Support op afstand: hoe krijgt een adviseur veilig toegang?

Deel nooit wachtwoorden

Vraag een adviseur nooit de login van een collega te gebruiken en deel nooit het wachtwoord van een gebruiker. Het schendt uw beveiligingsregels, en achteraf kunt u niet zien wie wat heeft gedaan.

Hetzelfde geldt voor gedeelde accounts. Een gezamenlijke gebruiker waarmee meerdere adviseurs inloggen, maakt het onmogelijk te volgen wie wat heeft gedaan. Gebruik persoonlijke toegang.

Gedelegeerd beheer

Volgens Microsoft Learn krijgt een partner toegang tot uw omgevingen via een GDAP-relatie die een globale beheerder bij u accepteert. De aanbevolen minimale rol voor Business Central is Dynamics 365 Business Central Administrator. Daarvoor is geen aparte Business Central-licentie voor de adviseur nodig.

De adviseur wordt automatisch als gebruiker in de omgeving aangemaakt de eerste keer dat die inlogt, met een pseudoniem en de naam van het bedrijf. De handelingen zijn te zien in het change log. Microsoft noemt dat u korte relaties kunt accepteren die niet automatisch worden verlengd als de behoefte tijdelijk is.

Vraag de partner welke medewerkers toegang hebben tot uw tenant en hoe zij mensen afmelden die het bedrijf verlaten. Microsoft raadt aan dat de partner zelf bijhoudt welke pseudoniemen hun mensen bij elke klant hebben.

Beperk de toegang

Controleer de instelling Partner access. Microsoft Learn schrijft dat nieuwe partners standaard toegang krijgen tot omgevingen als alle partners zijn toegestaan. Wilt u dat voorkomen, kies dan geselecteerde partners. Wanneer een GDAP-relatie verloopt, blijft de instelling behouden, zodat de toegang kan terugkeren als de relatie wordt hersteld.

Business Central laat u de toegang beheren in het admin center. Microsoft Learn noemt deze mogelijkheden:

• Schakel partnertoegang uit op een omgeving, of sta alleen geselecteerde partners toe
• Deactiveer een bepaalde gedelegeerde gebruiker in de omgeving
• Verwijder of wijzig de rechten in de licentieconfiguraties voor gedelegeerde beheerders
• Gebruik voorwaardelijke toegang in Microsoft Entra, bijvoorbeeld de eis van meerfactorauthenticatie
• Accepteer kortlopende GDAP-relaties in plaats van permanente

Gastgebruikers, logboek en controle

Moet een externe persoon als gebruiker met gegevens werken, bijvoorbeeld een accountant, dan kunt u die als gast aanmaken in uw Microsoft Entra en een passende licentie geven. Microsoft schrijft dat een externe accountant de licentie External Accountant moet hebben en dat gedelegeerde beheerders geen boekhoudkundige diensten kunnen leveren.

Geef alleen de machtigingen die de persoon nodig heeft en verwijder ze wanneer de taak klaar is.

Zowel interne als externe beheerders kunnen gedelegeerde gebruikers in de gebruikerslijst zien en hun wijzigingen volgen in het change log, als dat voor de betreffende velden is ingeschakeld. Controleer daarom uw inrichting van het change log voordat u toegang geeft.

Vraag uw partner te documenteren wie toegang heeft en wanneer dat voor het laatst is beoordeeld.

Controleer dat het change log daadwerkelijk is ingericht om de velden te volgen waarvan u wijzigingen wilt kunnen zien. Het volgt niet alles standaard, en u kunt achteraf niet zien wat niet is gelogd.

Checklist

Loop de lijst elk half jaar door en na elke partnerwissel. Spreek met de partner af wie wie benadert als er een vermoeden van verkeerd gebruik ontstaat.

• Is de toegang gegeven via gedelegeerd beheer en niet via een gedeelde login
• Is de rol de minst noodzakelijke
• Is MFA ingeschakeld
• Is het tijdsbestek afgesproken
• Is er een verwerkersovereenkomst
• Wordt de toegang na de taak verwijderd

Bij Addverk

Wilt u weten hoe onze support werkt, schrijf ons dan.