Wat houdt deze control in?
Toegangsrechten tot informatie en systemen moeten worden verleend, herzien, gewijzigd en ingetrokken op basis van het need-to-know principe en functievereisten.
Waarom is dit verplicht?
Overmatige of verouderde toegangsrechten zijn een van de meest voorkomende beveiligingsrisico’s bij overheidsorganisaties.
Praktische implementatie
- Implementeer een formeel autorisatieproces
- Voer minimaal jaarlijks een toegangsreview uit per systeem
- Verwijder toegangsrechten direct bij functiewijziging of vertrek
- Log alle wijzigingen in toegangsrechten
Aandachtspunten voor de overheid
Betrek systeemeigenaren bij toegangsreviews; zij kennen de functionele behoefte het best.
Relatie met andere controls
Gerelateerd aan 8.1 (toegangsbeheer) en 5.3 (functiescheiding).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je verleent, herziet, wijzigt en trekt toegangsrechten in op basis van need-to-know en functievereisten. De overheidsmaatregelen vereisen dat het aanmaken en aanpassen van accounts met bijzondere rechten wordt gemonitord (met ongeautoriseerde wijzigingen als IB-incident), en dat alle uitgegeven toegangsrechten minimaal jaarlijks worden beoordeeld — vaker als de risicoafweging daarom vraagt. Overmatige of verouderde rechten zijn een van de meest voorkomende risico's bij de overheid. Betrek systeemeigenaren bij reviews.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Implementeer een formeel autorisatieproces op basis van need-to-know en functievereisten.
- ›Monitor het aanmaken en aanpassen van accounts met bijzondere rechten en behandel ongeautoriseerde wijzigingen als IB-incident.
- ›Beoordeel alle uitgegeven toegangsrechten minimaal jaarlijks (of vaker op basis van risicoafweging), en betrek systeemeigenaren hierbij.
- ›Verwijder toegangsrechten direct bij functiewijziging of vertrek.
- ›Log alle wijzigingen in toegangsrechten voor herleidbaarheid.verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgelegde autorisatieproces
- ›Monitoring-/loggegevens van wijzigingen aan accounts met bijzondere rechten
- ›Verslagen van de (minimaal jaarlijkse) toegangsreviews, met betrokkenheid van systeemeigenaren
- ›Registratie van ingetrokken rechten bij functiewijziging/vertrek
Wat je bij een audit moet kunnen aantonen
- ›Dat toegangsrechten via een formeel proces worden verleend
- ›Dat wijzigingen aan bijzondere rechten worden gemonitord en afwijkingen als incident worden behandeld
- ›Dat alle rechten minimaal jaarlijks worden beoordeeld
- ›Dat rechten tijdig worden ingetrokken bij functiewijziging/vertrek
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een formeel autorisatieproces vastgesteld?
- ›Is monitoring van bijzondere rechten belegd?
- ›Is een jaarlijkse (risicogestuurde) reviewcyclus ingericht?
- ›Wordt het autorisatieproces gevolgd?
- ›Worden wijzigingen aan bijzondere rechten gemonitord?
- ›Hebben recente reviews plaatsgevonden?
- ›Worden ongeautoriseerde wijzigingen als incident afgehandeld?
- ›Worden rechten tijdig ingetrokken?
- ›Blijft de review-cyclus aantoonbaar draaien?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.