# Strict Mode en granulaire toegangscontrole

> Strict Mode ruilt globale rechten voor granulaire toegangscontrole op objectniveau, zodat Regular Users alleen zien wat aan hen is toegewezen. Plus de rollen.

Source: https://tidalcontrol.com/nl/docs/personnel/strict-mode-and-granular-access-control

**Strict Mode** is een geavanceerde beveiligingsinstelling in Tidal Control die **granulaire toegangscontrole** implementeert op objectniveau. In plaats van globale rechten krijgen Regular Users alleen toegang tot de specifieke controls, assets en risks waarvoor ze expliciet zijn toegewezen. Je ziet dat het aanstaat aan de groene **Strict Mode** indicator rechtsboven in de interface, naast "Ask TidalBot".

## Object-level rollen begrijpen

In Strict Mode krijgen gebruikers **twee lagen van rollen**: globale gebruikersrollen én object-specifieke rollen per control, bedrijfsmiddel of risico.

### Globale gebruikersrollen (ongewijzigd)

De drie globale rollen gelden in Strict Mode precies zoals overal elders.

**Read Only User:**
- Kan toegewezen objecten bekijken
- Geen uitvoeringsrechten op enig object
- Geen object toewijzing mogelijk

**Regular User:**
- Kan worden toegewezen aan specifieke objecten
- Uitvoeringsrechten afhankelijk van object-level rol
- Ziet alleen toegewezen objecten

**Super User:**
- Volledige toegang tot alle objecten (bypass Strict Mode)
- Kan object-level rollen toewijzen aan andere gebruikers
- Beheert Strict Mode configuratie

### Object-level rollen (Strict Mode specifiek)

In Strict Mode worden de volgende aanvullende rechten toegepast op Regular Users.
 
Deze rechten kunnen per compliance object (control, risk, asset) ingesteld worden.

**Bekijker (Viewer):**
- **Alleen lezen toegang** tot het specifieke object
- **Kan object details bekijken** en historische data raadplegen
- **Geen wijzigingen** mogelijk aan object of gerelateerde taken
- **Geen bijdrage** aan tests of evidence verzameling

> **info:**

De Bekijker-rol is nog in ontwikkeling en kan nog niet toegewezen worden. Gebruik hiervoor de Read Only User-rol.

**Uitvoerder (Executor):**
- **Alles van Bekijker** plus uitvoeringsrechten
- **Krijgt automatisch Bijdrager-rol** op nieuwe execution taken
- **Kan hiermee:** 
   - **evidence uploaden** en taak status bijwerken
   - **Berichten plaatsen** in object discussions
   - **Kan object niet wijzigen** of verwijderen

**Beoordelaar (Assessor):**
- **Alles van Bekijker** plus beoordelingsrechten
- **Krijgt automatisch Bijdrager-rol** op nieuwe assessment taken
- **Kan hiermee:** 
   - **evidence uploaden** en taak status bijwerken
   - **Berichten plaatsen** in object discussions
   - **Kan object niet wijzigen** of verwijderen

**Eigenaar (Owner):**
- **Alles wat een Uitvoerder of Beoordelaar kan** plus beheerrechten
- **Object aanmaken, wijzigen en verwijderen**
- **Taken plannen** en deadlines instellen
- **Andere gebruikers toewijzen** aan het object
- **Volledige verantwoordelijkheid** voor object lifecycle

**Voorbeeld scenario: Control A.01 "Informatiebeveiligingsbeleid"**

**Alice (Bekijker):**
- ✅ Kan control details bekijken
- ✅ Kan implementatie status zien
- ✅ Kan historische wijzigingen bekijken
- ❌ Kan geen taken uitvoeren
- ❌ Kan geen evidence uploaden
- ❌ Kan control niet wijzigen

**Bob (Uitvoerder):**
- ✅ Alles wat Alice kan
- ✅ Kan execution taken uitvoeren
- ✅ Kan evidence uploaden en berichten plaatsen
- ✅ Kan implementatie status bijwerken
- ❌ Kan control configuratie niet wijzigen
- ❌ Kan andere gebruikers niet toewijzen

**Charlie (Eigenaar):**
- ✅ Alles wat Bob kan
- ✅ Kan control configuratie wijzigen
- ✅ Kan taken plannen en deadlines instellen
- ✅ Kan andere gebruikers toewijzen als Uitvoerder, Beoordelaar of Eigenaar
- ✅ Kan control archiveren of verwijderen

> **tip:**

Gebruik Plannen om de toewijzing van rollen aan taken te automatiseren. 

## Rechten in één oogopslag

Er zijn twee sets rollen: **master data rollen** die je toewijst op een control of asset, en **activity rollen** die je toewijst op een losse taak, execution, assessment of issue. De onderstaande tabellen vatten samen wat elke rol precies mag.

### Master data rollen (control / asset)

<table>
  <thead>
    <tr>
      <th>De rechten die deze rol verleent</th>
      <th>Geen rol toegewezen</th>
      <th>Uitvoerders</th>
      <th>Beoordelaars</th>
      <th>Eigenaren</th>
    </tr>
  </thead>
  <tbody>
    <tr><td>Lezen / inzien van de master data zelf (velden, attributen, gekoppelde master data)</td><td>ja</td><td>ja</td><td>ja</td><td>ja</td></tr>
    <tr><td>Wijzigen / verwijderen van de master data (omschrijving, attributen, relaties, toewijzingen)</td><td>nee</td><td>nee</td><td>nee</td><td>ja</td></tr>
    <tr><td>Automatisch toegewezen op geplande <strong>Execution</strong>-activiteiten</td><td>nee</td><td>ja, als bijdrager</td><td>nee</td><td>ja, als eigenaar</td></tr>
    <tr><td>Automatisch toegewezen op geplande <strong>Assessment</strong>-activiteiten</td><td>nee</td><td>nee</td><td>ja, als bijdrager</td><td>ja, als eigenaar</td></tr>
    <tr><td><em>(geërfd)</em> leestoegang tot activiteiten gekoppeld aan het object</td><td>nee</td><td>ja, alle</td><td>ja, alle</td><td>ja, alle</td></tr>
    <tr><td><em>(geërfd)</em> contribute-toegang tot activiteiten gekoppeld aan het object</td><td>nee</td><td>nee</td><td>ja, alle</td><td>ja, alle</td></tr>
    <tr><td><em>(geërfd)</em> admin-toegang tot activiteiten gekoppeld aan het object</td><td>nee</td><td>nee</td><td>nee</td><td>ja, alle</td></tr>
  </tbody>
</table>

### Activity rollen (taak / execution / assessment / issue)

<table>
  <thead>
    <tr>
      <th>De rechten die deze rol verleent</th>
      <th>Geen rol toegewezen</th>
      <th>Bijdrager</th>
      <th>Eigenaar</th>
    </tr>
  </thead>
  <tbody>
    <tr><td><em>(lezen)</em> Lezen / inzien</td><td>nee</td><td>ja</td><td>ja</td></tr>
    <tr><td><em>(bijdragen)</em> Werken aan de activiteit (reactie plaatsen, evidence uploaden)</td><td>nee</td><td>ja</td><td>ja</td></tr>
    <tr><td><em>(bijdragen)</em> Anderen toewijzen en de bijdrager-rol geven (via Assignments of @mention)</td><td>nee</td><td>ja</td><td>ja</td></tr>
    <tr><td><em>(bijdragen)</em> De activiteit afronden (taak sluiten, effectief / ineffectief zetten)</td><td>nee</td><td>ja</td><td>ja</td></tr>
    <tr><td><em>(bijdragen)</em> Meldingen ontvangen in de daily digest (subscription)</td><td>nee</td><td>ja</td><td>ja</td></tr>
    <tr><td><em>(admin)</em> De activiteit bijwerken (scope, periode, deadline, enz.)</td><td>nee</td><td>nee</td><td>ja</td></tr>
    <tr><td><em>(admin)</em> De activiteit verwijderen</td><td>nee</td><td>nee</td><td>ja</td></tr>
    <tr><td><em>(admin)</em> De activiteit reviewen</td><td>nee</td><td>nee</td><td>ja</td></tr>
  </tbody>
</table>

> **info:**

Een **Super User** houdt altijd volledige toegang, ongeacht deze toewijzingen, en elke gebruiker met een globale leesrol houdt leestoegang tot het master data-record zelf. Strict Mode beperkt *wie master data mag wijzigen* (Eigenaren) en *welke activiteiten een gebruiker ziet en waaraan die kan werken*.

## Object-level rollen toewijzen

Alleen een Super User kan object-level rollen toewijzen, op één object of in bulk.

### Rollen toewijzen als Super User

Object-level rollen wijs je toe vanuit de eigen Details-sectie van het object, één gebruiker per keer.

**Toegang tot rol management:**
1. **Ga naar het specifieke object** (Control, Asset, of Risk)
2. **Open de "Details" sectie** in de object zijbalk
3. **Selecteer gebruikers** uit de organisatie lijst
4. **Kies de object-level rol** per gebruiker (Uitvoerder, Beoordelaar, of Eigenaar)
5. **Bevestig toewijzing** om toegang te verlenen

### Bulk rol toewijzing

Door meerdere objecten tegelijk te selecteren kun je dezelfde eigenaar aan allemaal toewijzen in één actie.

**Efficiënte toewijzing voor meerdere objecten:**
1. **Navigeer naar de overzichtspagina** van het betreffende object (control, risk en/of asset) 
2. **Selecteer alle relevante objecten** met checkboxes links in overzicht
3. **Relevante knoppen verschijnen** bovenaan de tabel
4. **Kies "Toewijzen aan"** en kies een gebruiker uit de lijst
5. **De gebruiker heeft nu de Eigenaar-rol** op alle geselecteerde objecten

## Rechten overerving en hiërarchie

Toegang wordt niet altijd direct toegewezen: het koppelen van een asset aan een control, of een taak aan een control, neemt rechten mee.

### Asset-Control relaties

**Wanneer een Asset gekoppeld is aan Maatregelen:**
- **Asset-eigenaar** krijgt automatisch Bekijker-rechten op gekoppelde Maatregelen
- **Control-eigenaar** krijgt automatisch Bekijker-rechten op gekoppelde Middelen
- **Expliciete rollen** overschrijven geërfde rechten
- **Wijzigingen in koppelingen** updaten automatisch rechten

### Control-Taak relaties

**Wanneer een Taak gekoppeld is aan Maatregelen:**
- **Control-eigenaar** krijgt automatisch Eigenaar-rechten op gekoppelde Taken
- **Control-uitvoerder** krijgt automatisch Bijdrager-rechten op gekoppelde execution taken
- **Control-beoordelaar** krijgt automatisch Bijdrager-rechten op gekoppelde assessment taken
- **Expliciete rollen** overschrijven geërfde rechten
- **Wijzigingen in koppelingen** updaten automatisch rechten

> **info:**

Hetzelfde geldt voor Asset-Taak relaties

## Wanneer Strict Mode gebruiken

Strict Mode is de extra administratie waard wanneer compliance data gecompartimenteerd moet worden en niet alleen bijgehouden.

**Verschil met standaard modus:**
- **Standaard modus** - Regular Users kunnen alle compliance objecten zien en bewerken, en kunnen bijdragen aan alle taken
- **Strict Mode** - Regular Users kunnen alleen aan objecten werken waar ze expliciete rechten voor hebben
- **Zero-trust principe** - Geen toegang tenzij expliciet verleend
- **Verhoogde beveiliging** - Ideaal voor grote organisaties met gevoelige compliance data

**Wanneer Strict Mode gebruiken:**
- **Grote organisaties** met veel afdelingen en compliance objecten
- **Gevoelige compliance data** die compartimentering vereist
- **Regulatoire vereisten** voor data access controle
- **Multi-tenant omgevingen** binnen één organisatie
- **Strikte audit vereisten** voor toegang tot compliance informatie

Stuur dan een e-mail naar support@tidalcontrol.com en wij richten het voor je in. Aan het gebruik van Strict Mode zijn additionele licentiekosten verbonden.

## Volgende stappen

Nu je Strict Mode begrijpt:
- **Evalueer organisatie behoefte** aan granulaire toegangscontrole
- **Design role strategy** gebaseerd op business requirements
- **Plan geleidelijke implementatie** met pilot groepen
- **Develop governance procedures** voor ongoing rol management
- **Train team managers** op hun toegangscontrole verantwoordelijkheden