Wat is ‘Soft Security’?

‘Soft Security’ verwijst naar de visuele configuratie van de gebruikersinterface. Door een profiel toe te wijzen (zoals ‘Verkooporderverwerker’ of ‘Inkoopmedewerker’), stemt u in feite de werkruimte van de gebruiker af op zijn of haar behoeften, om zo de efficiëntie en overzichtelijkheid te verbeteren.

Het belangrijkste om te begrijpen is dat een profiel en een machtigingsset twee volledig afzonderlijke concepten zijn in Business Central. Een profiel bepaalt wat een gebruiker ziet. Een machtigingsset bepaalt wat een gebruiker kan doen. Het configureren van het ene heeft absoluut geen invloed op het andere.

Business Central heeft in feite drie verschillende lagen van UI-aanpassing, die geen van alle de beveiligingslaag eronder raken. Bovenaan configureren beheerders lay-outs op profielniveau voor volledige rollen. Daaronder kunnen individuele gebruikers hun eigen werkruimte personaliseren, en die persoonlijke wijzigingen kunnen zelfs de profielinstellingen van de beheerder overschrijven. Dit alles bevindt zich volledig boven het machtigingssysteem, dat onafhankelijk functioneert.

Hoewel profielen uitstekend zijn voor de gebruikerservaring, leggen ze geen harde technische beperkingen op aan wat een gebruiker daadwerkelijk in het systeem kan doen.

3 manieren waarop gebruikers “soft security” kunnen omzeilen

Als u uitsluitend vertrouwt op het verbergen van menu-items zonder deze te ondersteunen met strikte machtigingssets, kan een nieuwsgierige of kwaadwillende gebruiker binnen enkele seconden toch toegang krijgen tot gevoelige gegevens.

1. De “Tell Me” (Zoek) functie
De zoekbalk (Alt+Q) is de meest voorkomende omzeilingsroute. Zelfs als een pagina volledig verborgen is in het Role Center van een gebruiker, zal het invoeren van de naam in de zoekbalk deze onmiddellijk weergeven. Als de onderliggende machtigingen dit toestaan, kan de gebruiker die pagina openen en gegevens direct bekijken of bewerken. Ontwikkelaars kunnen beperken welke pagina's in de Tell Me-resultaten verschijnen, maar dit is nog steeds een maatregel op UI-niveau. Het doet niets om de toegang op systeemniveau te blokkeren.

2. URL-manipulatie
Business Central is een webgebaseerde applicatie en elke pagina, elk rapport en elk record heeft een unieke ID ingebed in de URL. Een ervaren gebruiker kan eenvoudig de URL in zijn browser bewerken om rechtstreeks naar een gevoelige pagina te navigeren, waarbij het navigatiemenu volledig wordt overgeslagen. Hiervoor is geen technische expertise vereist.

3. Personalisatie en ontwerpmodus
Gebruikers kunnen hun eigen schermen ‘personaliseren’ om velden en acties weer te geven die opzettelijk uit de standaardprofielindeling zijn verwijderd. Beheerders kunnen personalisatie per profiel uitschakelen, maar zelfs dan heeft dit alleen invloed op wat er op het scherm zichtbaar is. Het beperkt niet wat het systeem de gebruiker daadwerkelijk toestaat te doen als deze een andere route vindt om binnen te komen.

Hard security: de enige echte verdediging

Om uw omgeving echt te beveiligen, moet u verder kijken dan de interface en werken met machtigingssets, die op objectniveau functioneren.

Zodra een gebruiker een actie probeert uit te voeren in Business Central (of het nu gaat om het lezen van een record, het invoeren van gegevens, het wijzigen van een veld, het verwijderen van een record of het uitvoeren van een proces) controleert het systeem of de toegewezen machtigingssets dit toestaan. Deze vijf machtigingstypen (Lezen, Invoegen, Wijzigen, Verwijderen, Uitvoeren) worden afgedwongen, ongeacht wat de gebruiker op het scherm ziet. Als een gebruiker zoekt naar de tabel “Bankrekening” zonder de machtiging Lezen, blokkeert Business Central hem onmiddellijk, ongeacht welk profiel hij heeft.

Naast beveiliging op objectniveau ondersteunt Business Central ook beveiliging op recordniveau via beveiligingsfilters. Dit betekent dat u een gebruiker niet alleen kunt beperken tot bepaalde pagina's of tabellen, maar ook tot specifieke records binnen die tabellen. Een regionale verkoopmedewerker kan bijvoorbeeld worden beperkt tot het zien van alleen de klanten in zijn eigen regio, zelfs als hij algemene toegang heeft tot de Klantenpagina.

Het beste van twee werelden

Profielen en machtigingssets zijn geen concurrerende tools. Ze vullen elkaar aan, en in een goed ontworpen autorisatiestructuur worden beide bewust ingezet.

Gebruik profielen om voor elke rol een overzichtelijke, doelgerichte werkruimte te creëren. Laat gebruikers zien wat ze nodig hebben en verwijder de rommel die hen vertraagt. Gebruik machtigingssets om de daadwerkelijke beveiligingsgrenzen te trekken, waarbij alleen toegang wordt verleend tot de objecten en records die elke rol daadwerkelijk nodig heeft.

De juiste volgorde is ook belangrijk: machtigingen moeten altijd eerst worden gedefinieerd, op basis van wat elke rol daadwerkelijk moet doen. Het profiel wordt vervolgens daaroverheen gelegd om die ervaring zo soepel en intuïtief mogelijk te maken.

Conclusie

Zie een profiel als een gordijn en machtigingssets als een gesloten deur. Een gordijn verbergt misschien wat erachter zit, maar het houdt niemand tegen om erdoorheen te lopen. Alleen een gesloten deur, gebouwd op een fundament van goed gestructureerde machtigingssets, biedt de beveiliging die uw bedrijf nodig heeft.

Vertrouwt uw Business Central-omgeving op gordijnen in plaats van sloten? Download onze whitepaper om te leren hoe u een machtigingsraamwerk ontwerpt dat uw gegevens daadwerkelijk beschermt.