bestaan) |
| Platform | Organisatie | ⚠️ API-toegangscontrole is niet ingeschakeld |
| Platform | Benoemde gegevens | ⚠️ Inloggegevens worden rechtstreeks ingebed in code, configuratiebestanden of versiebeheer |
| Platform | Apex | ⚠️ Gebruikersnamen en wachtwoorden worden weergegeven in code in leesbare indelingen |
| Platform | Apex | ⚠️ Authenticatie wordt ad hoc afgehandeld zonder consistente implementatie |
| Platform | Aura | ⚠️ Authenticatie wordt ad hoc afgehandeld zonder benoemde inloggegevens |
| Platform | Aura | ⚠️ Gebruikersnamen en wachtwoorden worden weergegeven in code |
| Platform | Lightning webcomponenten (LWC) | ⚠️ Authenticatie wordt ad hoc afgehandeld zonder benoemde inloggegevens |
| Platform | Lightning webcomponenten (LWC) | ⚠️ Gebruikersnamen en wachtwoorden worden weergegeven in code |
| Platform | Zakelijk | ⚠️ Er bestaan geen SLA’s en vereisten voor gebruikersprofielen en het verwijderen van voorzieningen |
| Integratie | API | ⚠️ Gebruikersnaam-wachtwoord OAuth-stroom wordt gebruikt wanneer veiligere OAuth-stromen beschikbaar zijn |
| Integratie | API | ⚠️ OAuth-bereiken zijn te tolerant (volledige toegang wanneer beperkt bereik voldoende is) |
| Integratie | API | ⚠️ Clientgegevens (client-ID, clientgeheim) worden onveilig opgeslagen in code- of configuratiebestanden |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Organisatie | ✅ Rolhiërarchie diepte is 5-7 niveaus maximum (vermijden van prestaties overhead en oplossen van complexiteit) |
| Platform | Organisatie | ✅ Machtigingensets en groepen machtigingensets bieden flexibele, additieve toegang zonder profielproliferatie |
| Platform | Organisatie | ✅ Machtigingensets verlenen toegang voor specifieke functies, toepassingen of tijdelijke verhoogde machtigingen |
| Platform | Organisatie | ✅ Groepen machtigingensets combineren gerelateerde machtigingensets met mogelijkheden voor negeren voor uitzonderingen |
| Platform | Organisatie | ✅ Alle functionele toegang wordt verleend via machtigingensets en groepen machtigingensets (niet profielen), wat flexibiliteit biedt naarmate taakrollen zich ontwikkelen |
| Platform | Organisatie | ✅ Transactiebeveiligingsbeleid breidt autorisatie uit met realtime contextuele evaluatie |
| Platform | Organisatie | ✅ Transactiebeveiligingsbeleid detecteert en blokkeert afwijkend gedrag (bulkgegevensdownloads die patronen overschrijden, inloggen vanuit onverwachte geografische gebieden, machtigingswijzigingen buiten wijzigingsvensters) |
| Platform | Organisatie | ✅ IP-beperkingen zijn geconfigureerd voor zeer gevoelige bewerkingen of gegevenstoegang |
| Platform | Organisatie | ✅ Een unieke API-only integratie gebruiker is geconfigureerd voor elke integratie |
| Platform | Apex | ✅ Alle code toegang tot gegevens dwingt CRUD en FLS met behulp van WITH USER_MODE, WITH SYSTEM_MODE trefwoorden of Security.stripInaccessible () methoden |
| Platform | Apex | ✅ SOQL-query’s gebruiken WITH USER_MODE of WITH SYSTEM_MODE trefwoorden expliciet op basis van bedrijfsvereisten |
| Platform | Apex | ✅ DML-bewerkingen gebruiken Security.stripInaccessible () voor toegangsafdwinging vóór insert / update / upert-bewerkingen |
| Platform | Apex | ✅ Database-DML-instructies declareren expliciet gebruikers- of systeemmodus voor gegevensbewerkingen |
| Platform | Apex | ✅ Databasebewerkingen gebruiken stripInaccessible () methoden om query- en subqueryresultaten te filteren |
| Platform | Apex | ✅ Trefwoorden voor delen (met delen, zonder delen, overgenomen delen) worden op de juiste manier gebruikt op basis van bedrijfsbeveiligingsvereisten |
| Platform | Ontwerpstandaarden | ✅ Gebruikscases voor het verlenen van verhoogde machtigingen (Alle gegevens wijzigen, Alle gegevens weergeven) zijn duidelijk gedocumenteerd met zakelijke rechtvaardiging |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Organisatie | ⚠️ De rollenhiërarchie is dieper dan 5-7 niveaus, waardoor er overhead ontstaat bij het delen van berekeningen en het oplossen van problemen met complexiteit |
| Platform | Organisatie | ⚠️ Rollenhiërarchie verleent brede toegang zonder zakelijke rechtvaardiging |
| Platform | Organisatie | ⚠️ Profielen worden herhaaldelijk gekloond voor kleine machtigingsvariaties, waardoor tientallen profielen met onduidelijke verschillen ontstaan |
| Platform | Organisatie | ⚠️ Profielen bevatten toegangscontroles voor metagegevens (moeten machtigingensets gebruiken) |
| Platform | Organisatie | ⚠️ Transactiebeveiligingsbeleid is niet geïmplementeerd om afwijkend gedrag te detecteren |
| Platform | Organisatie | ⚠️ IP-beperkingen zijn niet geconfigureerd voor zeer gevoelige bewerkingen of gegevenstoegang |
| Platform | Organisatie | ⚠️ API-only gebruikers zijn niet geconfigureerd of worden gedeeld binnen meerdere integraties |
| Platform | Organisatie | ⚠️ Alle gegevens weergeven of Alle gegevens wijzigen worden verleend zonder gedocumenteerde rechtvaardiging |
| Platform | Apex | ⚠️ SOQL / SOSL-query’s en DML-bewerkingen worden uitgevoerd in de standaard systeemmodus zonder expliciete toegangscontroles |
| Platform | Apex | ⚠️ CRUD en FLS afdwinging is inconsistent of ontbreekt |
| Platform | Apex | ⚠️ SOQL vertrouwt op WITH SECURITY_ENFORCED, dat is verwijderd en veroorzaakt nu een compilatiefout (vervangen door WITH USER_MODE) |
| Platform | Apex | ⚠️ Trefwoorden voor delen worden inconsistent of helemaal niet gebruikt |
| Platform | Ontwerpstandaarden | ⚠️ Gebruikscases voor het verlenen van verhoogde machtigingen zijn niet duidelijk gedocumenteerd |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Data 360 | ✅ RBAC (rollen, profielen, machtigingensets) bepaalt platformtoegang (wie kan Data 360 gebruiken), ABAC bepaalt gegevenstoegang (welke gegevens ze zien op basis van kenmerken) |
| Platform | Data 360 | ✅ AI-agenten worden uitgevoerd in de context van de aanvragende gebruiker (namens), dus door agenten gegenereerde query’s worden beperkt door de toegang van die gebruiker in plaats van te worden uitgevoerd met toegang op systeemniveau |
| Platform | Documentatie | ✅ Taxonomie van gegevensclassificatie is gedocumenteerd met kenmerkdefinities, afdwingingsregels en zakelijke rechtvaardiging |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Data 360 | ⚠️ Toegang die gegevensclassificatie moet volgen, wordt afgedwongen via rollenhiërarchie en delen, die dit niet kunnen uitdrukken, in plaats van te reiken naar op kenmerken gebaseerde toegangscontrole |
| Platform | Data 360 | ⚠️ FLS bypass: gebruikers zonder toegang op veldniveau halen gegevens op via API- of SOQL-query’s die FLS niet afdwingen |
| Platform | Data 360 | ⚠️ AI-agenten voeren een query uit op gegevens zonder deze uit te voeren in de context van de aanvragende gebruiker; door agenten gegenereerde query’s omzeilen toegangsbesturingselementen op object-, veld- en recordniveau |
| Platform | Data 360 | ⚠️ Agentuitvoeringscontext omvat geen kenmerken van gebruiker namens; agenten werken met toegang op systeemniveau |
| Platform | Documentatie | ⚠️ Taxonomie van gegevensclassificatie is ongedocumenteerd; kenmerkdefinities variëren per team waardoor inconsistente afdwinging ontstaat |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Organisatie | ✅ Kritieke impact accounts (systeembeheerders, integratiegebruikers, geautomatiseerde procesaccounts) worden geïdentificeerd en bijgehouden in activumvoorraad |
| Platform | Organisatie | ✅ Kritieke impact accounts vertegenwoordigen doelen van hoge waarde als gevolg van verhoogde privileges die brede platformtoegang bieden |
| Platform | Organisatie | ✅ Hardware beveiligingssleutels of authenticator apps zijn vereist voor MFA (niet SMS, die kwetsbaar is voor SIM-swapping) |
| Platform | Organisatie | ✅ Inlog-IP-bereiken zijn beperkt tot bekende administratieve locaties |
| Platform | Organisatie | ✅ Inloggen waarschuwingen en kennisgevingen van machtigingswijzigingen zijn ingeschakeld |
| Platform | Organisatie | ✅ Driemaandelijkse toegang beoordelingen worden uitgevoerd met gedocumenteerde attest |
| Platform | Organisatie | ✅ Breekglasprocedures bestaan voor noodtoegang met controle na gebruik |
| Integratie | Serviceaccounts | ✅ OAuth-stromen worden gebruikt voor integratie- en serviceaccounts (nooit gebruikersnaam-wachtwoord) |
| Integratie | Serviceaccounts | ✅ IP-beperkingen worden afgedwongen voor integratiegebruikers |
| Integratie | Serviceaccounts | ✅ Credential rotatie schema’s worden geïmplementeerd (kwartaal of per beleid) |
| Integratie | Serviceaccounts | ✅ Afwijkende API-gebruikspatronen worden bewaakt via Event Monitoring |
| Integratie | Serviceaccounts | ✅ Elke integratie heeft een speciale service-account met minimaal vereiste machtigingen (niet gedeelde “integratiegebruiker” met brede toegang) |
| Integratie | Serviceaccounts | ✅ Serviceaccounts passen de minste rechten strikt toe, omdat ze onbeheerd werken |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Organisatie | ⚠️ Kritieke impactaccounts (beheer, integratie, automatisering) worden niet geïdentificeerd, bijgehouden of geïnventariseerd |
| Platform | Organisatie | ⚠️ Systeembeheerders gebruiken op sms gebaseerde MFA in plaats van hardwarebeveiligingssleutels of authenticator-apps |
| Platform | Organisatie | ⚠️ Kritieke impact accounts hebben geen inloguur of IP-beperkingen |
| Platform | Organisatie | ⚠️ Er zijn geen waarschuwingen geconfigureerd voor inloggen of machtigingswijzigingen voor geprivilegieerde accounts |
| Platform | Organisatie | ⚠️ Toegang tot accounts met kritieke gevolgen wordt nooit onregelmatig beoordeeld of beoordeeld (niet per kwartaal) |
| Platform | Organisatie | ⚠️ Er bestaan geen glasbreukprocedures voor toegang tot noodgevallen |
| Integratie | Serviceaccounts | ⚠️ Eén “API User” account wordt gedeeld binnen meerdere integraties met de machtiging Alle gegevens wijzigen |
| Integratie | Serviceaccounts | ⚠️ Serviceaccounts gebruiken gebruikersnaam-wachtwoordauthenticatie wanneer OAuth beschikbaar is |
| Integratie | Serviceaccounts | ⚠️ Service-accountgegevens gebruiken statische wachtwoorden die jarenlang ongewijzigd zijn (geen rotatie) |
| Integratie | Serviceaccounts | ⚠️ Serviceaccounts hebben buitensporige machtigingen die verder gaan dan wat integratie vereist |
| Integratie | Serviceaccounts | ⚠️ Afwijkende API-gebruikspatronen voor serviceaccounts worden niet bewaakt |
Patronen
| Waar te zoeken | Hoe goed eruitziet |
|---|---|
| Platform | Proces | ✅ Identiteitslevenscyclus omvat: Leveringen (maken met baselinetoegang), Aanpassing van toegang (toekennen/intrekken naarmate rollen veranderen), Periodieke hercertificering (kwartaalvalidatie), Deprovisioning (onmiddellijke intrekking) |
| Platform | Organisatie | ✅ SCIM (Systeem voor interdomeinidentiteitsbeheer) is geïmplementeerd voor geautomatiseerde levering vanuit identiteitsleveranciers |
| Platform | Proces | ✅ Leveringen maken accounts met baseline toegang overeenkomende functie, geactiveerd door HR-systeemevents |
| Platform | Proces | ✅ Aanpassing van toegang verleent extra machtigingen naarmate rollen worden uitgebreid en trekt machtigingen in wanneer rollen veranderen |
| Platform | Proces | ✅ Periodieke hercertificering vindt elk kwartaal plaats waarbij managers de toegang voor hun teams beoordelen en valideren |
| Platform | Proces | ✅ Het verwijderen van voorzieningen trekt toegang onmiddellijk in wanneer het dienstverband eindigt of de rol Salesforce niet langer vereist |
| Platform | Organisatie | ✅ Geautomatiseerde detectie identificeert gebruikers die niet hebben ingelogd binnen 90 dagen en activeert toegang beoordelingswerkstromen |
| Platform | Organisatie | ✅ Just-in-time (JIT) levering maakt gebruikers automatisch vanuit SSO indien van toepassing |
Anti-patronen
| Waar te zoeken | Hoe slecht eruitziet |
|---|---|
| Platform | Organisatie | ⚠️ SCIM-leveringen worden niet geïmplementeerd ondanks integratie met identiteitsleveranciers |
| Platform | Proces | ⚠️ Nieuwe gebruikers worden handmatig gemaakt zonder standaard onboardingprocedures |
| Platform | Proces | ⚠️ Initiële gebruikerstoegang is inconsistent of gebaseerd op het kopiëren van bestaande gebruikers |
| Platform | Proces | ⚠️ Toegangswijzigingen voor rolwijzigingen of overdrachten zijn vertraagd of onvolledig |
| Platform | Proces | ⚠️ Offboarding is vertraagd; voormalige medewerkers behouden toegang na beëindiging (niet deactivering op dezelfde dag) |
| Platform | Organisatie | ⚠️ Er bestaat geen automatisering voor gebruikersprofielen (alleen handmatig maken van gebruikers) |
| Platform | Proces | ⚠️ Er bestaan geen campagnes voor hercertificering van toegang (geen driemaandelijkse of jaarlijkse beoordeling) |
| Platform | Proces | ⚠️ Onnodige toegang die wordt geïdentificeerd tijdens hercertificering, wordt niet verwijderd |
| Platform | Proces | ⚠️ Toegangshercertificering is niet strikt voor geprivilegieerde accounts, inter-organisatorische toegang, externe gebruikers |
| Platform | Organisatie | ⚠️ Slapende accounts (geen login in 90+ dagen) accumuleren zonder beoordeling of deactivering |