Toegangsbeleid

Het document waarin staat wie waar bij mag, hoe rechten worden toegekend en ingetrokken, en hoe u controleert dat het klopt.

Wat erin hoort

• het uitgangspunt: alleen toegang die nodig is voor de functie
• hoe toegang wordt aangevraagd en door wie het wordt goedgekeurd
• hoe rechten worden ingetrokken bij functiewissel en uitdiensttreding
• aparte regels voor beheerdersrechten
• eisen aan wachtwoorden en meervoudige authenticatie
• hoe vaak rechten worden herzien en wie dat doet

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, en bij wijzigingen in systemen of organisatiestructuur. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

twee tot vier pagina's, plus een aparte autorisatiematrix per rol.

Fouten die er het vaakst in zitten

• Rechten worden gegeven maar nooit ingetrokken, waardoor mensen na jaren toegang hebben tot alles waar ze ooit mee werkten.
• Beheerders gebruiken hun dagelijkse account met beheerrechten.
• De autorisatiematrix bestaat wel maar wordt nooit vergeleken met de werkelijke rechten in het systeem.

De autorisatiematrix

Naast het beleid maakt u één tabel met rollen tegen systemen. Dat is het document dat u daadwerkelijk gebruikt bij elke controle:

Let op de laatste rij: de beheerder heeft geen toegang tot de inhoudelijke systemen met zijn beheeraccount. Dat is scheiding van taken, en het is een van de weinige maatregelen die zowel fouten als misbruik tegenhoudt.

De controle die altijd iets oplevert

Zet de lijst met actieve accounts naast de personeelslijst. Die vergelijking duurt een half uur en levert in vrijwel elke organisatie accounts op van mensen die er niet meer werken, van leveranciers die klaar zijn, of van systemen die al jaren uit staan.

Doe die controle voortaan elk kwartaal en leg de uitkomst vast. Dat is meteen het bewijs waar een auditor om vraagt, en het is de goedkoopste risicoreductie die er is.

Beheerrechten zijn een aparte categorie

Behandel beheerdersrechten niet als een uitgebreidere vorm van gewone rechten maar als een eigen categorie met eigen regels: aparte accounts, meervoudige authenticatie verplicht, alleen gebruiken wanneer nodig, en een kortere herzieningstermijn. Wie zijn dagelijkse werk doet met beheerrechten, geeft bij één verkeerde klik de hele omgeving weg.

Verhouding tot de Cyberbeveiligingswet

Onderdeel van maatregel 9, en raakt maatregel 10. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Bijlage A bevat meerdere maatregelen rond toegang. Dit is het document waar ze samenkomen. Zie de ISO 27001-checklist voor het volledige overzicht.

De concrete momenten waarop u niet op de jaarcyclus wacht

Jaarlijks herzien is de basis, maar het toegangsbeleid kent een aantal momenten waarop u niet op die cyclus wacht. Vier gebeurtenissen zijn de meest voorkomende directe aanleiding.

• Iemand verlaat de organisatie: rechten gaan dezelfde dag nog uit, niet aan het einde van de maand.
• Een functiewissel: de oude rechten gaan mee tenzij iemand ze actief intrekt, en dat gebeurt in de praktijk zelden vanzelf.
• Een nieuw systeem wordt in gebruik genomen: dan hoort er meteen een regel bij in de autorisatiematrix, niet achteraf.
• Een leverancier krijgt tijdelijke toegang voor een project: die toegang heeft een einddatum nodig, vastgelegd op het moment dat hij wordt gegeven.

De praktijk laat zien dat vooral de eerste twee de meeste ophoping van overbodige rechten veroorzaken. Een kwartaalcontrole die de actieve accounts naast de personeelslijst legt, vangt dat sneller op dan wachten tot de jaarlijkse herziening. Voor toegang die overblijft is meervoudige authenticatie de belangrijkste extra drempel, ongeacht hoe scherp de rechten zelf zijn ingericht.

Verschil met het logging- en monitoringbeleid

Toegangsbeleid en logging- en monitoringbeleid gaan allebei over wie er bij systemen kan, maar op een ander moment. Het toegangsbeleid bepaalt vooraf wie toegang krijgt en op welke voorwaarden. Het logging- en monitoringbeleid kijkt achteraf of dat gebruik ook klopt met wat er is toegekend. Een organisatie met een sterk toegangsbeleid maar zonder logging weet nooit of de afgesproken regels ook daadwerkelijk worden gevolgd.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Hoe vaak moet ik toegangsrechten herzien?

Minimaal jaarlijks voor gewone rechten, vaker voor beheerdersrechten. Bij uitdiensttreding en functiewissel altijd direct.

Moet ik een aparte autorisatiematrix maken?

Het is geen verplichting maar wel de handigste vorm. Een tabel met rollen tegen systemen is in één oogopslag te controleren en makkelijk actueel te houden.

Moet ik rechten meteen intrekken bij uitdiensttreding?

Ja, bij voorkeur dezelfde dag. Een account dat nog dagen actief blijft na vertrek is een onnodig risico dat makkelijk te voorkomen is.

Wat als een leverancier vergeet zijn toegang te laten verlopen?

Geef tijdelijke toegang daarom altijd een einddatum in het systeem zelf, niet alleen als afspraak op papier.

Telt een kwartaalcontrole als herziening van het beleid?

Nee, dat is een controle op de uitvoering. De herziening van het beleid zelf, de tekst en de uitgangspunten, is een apart moment.