Wat houdt deze control in?
Regels om de fysieke en logische toegang tot informatie en andere bedrijfsmiddelen te beheersen moeten worden vastgesteld op basis van bedrijfs- en beveiligingseisen.
Waarom is dit verplicht?
Een consistent toegangsbeleid is de basis voor alle toegangsgerelateerde maatregelen en voorkomt ad-hoc beslissingen.
Praktische implementatie
- Stel een toegangsbeveiligingsbeleid op
- Definieer toegangsregels per informatiecategorie en gebruikersgroep
- Implementeer need-to-know als leidend principe
- Review toegangsregels jaarlijks
Aandachtspunten voor de overheid
Koppel het toegangsbeleid aan de informatieclassificatie voor een consistente aanpak.
Relatie met andere controls
Gerelateerd aan 8.1 (gebruikerstoegang) en 5.12 (classificatie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt regels vast om fysieke en logische toegang tot informatie en bedrijfsmiddelen te beheersen, op basis van bedrijfs- en beveiligingseisen. De overheidsmaatregel is hier specifiek: toegang tot een vertrouwde zone mag alleen via geauthentiseerde apparatuur óf via programmatuur binnen een veilige schil. Een consistent toegangsbeleid is de basis voor alle toegangsgerelateerde maatregelen en voorkomt ad-hocbeslissingen. Koppel het beleid aan de informatieclassificatie.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Stel een toegangsbeveiligingsbeleid op met need-to-know als leidend principe.
- ›Sta toegang tot een vertrouwde zone alleen toe via geauthentiseerde apparatuur of via programmatuur binnen een veilige schil.
- ›Definieer toegangsregels per informatiecategorie en gebruikersgroep, gekoppeld aan de classificatie.
- ›Review de toegangsregels periodiek (bijv. jaarlijks).verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgestelde toegangsbeveiligingsbeleid
- ›Technische inrichting die toegang tot de vertrouwde zone beperkt tot geauthentiseerde apparatuur/veilige schil
- ›Toegangsregels per informatiecategorie/gebruikersgroep
- ›Verslag van de periodieke review van toegangsregels
Wat je bij een audit moet kunnen aantonen
- ›Dat er een toegangsbeveiligingsbeleid is met need-to-know als principe
- ›Dat toegang tot de vertrouwde zone conform de OM is beperkt
- ›Dat toegangsregels gekoppeld zijn aan de classificatie
- ›Dat toegangsregels periodiek worden herzien
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een toegangsbeveiligingsbeleid vastgesteld?
- ›Is de eis voor toegang tot de vertrouwde zone (geauthentiseerde apparatuur/veilige schil) belegd?
- ›Zijn toegangsregels per categorie/groep gedefinieerd?
- ›Is de toegang tot de vertrouwde zone daadwerkelijk zo ingericht?
- ›Zijn toegangsregels toegepast?
- ›Is de koppeling met classificatie zichtbaar?
- ›Worden toegangsregels periodiek gereviewd?
- ›Blijft de vertrouwde-zone-toegang conform?
- ›Worden afwijkingen opgevolgd?
Gekoppelde overheidsmaatregel(en)
1. vanaf geauthentiseerde apparatuur of;
2. vanuit programmatuur die draait binnen een veilige schil.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.