Wat houdt deze control in?
De toewijzing en het beheer van authenticatie-informatie zoals wachtwoorden, tokens en certificaten moet worden gecontroleerd via een formeel beheerproces.
Waarom is dit verplicht?
Slecht beheerde authenticatie-informatie is een primaire aanvalsvector via phishing, credential stuffing en diefstal.
Praktische implementatie
- Verplicht gebruik van een wachtwoordmanager
- Stel sterk wachtwoordbeleid in (lengte boven complexiteit)
- Roteer wachtwoorden bij vermoeden van compromittering
- Beheers uitgifte van tokens en certificaten centraal
Aandachtspunten voor de overheid
Gedeelde wachtwoorden zijn niet toegestaan; elk systeem en elke gebruiker heeft eigen unieke credentials.
Relatie met andere controls
- 5.16 – Identiteitsbeheer
- 8.5 – Beveiligde authenticatie
- 7.7 – Clear desk / clear screen: automatisch vergrendelen bij het verwijderen van de smartcard of het token (7.07.01)
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert de toewijzing en het beheer van authenticatie-informatie (wachtwoorden, tokens, certificaten) via een formeel proces. De overheidsmaatregelen zijn hier streng en concreet: MFA is verplicht voor het aanloggen op de digitale werkomgeving, internetbereikbare accounts en beheeraccounts — in twee toegestane vormen (wachtwoordloos, of wachtwoord + tweede factor), met mitigerende maatregelen bij uitzonderingen die door proceseigenaar en CISO zijn goedgekeurd; de organisatie biedt alle medewerkers een wachtwoordmanager aan; en wachtwoordeisen worden geautomatiseerd afgedwongen. Slecht beheerde authenticatie-informatie is een primaire aanvalsvector.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Verplicht MFA voor het aanloggen op de digitale werkomgeving, internetbereikbare accounts en beheeraccounts, in een van de twee toegestane vormen (wachtwoordloos of wachtwoord + tweede factor).
- ›Regel dat uitzonderingen op MFA voorzien zijn van mitigerende maatregelen, goedgekeurd door proceseigenaar en CISO.
- ›Bied alle medewerkers een wachtwoordmanager (of vergelijkbare oplossing) aan.
- ›Dwing de wachtwoordeisen geautomatiseerd af (lengte boven complexiteit) en sta geen gedeelde wachtwoorden toe.
- ›Beheer de uitgifte van tokens en certificaten centraal en roteer credentials bij vermoeden van compromittering.verdieping
Bewijs dat je kunt verzamelen
- ›MFA-configuratie voor werkomgeving, internetbereikbare en beheeraccounts
- ›Overzicht van MFA-uitzonderingen met mitigerende maatregelen en goedkeuring
- ›Bewijs dat een wachtwoordmanager aan medewerkers is aangeboden
- ›Configuratie waaruit geautomatiseerde afdwinging van wachtwoordeisen blijkt
- ›Centraal beheer van tokens en certificaten
Wat je bij een audit moet kunnen aantonen
- ›Dat MFA is afgedwongen voor de verplichte accounttypen
- ›Dat uitzonderingen zijn goedgekeurd en gemitigeerd
- ›Dat een wachtwoordmanager beschikbaar is voor alle medewerkers
- ›Dat wachtwoordeisen geautomatiseerd worden afgedwongen en geen gedeelde accounts bestaan
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is MFA-beleid voor de verplichte accounttypen vastgesteld?
- ›Is de uitzonderingsprocedure (goedkeuring proceseigenaar + CISO) belegd?
- ›Is voorzien in een wachtwoordmanager en geautomatiseerde afdwinging?
- ›Is MFA daadwerkelijk actief op de verplichte accounts?
- ›Zijn uitzonderingen gemitigeerd en goedgekeurd?
- ›Is de wachtwoordmanager uitgerold?
- ›Blijft MFA effectief en gedekt bij nieuwe accounts?
- ›Worden wachtwoordeisen continu afgedwongen?
- ›Worden credentials geroteerd bij incidenten?
Gekoppelde overheidsmaatregel(en)
De entiteit past MFA toe in deze twee vormen:
1. Wachtwoordloze toegang, zoals een pincode in combinatie met een hardware token of persoonlijk uniek certificaat (passkey).
2. Wachtwoordtoegang in combinatie met minimaal een tweede factor.
Indien MFA niet mogelijk is voor deze accounts, worden andere mitigerende maatregelen genomen.
Bij het nemen van mitigerende maatregelen wordt de CISO betrokken.
De proceseigenaar keurt de mitigerende maatregelen goed.
Waar mogelijk en veilig wordt MFA met federatieve authenticatievoorzieningen zoals Single Sign On en een Stepping Stone-oplossing worden gecombineerd toegepast.
Voor beheer en monitoring van authenticatiegegevens:
• wordt authenticatie-informatie uitgegeven met formele vastgestelde procedures, nadat de identiteit van de gebruiker met voldoende zekerheid is vastgesteld;
• worden Use Cases voor misbruik van authenticatiegegevens gedefinieerd, worden deze gemonitord en wordt passende actie ondernomen bij het optreden ervan. Deze Use Cases omvatten in ieder geval inlogpogingen van ongebruikelijke plekken en pieken in mislukte inlogpogingen.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.