Door Anoniem: Als je een account van een support medewerker toegang geeft tot ALLE gegevens van ALLE klanten, ben je niet goed snik. Een support-medewerker heeft toegang nodig tot alle gegevens waar die support over kan geven, voor elke klant die contact op kan nemen om support te krijgen. Wat hier niet klopt is dat zo'n medewerker kennelijk gegevens over alle klanten in een keer of snel achter elkaar door kan opvragen. Als een medewerker bij gegevens moet kunnen over de klant die die op dat moment aan de telefoon heeft dan heeft die alleen een vorm van toegang nodig waarmee per keer de gegevens van de juiste klant benaderd kunnen worden. Alles in een query opvragen moet die medewerker simpelweg niet kunnen. Batchgewijs alle postcode-huisnummercombinaties doorlopen om alle klanten te vinden moet ook niet kunnen, daar is een vorm van rate limiting of herkennen en blokkeren van ongebruikelijke toegangspatronen nodig. Blokkeren van parallelle logins, al helemaal vanaf verschillende locaties, lijkt me ook heel ...