Super Admin Rechten Beperken: Principle of Least Privilege

Te veel medewerkers hebben Super Admin rechten in Google Workspace. Als een van die accounts wordt gehackt, heeft de aanvaller onbeperkte toegang tot alle gebruikers, alle data en alle instellingen. Het Principle of Least Privilege betekent dat je iedereen alleen de rechten geeft die ze echt nodig hebben, niet meer.

Waarom Is Dit Een Probleem?

Super Admin kan alles: accounts verwijderen, wachtwoorden resetten, data exporteren, instellingen wijzigen en andere admins aanmaken. Als een IT-helpdesk medewerker Super Admin heeft maar alleen wachtwoorden hoeft te resetten, heeft hij 99% te veel rechten.

Aanvallers richten zich bewust op accounts met hoge privileges. Social engineering, phishing en wachtwoorddiefstal zijn effectiever als het doelaccount veel macht heeft.

Stap 1: Controleer Wie Super Admin Is

Ga naar Admin Console > Admin roles > Super Admin. Zie je meer dan 2 of 3 namen op de lijst? Dan is er werk aan de winkel.

Bepaal voor elke persoon: welke beheertaken voert hij werkelijk uit? Heeft hij echt Super Admin nodig of kan hij met minder toe?

Stap 2: Maak Custom Admin Rollen

Ga naar Admin Console > Admin roles > Create new role. Geef de rol een naam, bijv. "IT Helpdesk".

Voeg alleen de benodigde privileges toe:

• Users > Read
• Users > Reset password
• Users > Force password change at next login

Sla op. Wijs deze rol toe aan de helpdesk medewerkers en verwijder hun Super Admin rechten.

Andere voorbeelden van beperkte rollen:

• "Rapportage Beheerder" met alleen Reports privileges
• "Groepen Beheerder" met alleen Directory > Groups privileges
• "Apparaten Beheerder" met alleen Devices privileges

Stap 3: Super Admin Beschermen Met Hardware Keys

Houd Super Admin rechten bij maximaal 2 accounts. Koppel aan beide accounts een hardware beveiligingssleutel zoals een YubiKey. Hardware keys zijn de enige MFA-methode die phishing volledig blokkeert.

Activeer "Advanced Protection Program" voor Super Admin accounts via myaccount.google.com/advanced-protection. Dit vereist een hardware key bij elke inlog en blokkeert alle niet-goedgekeurde apps.

Stap 4: Super Admin Accounts Offline Bewaren

Super Admin accounts moeten niet de dagelijkse werkaccounts zijn van IT-medewerkers. Maak aparte accounts aan die alleen voor beheer worden gebruikt:

• beheerder-1@jouwdomein.nl (gebruikt door de IT-manager met YubiKey)
• beheerder-2@jouwdomein.nl (noodaccount, wachtwoord in een kluis)

De dagelijkse werkmail van de IT-manager is een normaal gebruikersaccount zonder admin-rechten.

Stap 5: Audit Log Monitoren

Stel een alert in voor Super Admin activiteit. Ga naar Alert Center > Create alert. Kies als trigger "Admin privilege granted" en stuur een notificatie naar een beveiligd e-mailadres of naar Slack.

Zo zie je onmiddellijk als iemand Super Admin rechten krijgt die je niet hebt goedgekeurd.