Checklist cameratoezicht: 10 regels voor rollen, rechten en toegangsbeheer

De 10 regels voor rollen, rechten en toegangsbeheer

1. Leg vast wie verantwoordelijk is voor het cameratoezicht

Begin niet in het VMS, maar bij de organisatie. Leg vast wie verantwoordelijk is voor het cameratoezicht, wie autorisaties mag goedkeuren en wie het technische beheer uitvoert.

Maak daarbij onderscheid tussen verantwoordelijkheid voor het gebruik van camerabeelden en verantwoordelijkheid voor de techniek. Zo voorkom je dat technische beheerders zelfstandig bepalen wie toegang tot beelden krijgt.

2. Maak een rollenmatrix

Beschrijf per functie welke toegang nodig is. Een eenvoudige matrix kan bijvoorbeeld onderscheid maken tussen beveiliging, facility management, securitymanagement, technisch beheer en eventuele externe partijen.

Leg vervolgens per rol vast welke camera’s, locaties en functies toegankelijk zijn. Hierdoor wordt autorisatie een bewuste keuze in plaats van een verzameling historische rechten.

3. Pas het least-privilege-principe toe

Geef iedere gebruiker alleen de rechten die nodig zijn voor de werkzaamheden. Heeft iemand alleen livebeelden van één locatie nodig? Geef dan niet automatisch toegang tot historische beelden van alle locaties.

Hetzelfde geldt voor beheerfuncties. Rechten voor configuratie, gebruikersbeheer en beeldexport horen alleen bij functies die deze mogelijkheden daadwerkelijk nodig hebben.

4. Scheid live kijken, terugkijken, exporteren en beheren

Deze vier activiteiten hebben verschillende gevolgen en horen daarom niet automatisch binnen hetzelfde autorisatieprofiel.

• Live kijken: actuele camerabeelden bekijken voor monitoring of verificatie.
• Terugkijken: opgeslagen beelden raadplegen, bijvoorbeeld voor incidentonderzoek.
• Exporteren: beeldmateriaal buiten de reguliere VMS-omgeving beschikbaar maken.
• Beheren: gebruikers, camera’s, instellingen of andere systeemconfiguraties wijzigen.

Vooral exportrechten vragen om terughoudendheid. Binnen de dienstverlening van Adhetec worden deze rechten uitsluitend toegekend wanneer dat past binnen de geldende autorisaties, procedures en wetgeving.

5. Beperk toegang per locatie en camera

Een organisatie met meerdere gebouwen, terreinen of afdelingen hoeft niet iedere gebruiker toegang tot iedere camera te geven. Koppel toegang waar mogelijk aan de operationele verantwoordelijkheid van de gebruiker.

Een lokale beveiligingsmedewerker kan bijvoorbeeld toegang nodig hebben tot camera’s op de eigen locatie, terwijl een centrale securityfunctie een breder overzicht nodig heeft. Zo blijft de autorisatiestructuur aansluiten op de organisatie.

6. Gebruik persoonlijke gebruikersaccounts

Individuele accounts maken duidelijk welke gebruiker een handeling heeft uitgevoerd. Gedeelde accounts maken die herleidbaarheid veel lastiger.

Persoonlijke accounts ondersteunen daarmee niet alleen toegangsbeveiliging, maar ook beheer en controle. Combineer dit met passende authenticatiemaatregelen en voorkom dat inloggegevens tussen medewerkers worden gedeeld.

7. Leg een procedure voor beeldexport vast

Het exporteren van camerabeelden verdient een eigen procedure. Beschrijf wie een export mag aanvragen, wie toestemming geeft, wie de export uitvoert en voor welk doel het bestand vervolgens mag worden gebruikt.

Houd ook rekening met verstrekking aan derden. De EDPB benadrukt dat beeldmateriaal alleen aan derden mag worden verstrekt wanneer daarvoor een passende juridische basis bestaat. Een technisch beschikbare exportknop is dus geen organisatorische toestemming om beelden vrij te delen.

8. Log toegang en wijzigingen

Logging maakt achteraf inzichtelijk wat binnen de cameraomgeving is gebeurd. Professionele VMS-platformen zoals Genetec Security Center en Milestone XProtect bieden mogelijkheden om gebruikershandelingen, rechtenwijzigingen en configuratiewijzigingen vast te leggen.

Alleen loggen is niet voldoende. Bepaal ook wie de logging beoordeelt en bij welke gebeurtenissen onderzoek nodig is. Denk aan ongebruikelijke toegang, gewijzigde autorisaties of activiteiten rond een incident.

9. Trek rechten tijdig in

Autorisaties veranderen mee met de organisatie. Een medewerker kan van functie veranderen, naar een andere locatie gaan of uit dienst treden. Zonder een vast proces kunnen oude rechten ongemerkt actief blijven.

Koppel het cameratoezicht daarom aan het reguliere proces voor instroom, functiewijzigingen en uitstroom. Neem externe beheerders, beveiligingsbedrijven en andere partijen met systeemtoegang hierin mee.

10. Controleer de rechten periodiek

Een autorisatiemodel is geen eenmalige configuratie. Controleer periodiek welke gebruikers actief zijn, welke rollen zij hebben en of hun toegangsrechten nog passen bij hun werkzaamheden.

Let daarbij niet alleen op te ruime rechten. Controleer ook uitzonderingen, tijdelijke accounts, beheerdersrechten en toegang van externe partijen. Juist tijdelijke wijzigingen kunnen na verloop van tijd onderdeel van de vaste inrichting worden zonder dat daar nog een operationele reden voor bestaat.

Zo maak je de checklist praktisch toepasbaar

De tien regels worden bruikbaarder wanneer je ze vertaalt naar een periodieke controle. Leg per gebruikersrol minimaal vast welke beelden toegankelijk zijn, welke handelingen zijn toegestaan, wie de rechten goedkeurt en wanneer de autorisatie opnieuw wordt beoordeeld.

• Zijn alle actieve gebruikers bekend?
• Heeft iedere gebruiker een eigen account?
• Zijn rechten gekoppeld aan een functie of verantwoordelijkheid?
• Zijn live kijken, terugkijken, exporteren en beheren gescheiden?
• Is toegang beperkt tot relevante camera’s en locaties?
• Zijn exportrechten beperkt en procedureel geregeld?
• Worden gebruikershandelingen en wijzigingen gelogd?
• Worden vertrokken medewerkers en externe partijen tijdig verwijderd?
• Worden tijdelijke rechten automatisch of handmatig beëindigd?
• Worden rollen en autorisaties periodiek gecontroleerd?

Deze controle kijkt bewust breder dan de instellingen in het camerasysteem. Goed toegangsbeheer bestaat uit techniek én organisatorische afspraken. Zonder duidelijke verantwoordelijkheid en procedures kan zelfs een technisch goed ingericht VMS na verloop van tijd te ruime autorisaties bevatten.

Vergeet de bredere AVG-verplichtingen niet

Goed rollen- en rechtenbeheer maakt cameratoezicht niet automatisch AVG-conform. Organisaties moeten ook het doel en de juridische grondslag van het cameratoezicht bepalen, betrokkenen informeren, passende bewaartermijnen vaststellen en rekening houden met privacyrechten zoals inzage.

Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, kan een Data Protection Impact Assessment nodig zijn. De EDPB noemt grootschalige systematische monitoring van publiek toegankelijke gebieden als voorbeeld van een situatie waarin een DPIA vereist kan zijn.

Bekijk toegangsbeheer daarom als één onderdeel van de totale governance rond cameratoezicht. De techniek bepaalt wat gebruikers kúnnen doen. Het beleid en de autorisatiestructuur bepalen wat zij mógen doen.