Segregation of Duties (SoD): wat het is en hoe je het afdwingt

Segregation of Duties — in het Nederlands functiescheiding — is een van de belangrijkste controles in toegangsbeheer, en tegelijk een van de lastigste om vol te houden. In deze uitleg: wat het precies is, herkenbare voorbeelden, waarom het in de praktijk zo vaak misgaat, en hoe je SoD-conflicten voorkomt in plaats van ze achteraf te ontdekken.

Wat is Segregation of Duties?

Segregation of Duties (SoD), of functiescheiding, is het principe dat één persoon niet alle stappen van een gevoelig proces mag uitvoeren. Door taken die elkaar horen te controleren bij verschillende mensen te beleggen, voorkom je dat iemand alleen fraude kan plegen of een fout onopgemerkt kan laten. Het is een standaardcontrole in interne beheersing en een vaste eis in kaders als ISO 27001, NEN 7510 en SOX-achtige regimes.

De term wordt door elkaar gebruikt met Separation of Duties, het is precies hetzelfde. In het Nederlands hoor je functiescheiding of functiesplitsing.

Segregation of Duties: voorbeelden

SoD wordt het duidelijkst met een concreet voorbeeld. Klassiek zijn:

• Wie leveranciers of crediteuren kan aanmaken, mag niet ook betalingen kunnen goedkeuren.

• Wie een bestelling plaatst, mag niet ook de ontvangst ervan bevestigen.

• Wie gebruikersaccounts beheert, mag niet ook de audit-logs kunnen aanpassen.

In alle drie de gevallen is elk recht apart volkomen normaal. Het is de combinatie die het risico vormt: dezelfde persoon kan een proces zowel starten als afronden, zonder tweede paar ogen.

Waarom ontstaan SoD-conflicten (en waarom mislukt de handhaving)?

Het venijn zit hem hierin: toxische combinaties ontstaan bijna nooit met opzet. Ze ontstaan door opbouw. Iemand wisselt van team en houdt zijn oude rechten. Een rol krijgt er een toegangsitem bij. Een import zet iemand in een groep. Elke stap is verdedigbaar; de optelsom niet. En omdat niemand op het juiste moment die hele optelsom overziet, blijft het onzichtbaar.

Daarom mislukt de gangbare handhaving zo vaak. Veel organisaties leggen SoD vast in een autorisatiematrix in Excel die niemand bijhoudt, of controleren achteraf met een maandelijkse rapportage. Dat laatste vertelt je hooguit dat iemand al vier weken twee dingen kon die niet samen mogen, een constatering, geen controlemaatregel. En de tools die het conflict wél bij de deur hard weigeren, veroorzaken een ander probleem: de rol die het conflict veroorzaakte probeert het bij elke synchronisatie opnieuw, of iemands werk valt stil omdat hij een recht mist dat hij wél nodig heeft.

Hoe dwing je Segregation of Duties af zonder dat werk stilvalt?

De sleutel is om het conflict te voorkomen voordat het ontstaat, zonder rechten hard te weigeren of pas achteraf te melden. Dat kan met een derde aanpak: de botsende toegang vastleggen maar niet verlenen. De toegang staat klaar, maar wordt niet geprovisioneerd. Er gebeurt niets gevaarlijks, en er valt ook niets stil. tot iemand bewust kiest welke kant blijft, of het conflict vanzelf verdwijnt.

Zo pakt Joinly functiescheiding aan. Je legt één keer vast welke twee rechten conflicteren; komt een medewerker met die combinatie in aanraking, dan wordt de nieuwe toegang vastgehouden en het conflict gemeld. In een overzicht kies je per persoon welk recht hij houdt, met een verplichte motivatie — en die keuze wordt vastgelegd. Dat levert vier dingen op die de klassieke aanpak niet biedt:

• Er gaat niets verloren de vastgehouden aanvraag blijft staan; geen eindeloze strijd met je bronsystemen.

• Nooit iets afgepakt achter je rug om bestaande, werkende toegang wordt niet ingetrokken als je een regel instelt; alleen de aankomende botsing wacht.

• Een beslissing blijft staan een genomen keuze wint van de nachtelijke synchronisatie, tot iemand hem bewust omdraait.

• Het herstelt zichzelf verdwijnt het conflict later, dan komt de vastgehouden toegang vanzelf vrij.

En als een van de rechten in een systeem zit dat Joinly wel leest maar niet beheert, meldt Joinly het conflict eerlijk en houdt het open — in plaats van te doen alsof het is opgelost.

Segregation of Duties en compliance

Voor een audit is niet de vraag óf je een SoD-regel hebt, maar waarom deze persoon deze combinatie nog steeds heeft. Met een aanpak die elke keuze en elke wijziging vastlegt — wie besloot, wat behouden bleef, wat verviel, en waarom — beantwoord je die vraag met bewijs dat er al ligt. Zo wordt functiescheiding van een jaarlijkse spreadsheet-exercitie een controle die continu meeloopt.

Veelgestelde vragen

Wat is het verschil tussen Segregation of Duties en Separation of Duties? Geen. Het zijn twee benamingen voor hetzelfde principe. In het Nederlands heet het functiescheiding of functiesplitsing.

Wat is een voorbeeld van Segregation of Duties? Iemand die leveranciers kan aanmaken mag niet ook betalingen kunnen goedkeuren. De twee taken horen bij verschillende mensen, zodat er altijd een tweede controle is.

Is Segregation of Duties hetzelfde als least privilege? Nee. Least privilege betekent: niemand krijgt meer rechten dan nodig. SoD gaat specifiek over combinaties van rechten die niet samen mogen, ook al is elk recht op zichzelf terecht. Ze vullen elkaar aan.

Waarom mislukt Segregation of Duties zo vaak? Omdat conflicten geleidelijk ontstaan en handmatige controle (Excel, maandrapporten) het tempo van veranderingen niet bijhoudt. Handhaving werkt alleen als het geautomatiseerd en op het moment zelf gebeurt.

In welke compliance-kaders is SoD verplicht? Functiescheiding is een controle binnen onder meer ISO 27001, NEN 7510 en SOX-achtige regimes. (Let op: "voldoen aan" een kader is een uitspraak over een organisatie, niet over een tool.)

Verder

Wil je zien hoe je SoD-conflicten automatisch tegenhoudt in plaats van ze achteraf te ontdekken? Lees meer over functiescheiding in Joinly of plan een demo.