Wat houdt deze control in?
Beheerdersaccounts moeten extra worden beveiligd, gemonitord en beperkt tot het strikt noodzakelijke.
Waarom is dit verplicht?
Gecompromitteerde beheerdersaccounts geven aanvallers volledige controle; dit is het primaire doelwit bij geavanceerde aanvallen.
Praktische implementatie
- Gebruik aparte beheerdersaccounts naast gewone accounts
- Implementeer een Privileged Access Management (PAM) oplossing
- Log alle activiteiten van geprivilegieerde accounts
- Pas just-in-time toegang toe
Aandachtspunten voor de overheid
Gedeelde beheerdersaccounts zijn niet toegestaan; elk beheerder heeft een persoonlijk account.
Relatie met andere controls
Gerelateerd aan 8.1 (toegangsbeheer) en 8.15 (logging).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beveiligt, monitort en beperkt beheerdersaccounts tot het strikt noodzakelijke. De overheidsmaatregel stelt een strakke frequentie: toegewezen of gebruikte speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld in opzet, bestaan en werking. Gecompromitteerde beheerdersaccounts geven aanvallers volledige controle en zijn het primaire doelwit bij geavanceerde aanvallen. Gedeelde beheerdersaccounts zijn niet toegestaan; elke beheerder heeft een persoonlijk account.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Beoordeel toegewezen en gebruikte speciale bevoegdheden minimaal ieder kwartaal in opzet, bestaan en werking.
- ›Gebruik aparte, persoonlijke beheerdersaccounts naast gewone accounts; gedeelde beheerdersaccounts zijn niet toegestaan.
- ›Log alle activiteiten van geprivilegieerde accounts.
- ›Implementeer een Privileged Access Management (PAM)-oplossing met just-in-time toegang.verdieping
Bewijs dat je kunt verzamelen
- ›Kwartaalbeoordelingen van speciale bevoegdheden (opzet/bestaan/werking)
- ›Overzicht van persoonlijke beheerdersaccounts (geen gedeelde accounts)
- ›Logging van geprivilegieerde accountactiviteiten
- ›PAM-inrichting met just-in-time toegang (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat speciale bevoegdheden minimaal per kwartaal worden beoordeeld
- ›Dat beheerders persoonlijke accounts gebruiken (geen gedeelde)
- ›Dat geprivilegieerde activiteiten worden gelogd
- ›Dat privileges beperkt zijn tot het noodzakelijke
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een kwartaalreview van speciale bevoegdheden belegd?
- ›Is het gebruik van persoonlijke beheerdersaccounts vastgesteld?
- ›Is logging/PAM ontworpen?
- ›Zijn recente kwartaalbeoordelingen uitgevoerd?
- ›Zijn gedeelde beheerdersaccounts afwezig?
- ›Wordt geprivilegieerde activiteit gelogd?
- ›Vindt de kwartaalbeoordeling structureel plaats?
- ›Blijven privileges beperkt en herleidbaar?
- ›Wordt just-in-time toegang toegepast waar aanwezig?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.