Zo formaliseert u het goedkeuringsproces voor uitzonderingen van klanten

Uitzonderingsbeheer is een verantwoordelijkheid (en hoofdpijndossier) binnen IT-governance waar alle managed service providers (MSP’s) mee te maken krijgen. Vroeg of laat moet u een regel doorbreken om ongepatchte software te laten draaien, een gebruiker speciale rechten te geven of een ander “maak een uitzondering”-scenario op te lossen – om technische of bureaucratische redenen.

Het formaliseren van het goedkeuringsproces voor uitzonderingen maakt duidelijk wie het verzoek heeft ingediend, wie het heeft goedgekeurd en wie verantwoordelijk is voor de gevolgen. Tegelijk zorgt het ervoor dat alle uitzonderingen zijn gedocumenteerd en gemonitord of beperkt kunnen worden, zodat ze geen verborgen beveiligingsgaten worden.

Wat is een “uitzondering” binnen IT-governance?

Binnen IT-governance is een uitzondering een afwijking van een regel uit uw beveiligingsbeleid of ander IT-beleid. In deze context gaat het dus niet om een softwarefout.

IT-beveiligingsbeleid wordt niet voor niets opgesteld: het zorgt ervoor dat verstandige, veilige configuraties en rechten worden uitgerold om eindgebruikers te beschermen tegen cyberdreigingen. Denk aan eisen zoals een actueel besturingssysteem op devices, volledig gepatchte software en gebruikers met beperkte rechten (volgens het principe van minste voorrecht). Deze en andere beste praktijken uit de sector en organisatiespecifieke beleidsregels beschermen infrastructuur en data, houden privégegevens veilig en beperken de schade als er toch een malware- of hackincident plaatsvindt.

Toch komt het moment dat u met tegenzin een van die regels moet doorbreken en een uitzondering moet maken. Een klant kan afhankelijk zijn van legacysoftware die niet werkt op het nieuwste besturingssysteem of software gebruiken die alleen draait met lokale beheerdersrechten. Soms zijn de redenen niet technisch: een invloedrijke C-suite-bestuurder kan erop staan zijn verouderde mobiele toestel te blijven gebruiken omdat de nieuwe modellen hem niet bevallen.

Zo helpt het formaliseren van uitzonderingen uw MSP-team

Zonder goed uitzonderingsbeheer stapelen deze ogenschijnlijk kleine afwijkingen zich op tot verborgen beveiligingsgaten die kunnen leiden tot grote datalekken of storingen. Ze ondermijnen ook de standard operating procedures (SOP), waardoor technici die niet van de uitzondering weten problemen moeilijker kunnen diagnosticeren en oplossen. Bovendien bemoeilijken ze compliance-rapportage en audits.

Met een gestructureerd kader voor het beheren van door klanten aangevraagde uitzonderingen zorgt u ervoor dat die consistent worden beoordeeld, grondig gedocumenteerd en weer verwijderd zodra ze niet langer nodig zijn. Zo komt u flexibel tegemoet aan de wensen van klanten terwijl elk verzoek traceerbaar blijft. Daarnaast beschikt u over gedocumenteerde redenen waarom een verzoek is afgewezen, mocht u klanten moeten uitleggen waarom een uitzondering niet is toegekend.

Het is cruciaal dat u altijd handelt binnen de wetgeving die zowel voor uw bedrijf als voor uw klanten geldt. Als een uitzondering juridische gevolgen kan hebben (bijvoorbeeld schending van de eisen rond gegevensverwerking uit gegevensbeschermingskaders zoals GDPR, CCPA of HIPAA), wijs het verzoek dan af en documenteer de wet die uitvoering in de weg staat.

Voorwaarden voor het formaliseren van het goedkeuringsproces voor uitzonderingen

U hebt de volgende hulpmiddelen nodig om het goedkeuringsproces voor uitzonderingen op een herhaalbare, gedocumenteerde en controleerbare manier vast te leggen die ook voor uw klanten duidelijk is:

• Een centraal documentatieplatform (zoals NinjaOne Docs, IT Glue, Confluence of SharePoint)
• Vastgelegde SOP en beveiligingsbaselines waarvan uitzonderingen mogen afwijken
• Duidelijk omschreven rollen voor beoordelaars van uitzonderingen (bijvoorbeeld Service Manager, Security Lead)
• Afspraken over de beoordelingsfrequentie (maandelijks, per kwartaal of zoals compliance voorschrijft)

Bekijk de videotoelichting Zo formaliseert u het goedkeuringsproces voor uitzonderingen van klanten.

Stap 1: bepaal wat als uitzondering telt en breng het onder in categorieën

Bepaal op basis van het beleid van uw klant wat als uitzondering geldt en deel die uitzonderingen in categorieën in. Denk aan categorieën als beveiliging (uitsluitingen voor firewall, antimalware, multifactorauthenticatie en softwarepatching), operationeel (afwijkingen in specifieke workflows of van de SLA) of toegang (verhoogde rechten of het behouden van een account na offboarding). Zet deze informatie in een tabel zodat u er later naar kunt verwijzen.

Let op: er is verschil tussen een voorkeur van een gebruiker en een uitzondering. Iemand die een lagere schermresolutie wil gebruiken maakt waarschijnlijk geen uitzondering op bestaand beleid en die wijziging vraagt vrijwel zeker geen formele goedkeuring. Dit soort voorkeuren als uitzondering documenteren levert ruis op en maakt het lastiger om uitzonderingen te herkennen die kunnen vervallen of doorlopend toezicht vereisen.

Stap 2: standaardiseer het aanvraagproces voor uitzonderingen

Een gestandaardiseerd aanvraagproces maakt het voor eindgebruikers eenvoudig om hun wensen kenbaar te maken en legt meteen een spoor van verantwoording vast. Maak een webformulier dat gestructureerde informatie vastlegt: een uniek uitzonderings-ID, de aanvraagdatum, de aanvragende partij, een omschrijving van wat er nodig is, de onderbouwing en de impact op de business als het verzoek wordt afgewezen.

Voeg extra velden toe voor intern gebruik, zoals aantekeningen over de risicobeoordeling en ruimte om aanvullende monitoring- en beperkende maatregelen vast te leggen die nodig zijn als het verzoek wordt goedgekeurd en bekende kwetsbaarheden introduceert.

De uitkomst van deze gestandaardiseerde formulieren hoort opgeslagen te worden in uw documentatieplatform.

Stap 3: richt een beoordelings- en goedkeuringsworkflow in

Leg een controleerbare beoordelings- en goedkeuringsworkflow vast die het volgende omvat:

1. Indiening: klantverzoeken worden vastgelegd via een ticket of formulier
2. Beoordeling: de Service Manager beoordeelt reikwijdte en risico’s
3. Goedkeuring: de Security Lead keurt het uitzonderingsverzoek goed of af
4. Implementatie: de technicus voert de uitzondering door na goedkeuring
5. Vastlegging: de uitzondering wordt geregistreerd in uw centrale documentatierepository

Tijdens de beoordeling en goedkeuring moet u met de klant communiceren en ervoor zorgen dat de risico’s van de uitzondering volkomen helder zijn (en laat de klant indien passend tekenen voor akkoord, zodat de verantwoordelijkheid vastligt).

Stap 4: volg uitzonderingen met een vervaldatum

Uitzonderingen horen standaard niet permanent te zijn. Geef elke uitzondering een verval- of beoordelingsdatum (bij voorkeur met automatisch aangemaakt supportticket) en vereis waar technisch haalbaar dat de uitzondering expliciet opnieuw wordt ingeschakeld.

Leg uitzonderingen op één plek vast voor volledig overzicht in plaats van verspreid over verschillende platformen. Met tags of categorieën in uw helpdesk en documentatie kunt u een rapport genereren met alle op dit moment goedgekeurde uitzonderingen.

Stap 5: schrap uitzonderingen of zet ze om in SOP

Beoordeel al uw uitzonderingen regelmatig en schrap de uitzonderingen die niet langer nodig zijn. Documenteer altijd waarom een uitzondering is verwijderd, want dat geeft context als dezelfde uitzondering opnieuw wordt aangevraagd.

Terugkerende of permanente uitzonderingen kunnen onderdeel moeten worden van uw reguliere SOP of aanleiding geven tot een beleidswijziging, mits ze geen beveiligingslek of compliance-probleem veroorzaken.

NinjaOne zorgt voor een soepel en transparant goedkeuringsproces voor uitzonderingen binnen uw MSP

NinjaOne biedt een compleet pakket MSP-tools, waaronder beheer van mobiele apparaten (MDM), remote access, helpdesk, assetbeheer en documentatietools, die integreren met eindpuntbeveiliging en scriptbare automatisering mogelijk maken. Daarmee legt u uw endpoints en gebruikers volledig vast, inclusief alle uitzonderingen die voor hen zijn goedgekeurd.

U kunt devices met een afwijkende configuratie taggen zodat ze eenvoudig te herkennen en te beoordelen zijn en met helpdeskautomatisering borgen dat uitzonderingen worden gevolgd en geschrapt zodra ze overbodig zijn. U kunt rapporten genereren om tijdens reguliere klantgesprekken de afwegingen tussen beveiliging en business te bespreken en zo voorkomen dat een uitzondering onbeheerd blijft of een blinde vlek in de beveiliging veroorzaakt.