Wat houdt deze control in?
Authenticatieprocedures moeten robuust zijn; MFA is vereist voor risicovolle toegang.
Waarom is dit verplicht?
Wachtwoorden alleen zijn onvoldoende; phishing is dagelijkse realiteit voor overheidsorganisaties.
Praktische implementatie
- Verplicht MFA voor externe toegang en beheerdersaccounts
- Implementeer een sterk wachtwoordbeleid
- Gebruik een wachtwoordmanager
- Blokkeer accounts na mislukte aanmeldpogingen
Aandachtspunten voor de overheid
DigiD-koppelingen vereisen specifieke authenticatie-eisen conform NCSC-richtlijnen.
Relatie met andere controls
Gerelateerd aan 8.1 (toegangsbeheer) en 8.2 (geprivilegieerde toegang).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je zorgt voor robuuste authenticatieprocedures, met MFA voor risicovolle toegang. De overheidsmaatregel richt zich specifiek op externe leveranciers: vóór netwerktoegang door externe leveranciers vindt een risicoafweging plaats die de voorwaarden en duur van de toegang bepaalt, en de rechtentoekenning wordt geregistreerd. Wachtwoorden alleen zijn onvoldoende; phishing is dagelijkse realiteit. DigiD-koppelingen vereisen specifieke authenticatie-eisen conform NCSC-richtlijnen. (De algemene MFA-eisen staan in control 5.17.)
Passende maatregelen
4 basismaatregelen.
- ›Voer vóór netwerktoegang door externe leveranciers een risicoafweging uit die voorwaarden en duur bepaalt, en registreer de rechtentoekenning.
- ›Verplicht MFA voor externe toegang en beheerdersaccounts.
- ›Implementeer een sterk wachtwoordbeleid, gebruik een wachtwoordmanager en blokkeer accounts na herhaalde mislukte pogingen.
- ›Pas voor DigiD-koppelingen de specifieke authenticatie-eisen conform NCSC-richtlijnen toe.
Bewijs dat je kunt verzamelen
- ›Risicoafwegingen en registraties van leverancierstoegang (voorwaarden/duur)
- ›MFA-configuratie voor externe en beheerderstoegang
- ›Wachtwoordbeleid en lockout-instellingen
- ›Bewijs van NCSC-conforme authenticatie bij DigiD-koppelingen
Wat je bij een audit moet kunnen aantonen
- ›Dat leverancierstoegang via risicoafweging en met registratie verloopt
- ›Dat MFA voor risicovolle toegang is afgedwongen
- ›Dat een sterk wachtwoordbeleid en lockout gelden
- ›Dat DigiD-koppelingen aan NCSC-eisen voldoen
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een risicoafweging + registratie voor leverancierstoegang belegd?
- ›Is MFA voor risicovolle toegang vastgesteld?
- ›Zijn wachtwoordbeleid en DigiD-eisen bepaald?
- ›Zijn recente leveranciers-toegangen risico-afgewogen en geregistreerd?
- ›Is MFA actief?
- ›Is het wachtwoordbeleid toegepast?
- ›Wordt leverancierstoegang consistent afgewogen en tijdig beëindigd?
- ›Blijft MFA gedekt?
- ›Voldoen DigiD-koppelingen aantoonbaar?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.