Autorisatie (beheersmaatregel): verschil tussen versies
Naar navigatie springen
Naar zoeken springen
Geen bewerkingssamenvatting |
k (Tekst vervangen - '}}' door '}} ') |
||
| (7 tussenliggende versies door 3 gebruikers niet weergegeven) | |||
| Regel 1: | Regel 1: | ||
{{Beheersmaatregelen | {{Beheersmaatregelen | ||
|Realiseert=Integriteit, Vertrouwelijkheid (principe) | |Realiseert=Integriteit, Vertrouwelijkheid (principe) | ||
|Stelling=Autorisaties zijn ingesteld op basis van ontwerp- of systeemdocumentatie, waarin aangegeven is welke rechten in welke gebruikersgroepen worden ondergebracht.}} | |Stelling=Autorisaties zijn ingesteld op basis van ontwerp- of systeemdocumentatie, waarin aangegeven is welke rechten in welke gebruikersgroepen worden ondergebracht. | ||
|Cluster=Beveiliging/Toegang | |||
|bron=BIR (Baseline Informatiebeveiliging Rijksdienst), NEN-ISO/IEC 27001 | |||
|specificatie bron=BIR/ISO 27001:2005 11.2, ISO 27001:2013 9.2}} | |||
[[Categorie:normen voor toegang tot gegevens en systeemfuncties]] | [[Categorie:normen voor toegang tot gegevens en systeemfuncties]] | ||
Versie van 15 jun 2017 11:50
- Onderdeel van
- Thema's
- Contact
- Guus van den Berg
- Guus.vandenberg@cip-overheid.nl
- Status
- Dit thema wordt momenteel opnieuw bekeken door de Expertgroep Beveiliging
 Status: Concept Thema: Beveiliging/Toegang
BIR/ISO 27001:2005 11.2, ISO 27001:2013 9.2 |
Eis: Autorisaties zijn ingesteld op basis van ontwerp- of systeemdocumentatie, waarin aangegeven is welke rechten in welke gebruikersgroepen worden ondergebracht.
Realiseert
Autorisatie (beheersmaatregel) realiseert het/de afgeleide principe(s):Implicaties
De volgende implementatierichtlijnen zijn een uitwerking van Autorisatie (beheersmaatregel):
- De technische implementatie van autorisaties naar autorisatiegroepen is in overeenstemming met de ontwerp- of systeemdocumentatie.
- Speciale (systeem)bevoegdheden zijn in aparte autorisatiegroepen opgenomen.
- Bij het koppelen van gebruikers aan autorisatiegroepen kunnen aangegeven onverenigbaarheden worden gesignaleerd.
- De registratie van gebruikers en verleende toegangsrechten is zoveel mogelijk centraal geregeld (single-point-of-administration).
- Toegangsrechten worden zoveel mogelijk via groeperingmechanismen (bijv. t.b.v. RBAC) toegekend (dus niet rechtstreeks aan individuele gebruikers). Uitzonderingen vergen extra aandacht bij het beheer.
- Voor groeperingsmechanismen geldt een naamgevingconventie die aansluit op zo stabiel mogelijke uitgangspunten (dus zo min mogelijk afdelingsgebonden als er regelmatig organisatiewijzigingen plaatsvinden).
- In de soort toegangsregels wordt ten minste onderscheid gemaakt tussen lees- en schrijfbevoegdheden. De toegangsregels worden zo fijnmazig als mogelijk ter beschikking gesteld, afhankelijk van de mogelijkheden van de IT-voorziening en de daardoor veroorzaakte beheerslast. Zo kunnen bij schrijfrechten vaak rechten voor creëren (zoals create/insert/generate), wijzigen (zoals update/change/alter) en verwijderen (zoals delete/drop/purge) separaat worden toegekend. Standaardgebruikers krijgen geen execute-rechten. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- De toekenning van rechten aan processen en bestanden is zo minimaal mogelijk. Bijvoorbeeld:
- als het platform toestaat om gescheiden executie- en leesrechten toe te kennen dan worden voor programmabestanden geen leesrechten toegekend;
- tijdelijke (spool)bestanden (bijv. printgegevens) zijn alleen voor systeembeheer toegankelijk;
- er worden geen of anders zo weinig mogelijk rechten gegeven aan standaard groepen en accounts zoals “guest”, “public” of “everyone”.
- Toepassingen mogen niet onnodig en niet langer dan noodzakelijk onder een systeemaccount (een privileged user) draaien. Direct na het uitvoeren van handelingen waar hogere rechten voor nodig zijn wordt weer teruggeschakeld naar het niveau van een gewone gebruiker (een unprivileged user). Denk bijvoorbeeld aan een daemon die onder root een poort opent en daarna terugschakelt naar userniveau. Een ander voorbeeld is het gebruik van het Substitute User commando. Dit wordt alleen gebruikt voor die delen van een proces die tijdelijk onder hogere rechten draaien of om te voorkomen dat beheerders voortdurend met de hoogste systeemrechten moeten werken.
- De taken die met (tijdelijk) hogere rechten uitgevoerd worden kunnen niet onderbroken of afgebroken worden met als gevolg dat deze hogere rechten voor andere doeleinden gebruikt kunnen worden (feitelijk misbruikt kunnen worden).
- Gebruikers krijgen geen algemene commando-omgeving tot hun beschikking (bijvoorbeeld een Dos-prompt of Unix-shell). (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Er worden vooraf gedefinieerde perioden (‘time slots’) gebruikt. Bijvoorbeeld voor overdracht van groepen bestanden (‘batch file transfer’) of met regelmatig tussenpozen terugkerende interactieve sessies van korte duur. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Authentificatieprocedures worden herhaald op basis van het hiervoor opgestelde beleid. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Werkstations die niet in gebruik zijn, worden tegen onbevoegd gebruik beveiligd met behulp van een toetsvergrendeling of vergelijkbare beveiliging. Bijvoorbeeld een wachtwoord. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Beheertaken verlopen zoveel mogelijk via een menusysteem en gestandaardiseerde werkwijzen (scripts). (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Bij het overnemen van werkstations door beheerders om te kunnen meekijken op het werkstation wordt technisch afgedwongen dat hiervoor eerst toestemming aan de gebruiker wordt gevraagd. De gebruiker kan op elk moment de verleende toestemming intrekken.
- Systeemdata programmatuur en toepassingsgegevens zijn van elkaar gescheiden. Dat wil zeggen dat de bestanden zoveel mogelijk in eigen directory’s of partities geplaatst worden.
- Er zijn in productiezones geen hulpmiddelen toegankelijk die het systeem van logische toegangsbeveiliging doorbreken of de integriteit van de productieverwerking kunnen aantasten, zoals: ODBC, bestandsviewers, editors, ontwikkelcode, compilers, tekstverwerkingsprogramma’s en eventuele andere systeemhulpmiddelen. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Gebruikers hebben verschillende gebruiksprofielen voor operationele en proefsystemen en de menu's tonen de juiste identificatieboodschappen om het risico van fouten te verminderen. (BIR (Baseline Informatiebeveiliging Rijksdienst))
- Wachtwoorden worden versleuteld over een netwerk verzonden. (BIR (Baseline Informatiebeveiliging Rijksdienst))
Gerelateerde beschouwingsmodellen
De volgende beschouwingsmodellen zijn gerelateerd aan Autorisatie (beheersmaatregel):
- Beschouwingsmodel client
- Beschouwingsmodel draadloze netwerken
- Beschouwingsmodel netwerk
- Beschouwingsmodel printer
- Beschouwingsmodel server
- Beschouwingsmodel servervirtualisatie
- Beschouwingsmodel zonering