Account niet persoonsgebonden

Een niet-persoonsgebonden account (NPA) is een account dat niet aan een specifieke natuurlijke persoon is gebonden maar wordt gebruikt door systemen, processen of groepen beheerders. Denk aan administrator accounts die door meerdere systeembeheerders worden gedeeld, serviceaccounts die applicaties gebruiken om te communiceren met databases en API's, gedeelde beheeraccounts voor specifieke beheertaken, en systeemaccounts die worden ingezet door geautomatiseerde processen zoals scheduled tasks, cron jobs en CI/CD pipelines. Er bestaan twee hoofdtypen niet-persoonsgebonden accounts: non-interactive NPA's die door systeemfuncties worden gebruikt en waarmee geen eindgebruiker kan inloggen via een interface, en interactive NPA's die door meerdere personen worden gedeeld voor specifieke beheertaken die admin-rechten vereisen. Beide typen vragen om specifieke beveiligingsmaatregelen die fundamenteel afwijken van het beheer van reguliere persoonlijke gebruikersaccounts.

Waarom is het belangrijk?

Niet-persoonsgebonden accounts vormen een aanzienlijk en vaak onderschat beveiligingsrisico wanneer ze niet goed worden beheerd, gedocumenteerd en gemonitord. Ze hebben vaak verhoogde rechten (privileged access) die verder gaan dan wat een reguliere gebruiker nodig heeft, worden door meerdere personen gebruikt waardoor individuele verantwoordelijkheid vervalt, en ontsnappen regelmatig aan het reguliere toegangsbeheer en de standaard security policies die gelden voor persoonlijke accounts zoals wachtwoordverloop en MFA-vereisten. Als een NPA wordt gecompromitteerd door een aanvaller, heeft deze direct toegang tot gevoelige systemen en data, vaak met admin-rechten die volledige controle over de hele omgeving of specifieke kritieke systemen geven.

Het fundamentele en moeilijk oplosbare probleem met gedeelde accounts is traceerbaarheid en accountability. Als meerdere personen hetzelfde account met dezelfde credentials gebruiken, kun je bij een security-incident niet vaststellen wie een bepaalde actie heeft uitgevoerd, wanneer precies, en met welke intentie. Dit maakt forensisch onderzoek na een incident bijzonder lastig of zelfs onmogelijk en kan serieuze problemen opleveren met compliance-eisen. De AVG vereist dat je kunt aantonen wie toegang heeft gehad tot persoonsgegevens en wanneer. ISO 27001 en SOC 2 auditors vragen bij certificeringstrajecten specifiek naar het beheer van geprivilegieerde en gedeelde accounts als een van de kritieke controlegebieden.

Het NCSC adviseert in zijn basisprincipes voor digitale weerbaarheid om toegang tot data en diensten zorgvuldig te beheren met het principe van least privilege. Dit geldt in versterkte mate voor niet-persoonsgebonden accounts, omdat een compromittering hiervan vaak veel grotere impact heeft dan bij een regulier gebruikersaccount vanwege de typisch hogere rechten en bredere toegang. Een gecompromitteerd admin-account kan een aanvaller in staat stellen om beveiligingsmaatregelen uit te schakelen, logging te manipuleren om sporen te wissen, data te exfiltreren of ransomware uit te rollen over het gehele netwerk. De aankomende Cyberbeveiligingswet stelt aanvullende eisen aan het beheer van geprivilegieerde identiteiten, waaronder alle typen NPA's.

Hoe pas je het toe?

Effectief beheer van niet-persoonsgebonden accounts begint met een volledige en actuele inventarisatie van alle NPA's in je hele IT-landschap. Breng systematisch alle NPA's in kaart: serviceaccounts in applicaties en middleware, gedeelde beheeraccounts voor servers en netwerkapparatuur, systeemaccounts in databases, accounts voor geautomatiseerde processen zoals scheduled tasks, backup-jobs, monitoring-agents en CI/CD pipelines, en accounts die worden gebruikt door externe partijen zoals leveranciers en managed service providers. Veel organisaties ontdekken tijdens deze inventarisatie tientallen of zelfs honderden accounts waarvan niemand meer het bestaan kende, waarvan de oorspronkelijke aanmaker al lang vertrokken is, of waarvan het doel niet meer gedocumenteerd is.

Implementeer het principe van least privilege voor elk NPA zonder enige uitzondering, ongeacht hoe tijdelijk of onbelangrijk het account lijkt. Geef alleen de rechten die strikt noodzakelijk zijn voor de specifieke functie waarvoor het account wordt gebruikt en documenteer waarom die rechten nodig zijn. Een serviceaccount dat alleen data uit een database leest heeft geen schrijfrechten nodig en zeker geen admin-rechten op de server. Een monitoring-account hoeft geen configuratiewijzigingen te kunnen doorvoeren in de systemen die het monitort. Deactiveer NPA's wanneer ze niet actief nodig zijn voor hun beoogde functie en activeer ze alleen tijdens geplande onderhoudswerkzaamheden via een goedkeuringsproces. Review de rechten van elk NPA minimaal elk kwartaal om te controleren of de toegekende rechten nog steeds proportioneel en noodzakelijk zijn.

Gebruik een Privileged Access Management (PAM) oplossing om alle NPA's centraal te beheren, te monitoren en te beveiligen. PAM-tools bieden essentiële functies als automatische wachtwoordrotatie zodat statische wachtwoorden die jarenlang ongewijzigd blijven tot het verleden behoren, volledige session recording die alle acties via het account vastlegt voor audit en forensisch onderzoek, en just-in-time access die rechten tijdelijk toekent alleen wanneer nodig met automatische intrekking na afloop van de sessie of het onderhoudsvenster. Dit verbetert zowel de vertrouwelijkheid als de traceerbaarheid van alle geprivilegieerde activiteiten aanzienlijk en geeft je organisatie de controle terug over haar meest risicovolle accounts.

In de praktijk

In de praktijk zien we dat niet-persoonsgebonden accounts een hardnekkige blinde vlek zijn in veel organisaties, zelfs in organisaties die hun reguliere gebruikersaccounts goed beheren. Bij penetratietests worden NPA's regelmatig geidentificeerd als een pad naar privilege escalation en laterale beweging door het netwerk. Een gecompromitteerd serviceaccount met databasetoegang kan een aanvaller in staat stellen om grote hoeveelheden gevoelige data te exfiltreren zonder detectie, omdat serviceaccounts vaak niet dezelfde monitoring en alerting krijgen als reguliere gebruikersaccounts. Wachtwoorden van NPA's staan regelmatig hardcoded in scripts, configuratiebestanden, environment variables of zelfs in versiebeheersystemen zoals Git, waardoor ze eenvoudig te achterhalen zijn voor een aanvaller met zelfs maar beperkte toegang tot het systeem.

SURF, de ICT-samenwerkingsorganisatie voor het Nederlandse onderwijs en onderzoek, noemt het beheer van NPA's expliciet als een van de basismaatregelen voor adequate cybersecurity. Hun concrete aanbevelingen omvatten het registreren van een verantwoordelijke persoon als accounteigenaar voor elk NPA die aanspreekbaar is op het beheer, het volledig documenteren van het doel, de rechten en de afhankelijkheden van elk account in een centraal en actueel register, en het regelmatig reviewen of de accounts nog nodig zijn, de rechten nog passend zijn voor het huidige gebruik, en de wachtwoorden recent zijn geroteerd.

De transitie naar DevOps en CI/CD pipelines heeft het aantal NPA's in organisaties significant doen groeien. Elke build pipeline, deployment tool, monitoring agent en automatiseringsscript heeft een eigen serviceaccount nodig. Zonder centraal beleid groeit dit ongecontroleerd. Infrastructure as Code principes voor het beheer van NPA's, waarbij accounts en rechten worden vastgelegd in versiebeheerde configuratiebestanden, brengen discipline en overzicht in dit landschap.

Microsoft Entra ID en vergelijkbare identity platforms bieden specifieke functionaliteit voor het beheer van NPA's, waaronder managed identities die wachtwoorden volledig overbodig maken voor serviceaccounts in cloudomgevingen. Dit elimineert een van de grootste risicofactoren rond NPA's: statische en zelden gewijzigde wachtwoorden die in configuratiebestanden staan opgeslagen. De transitie naar managed identities en certificate-based authentication verkleint het aanvalsoppervlak aanzienlijk.

Veelgestelde vragen

Wat is een niet-persoonsgebonden account?

Een account dat niet aan een specifiek persoon is gekoppeld, zoals serviceaccounts en gedeelde beheeraccounts.

Waarom zijn NPA's een beveiligingsrisico?

Ze hebben vaak hoge rechten, gedeeld gebruik bemoeilijkt traceerbaarheid en ze ontsnappen aan regulier beheer.

Hoe beveilig je serviceaccounts?

Gebruik managed identities, wachtwoordrotatie, least privilege en deactiveer accounts wanneer niet in gebruik.

Wat is een PAM-oplossing?

Privileged Access Management software die geprivilegieerde accounts centraal beheert met rotatie en recording.

Moet elk NPA een eigenaar hebben?

Ja, registreer altijd een verantwoordelijke persoon die het account beheert en periodiek reviewt.

Op zoek naar een PAM-oplossing voor jouw organisatie? Vergelijk aanbieders via IBgidsNL.