Wat houdt deze control in?
Het identiteitsbeheer omvat alle fasen van een gebruikersidentiteit, van aanmaak tot verwijdering. De volledige levenscyclus van identiteiten moet worden beheerd, inclusief provisioning en deprovisioning van accounts.
Waarom is dit verplicht?
Slordig identiteitsbeheer leidt tot zwerfaccounts, overmatige rechten en aanvalsmogelijkheden voor kwaadwillenden.
Praktische implementatie
- Implementeer een Identity Governance & Administration (IGA) systeem
- Koppel account-aanmaak en -verwijdering aan HR-processen
- Voer periodieke toegangsreviews uit
- Implementeer single sign-on voor gebruiksgemak en beheersbaarheid
Aandachtspunten voor de overheid
Medewerkers met tijdelijke contracten vereisen extra aandacht bij verloopdatums van accounts.
Relatie met andere controls
Gerelateerd aan 8.1 (toegangsbeheer) en 5.18 (toegangsrechten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert de volledige levenscyclus van gebruikersidentiteiten, van aanmaak tot verwijdering, inclusief provisioning en deprovisioning. De overheidsmaatregelen vereisen een sluitende, formele registratie- en afmeldprocedure voor gebruikersidentificaties, en verbieden groepsaccounts — tenzij de proceseigenaar dit motiveert, vastlegt en afstemt met de CISO. Slordig identiteitsbeheer leidt tot zwerfaccounts en overmatige rechten. Let extra op verloopdatums bij tijdelijke contracten.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Richt een sluitende, formele registratie- en afmeldprocedure in voor gebruikersidentificaties, gekoppeld aan HR-processen.
- ›Sta geen groepsaccounts toe, tenzij de proceseigenaar dit motiveert, vastlegt en met de CISO afstemt.
- ›Besteed extra aandacht aan verloopdatums van accounts bij medewerkers met tijdelijke contracten.
- ›Voer periodieke toegangsreviews uit op identiteiten en accounts.
- ›Implementeer een IGA-systeem en single sign-on voor beheersbaarheid en gebruiksgemak.verdieping
Bewijs dat je kunt verzamelen
- ›De formele registratie- en afmeldprocedure voor identiteiten
- ›Overzicht van (gemotiveerde en met CISO afgestemde) uitzonderingen op groepsaccounts
- ›Registratie van verloopdatums bij tijdelijke contracten
- ›Verslagen van periodieke toegangsreviews
- ›IGA-/SSO-inrichting (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat er een sluitende registratie- en afmeldprocedure bestaat
- ›Dat groepsaccounts niet worden gebruikt, behalve met gemotiveerde en afgestemde uitzondering
- ›Dat accounts van vertrokken/tijdelijke medewerkers tijdig worden afgemeld
- ›Dat identiteiten periodiek worden gereviewd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een formele registratie- en afmeldprocedure vastgesteld?
- ›Is het beleid voor (verbod op) groepsaccounts belegd?
- ›Is een proces voor verloopdatums en reviews ingericht?
- ›Wordt de procedure daadwerkelijk gevolgd bij in-/uitstroom?
- ›Zijn uitzonderingen op groepsaccounts gemotiveerd en afgestemd?
- ›Zijn tijdelijke accounts van verloopdatums voorzien?
- ›Worden accounts consistent en tijdig afgemeld?
- ›Vinden periodieke reviews plaats?
- ›Blijft het aantal zwerfaccounts aantoonbaar beperkt?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.