Wat houdt deze control in?
Toegang tot informatie en applicatiefuncties moet worden beperkt overeenkomstig het toegangsbeleid.
Waarom is dit verplicht?
Onbeperkte toegang vergroot het risico op datalekken en misbruik van overheidsinformatie.
Praktische implementatie
- Segmenteer applicaties op basis van vertrouwelijkheidsclassificatie
- Implementeer autorisatieniveaus binnen applicaties
- Test periodiek of toegangsbeperkingen effectief zijn
- Documenteer wie toegang heeft tot welke informatie
Aandachtspunten voor de overheid
Systemen met BSN-verwerking vereisen strikte need-to-know toegangscontrole.
Relatie met andere controls
Gerelateerd aan 5.12 (classificatie) en 8.15 (logging).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beperkt de toegang tot informatie en applicatiefuncties overeenkomstig het toegangsbeleid. De overheidsmaatregelen vereisen dat informatie met specifiek belang fysiek en/of logisch wordt geïsoleerd, en dat gebruikers alleen die informatie kunnen inzien en verwerken die ze voor hun taak nodig hebben (need-to-know). Onbeperkte toegang vergroot het risico op datalekken en misbruik van overheidsinformatie. Systemen met BSN-verwerking vereisen strikte need-to-know-toegangscontrole.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Isoleer informatie met specifiek belang fysiek en/of logisch.
- ›Zorg dat gebruikers alleen informatie kunnen inzien en verwerken die ze voor hun taak nodig hebben (need-to-know).
- ›Segmenteer applicaties op basis van vertrouwelijkheidsclassificatie en implementeer autorisatieniveaus binnen applicaties.
- ›Documenteer wie toegang heeft tot welke informatie, met strikte controle bij BSN-verwerking.
- ›Test periodiek of de toegangsbeperkingen effectief zijn.verdieping
Bewijs dat je kunt verzamelen
- ›Inrichting van fysieke/logische isolatie van informatie met specifiek belang
- ›Autorisatiematrix met need-to-know per gebruiker/rol
- ›Segmentatie- en autorisatieniveaus in applicaties
- ›Testverslagen van de effectiviteit van toegangsbeperkingen
Wat je bij een audit moet kunnen aantonen
- ›Dat informatie met specifiek belang is geïsoleerd
- ›Dat gebruikers alleen taakgebonden informatie kunnen inzien/verwerken
- ›Dat toegang is gedocumenteerd (m.n. bij BSN)
- ›Dat toegangsbeperkingen periodiek worden getest
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is isolatie van informatie met specifiek belang ontworpen?
- ›Is need-to-know in het autorisatiemodel verankerd?
- ›Is applicatiesegmentatie bepaald?
- ›Is de informatie daadwerkelijk geïsoleerd?
- ›Zijn autorisaties conform need-to-know toegekend?
- ›Is toegang gedocumenteerd?
- ›Worden toegangsbeperkingen periodiek getest?
- ›Blijft need-to-know gehandhaafd bij wijzigingen?
- ›Worden afwijkingen gecorrigeerd?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.