Het principe van 'noodzakelijke toegang' tot gegevens begrijpen

Het principe van 'noodzakelijke toegang' tot gegevens begrijpen

Het 'Need to Know'-principe voor gegevenstoegang is een fundamenteel beveiligingsconcept dat is ontworpen om de toegang tot gevoelige informatie te beperken. Volgens dit principe krijgen personen of entiteiten alleen toegang tot de gegevens die nodig zijn voor de uitvoering van hun specifieke taken of rollen. Deze aanpak minimaliseert het risico op ongeoorloofde openbaarmaking of misbruik van gegevens door ervoor te zorgen dat alleen diegenen met een legitieme en specifieke behoefte er toegang toe hebben.

Kernaspecten van het 'Need to Know'-principe

Beperkte toegang : De toegang tot informatie is beperkt tot diegenen die deze nodig hebben voor hun werkzaamheden, waardoor gegevens niet zomaar voor alle medewerkers of gebruikers beschikbaar zijn. Dit verkleint het risico op datalekken. Met bijvoorbeeld MyDocSafe kunt u de toegang tot het CRM-systeem beheren en de toegang tot AML/KYC-informatie naar behoefte beperken.

Op rollen gebaseerd toegangsbeheer (RBAC) : Toegangsrechten worden toegewezen op basis van rollen binnen een organisatie. Elke rol kan gedefinieerde verantwoordelijkheden en toegangsrechten hebben. MyDocSafe implementeert RBAC via de sectie "bedrijfsrollen", waardoor compliance-medewerkers toegang hebben tot contactpersonen en informatie over identiteitsverificatie, maar geen verkoop- of registratieworkflows kunnen starten.

Gegevensclassificatie : Gegevens worden gecategoriseerd op basis van gevoeligheid en kritikaliteit. Alleen personen met het juiste autorisatieniveau hebben toegang tot hogere classificatieniveaus. MyDocSafe onderscheidt zes gegevensclassificaties, waaronder interne bedrijfsgegevens, contactgegevens van klanten, AML/KYC-gegevens, getekende contracten en projectgegevens.

Principe van minimale bevoegdheden : Dit principe zorgt ervoor dat gebruikers het minimale toegangsniveau krijgen dat nodig is om hun werk uit te voeren, waardoor de potentiële schade wordt beperkt als inloggegevens worden gecompromitteerd.

Auditing en monitoring : Regelmatige audits en monitoring van toegangslogboeken zorgen voor naleving van het 'Need to Know'-principe en detecteren pogingen tot ongeautoriseerde toegang.

Autorisatie en training : Werknemers en gebruikers moeten de benodigde autorisatie en training hebben voordat ze toegang krijgen tot gevoelige informatie, zodat ze het belang van gegevensbeveiliging en de bijbehorende risico's begrijpen.

Het 'Need to Know'-principe is cruciaal voor het waarborgen van de vertrouwelijkheid en integriteit van gevoelige gegevens, met name in veiligheidsgevoelige omgevingen zoals het leger, de overheid, de gezondheidszorg en de financiële sector. MyDocSafe faciliteert de implementatie van dit principe via het AML/KYC-dashboard.

Voorbeeld 1: Het AML/KYC-dashboard

Als compliance officer of als ondernemer die deze rol vervult, is het essentieel om uw klanten te kennen. MyDocSafe vereenvoudigt het integreren van identiteitsverificatiestappen in klantregistratie- of onboardingworkflows, met diverse instructievideo's die hier beschikbaar zijn .

Voorheen was het bijhouden van identiteitsverificaties en het bepalen wanneer deze moesten worden vernieuwd lastig, omdat klanten toegang hadden tot meerdere portals. Klanten konden bijvoorbeeld directeur zijn van verschillende bedrijven of betrokken zijn bij diverse deals of projecten, elk met een eigen verificatieproces voor identiteitsverificatie. Het was inefficiënt en omslachtig om dezelfde directeur meerdere identiteitsverificaties te laten ondergaan voor verschillende portals.

Het MyDocSafe Contacten Dashboard, dat zowel als CRM- als compliance-dashboard fungeert, pakt dit probleem aan. Het biedt een uitgebreid overzicht van alle identiteitsverificatietests die via het platform zijn gestart, zodat een persoon niet meerdere tests hoeft te ondergaan, tenzij dit noodzakelijk is. Een tweede identiteitstest kan bijvoorbeeld vereist zijn als de eerste test alleen de identiteit controleerde en de tweede een adresbewijs en een test op politiek prominente personen (PEP) vereist.

Het dashboard toont de huidige status van alle identiteitsverificatietests en koppelt de gegevens van elke test aan de gegevens in het contactoverzicht. De status van elke test is 'actueel' of 'verlopen'. De status 'verlopen' kan handmatig of automatisch via een timer worden ingesteld (van 0 tot 24 maanden). De tabel is sorteerbaar en gepagineerd, waardoor compliance-medewerkers snel contactpersonen kunnen vinden die aandacht vereisen.

Cruciaal is dat gegevens voor identiteitsverificatie verborgen kunnen worden voor teamleden die er geen toegang toe nodig hebben. Zo heeft iedereen toegang tot hetzelfde CRM-systeem, maar zien alleen specifieke medewerkers gedetailleerde klantgegevens, zoals vereist door een goed geïmplementeerd systeem voor de bescherming van klantgegevens op basis van het 'Need to Know'-principe.

Voorbeeld nr. 2: Het 'Need to Know'-principe toepassen op HR-gegevens

Een andere cruciale toepassing van het 'Need to Know'-principe is het beheer van HR-gegevens. HR-gegevens, waaronder gevoelige informatie zoals persoonlijke gegevens van medewerkers, functioneringsgesprekken en salarisgegevens, moeten strikt gescheiden worden van klantgegevens om de privacy te waarborgen en te voldoen aan de wetgeving inzake gegevensbescherming. Met MyDocSafe kunnen organisaties afgeschermde accounts creëren die HR-gegevens scheiden van klantgegevens. Deze opzet stelt verschillende gebruikersgroepen in staat om toegang te krijgen tot specifieke soorten gegevens op basis van hun rollen en verantwoordelijkheden, waardoor alleen bevoegd personeel HR-gerelateerde informatie kan bekijken of beheren. De accounteigenaar of bestuursleden kunnen echter toezicht houden op en toegang hebben tot zowel HR- als klantgegevens, wat efficiënt beheer mogelijk maakt met behoud van strenge toegangscontroles. Deze scheiding is cruciaal voor het waarborgen van de gegevensintegriteit en het voorkomen van ongeautoriseerde toegang, en belichaamt de essentie van het 'Need to Know'-principe.

Om een HR-afdeling aan te maken in MyDocSafe, gebruik je de '+' knop op het startscherm: