RBAC: rollen definiëren in het MKB zonder bureaucratie

Role-Based Access Control klinkt als een IT-architectuur-feest, maar in het MKB is het gewoon: schrijf op welke 4–6 typerollen je hebt en welke systemen elke rol standaard krijgt.

Na je eerste toegangsmatrix valt iets op: elke nieuwe sales-medewerker krijgt precies dezelfde 6 systemen. Elke nieuwe developer ook. Dat patroon vang je in een rol. Dat heet RBAC — Role-Based Access Control. In het MKB hoef je er niks moeilijks van te maken.

Hoeveel rollen heb je nodig?

Minder dan je denkt. Voor een MKB van 20–60 mensen kom je zelden boven de 8 rollen uit:

1. Sales (AE + SDR)
2. Engineering / Developer
3. Operations / Support
4. Finance / Boekhouding
5. Marketing
6. HR / People Ops
7. Management / Leadership
8. External / Consultant (vaak ingeperkte toegang)

Tip: match je rollen op je bestaande afdelings-structuur, niet op abstracte IAM-categorieën. Als er intern "Sales" op staat, noem het dan ook Sales in je toegangsbeheer.

Wat hoort bij een rol?

Per rol leg je vast:

• Birthright-toegang: systemen die iedereen in deze rol standaard krijgt. Zie ook birthright-beleid.
• Optionele toegang: systemen die vaak wél nodig zijn maar niet automatisch. Wordt per persoon aangevraagd.
• Verboden toegang: systemen waar deze rol expliciet geen toegang toe mag hebben (bijv. Sales geen toegang tot HR-mailbox).

Een voorbeeld: rol "Sales"

Birthright: M365 E3, Slack, Salesforce, LinkedIn Sales Nav, 1Password, Calendly. Optioneel: HubSpot (content), Loom (video's). Verboden: Exact (boekhouding), AWS.

Dat is het. Schrijf dit op, zet hem in je toegangsbeheer-tool, en elke nieuwe sales-hire krijgt binnen 10 minuten de juiste spullen via één klik.

De valkuil: rol-creep

Na twee jaar zie je soms 18 rollen staan waarvan er 11 ooit voor één uitzondering zijn aangemaakt. Voorkom dit door:

• Elke rol jaarlijks te reviewen: is er meer dan 1 persoon met deze rol? Nee → opheffen.
• Uitzonderingen NIET als nieuwe rol maar als individuele aanpassing te loggen.
• Rol-namen kort en generiek te houden (Sales, niet "Sales-Team-NL-Q4-2025").

Hoe zit dit met M365 security-groups?

Prima combinatie. In de praktijk definieer je je rollen als security-groups in Entra ID; onze M365-governance-gids laat zien hoe je die automatisch als AccessProfiles binnenhaalt via directory-sync. Dan zijn rol-definities en lidmaatschap hetzelfde systeem.

Hoe rollen samenwerken met onboarding-processen lees je in de onboarding IT-checklist.