BIO Thema Toegangsbeveiliging - Een scenario voor Toegangsbeveiliging
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Voor de inrichting en evaluatie van voorzieningen voor toegangbeveiliging, dient de fasering van onderdtaande figuur te worden gebruikt. Dit geldt zowel interne als externe medewerkers:
- Indiensttreding (Instroom): In deze fase gelden algemene en specifieke richtlijnen voor de taken en verantwoordelijkheden van de werkgever en de werknemer. De werkgever zal in de fase, na een zorgvuldige selectie procedure, de noodzakelijke zaken voor de werknemer moeten regelen;
- Tijdens dienstverband (Doorstroom): in deze fase worden werknemers via trainingen en opleidingen bewust gemaakt over het omgaan van bedrijfsmiddelen (o.a. bedrijfsgegevens) en hoe om te gaan met aspecten aangaande informatiebeveiliging. Dit is afhankelijk van de functie van de werknemer;
- Uitdiensttreding (Uitstroom): in deze fase treft werkgever de noodzakelijke maatregelen voor het beëindigen van het dienstverband. De werknemer zal de aan haar/hem verstrekte bedrijfsmiddelen volgens afgesproken procedure moeten inleveren.
Indiensttreding nieuwe medewerkers
Met de verstrekking van de aanstellingsbeschikking komt een medewerker, aangenomen door een manager, in dienst. Bij indiensttreding ontvangt de medewerker een toegangspas (bijvoorbeeld een Rijkspas waarmee hij/zij toegang krijgt tot het gebouw en de bij de functie horende ruimtes (fysieke toegangbeveiliging). Naast de fysieke ruimtes krijgt de medewerker ook toegang tot de logische ruimtes; oftewel: de persoonlijk en gemeenschappelijke gegevensverzamelingen en tot de algemene kantoorautomatiseringsomgeving, (zoals de KA of de front office omgeving) en specifieke applicaties. Voor de werkzaamheden binnen de specifieke applicaties kan hij/zij weer algemene en specifieke rechten krijgen. Achter de schermen worden heel wat stappen gezet om deze nieuwe medewerker daadwerkelijk in te voeren als een actieve functionaris. Hierbij zijn verschillende afdelingen betrokken zoals: personeelsafdeling, facilitaire zaken, en ICT afdeling.
- Personeelsafdeling - De personeelsafdeling (ofwel Human Resource Management) zorgt daarbij voor invoering van de nieuwe medewerker in het personeelsbestand;
- Facilitair Bedrijf - zorgt voor een fysieke werkplek (bureau, stoel, etc.) en maakt een toegangspas aan (Rijkspas = identificatiemiddel);
- Gegevens/proceseigenaar- zorgt voor mandaatregister waaruit blijkt welke personen bevoegd zijn voor uitvoering van welke taken (autorisaties);
- ICT afdeling - zorgt voor ICT-voorzieningen misschien en de geautoriseerde toegang tot benodigde applicaties alsmede het authenticatiemiddel (Rijkspas).
Deze stappen staan niet los van elkaar. Zij dienen namelijk één gemeenschappelijk doel: Het bieden van geautoriseerde toegang. Er zijn daarvoor meerdere gegevens van de medewerker en acties van de organisatie voor nodig om de benodigde zaken te regelen om de medewerker in de positie te stellen voor het uitvoeren van zijn/haar taken. Omgekeerd zal de medewerker kennis moeten nemen van de missie/visie van de organisatie en van haar informatiebeveiligingsbeleid.Onderstaande geeft een beeld van de processtappen bij de indiensttreding (instroom) van een medewerker.
Nadat de processtappen en acties bij de indiensttreding van de medewerker zijn doorlopen is de medewerker geidentificeerd. De medewerker (gebruiker) bezit dan de nodige middelen, een fysiek toegangsbewijs voor toegang tot gebouwen en ruimtes van de organisatie in de vorm van een toegangspas, en een logisch toegangsbewijs in de vorm van een account voor toegang tot IV-faciliteiten. Na inloggen met behulp van de inloggegegevens (account of tewel identificatie en authenticatie) krijgt de gebruiker toegang tot applicaties. Aan het account, het identificatiebewijs van de gebruiker, zijn toegangsrechten (autorisaties) gekoppeld. Autorisatie (profiel) komt tot stand op basis van de rol van de gebruiker en geeft hem/haar het recht bepaalde taken in de applicatie uit te voeren. Bij doorstroom is er sprake van wijzigingen van de toegangsgegevens (identificatie, authenticatie en autorisatie). Bij uitstroom is er sprake van blokkering van deze gegevens. De persoonlijke gegevens van de gebruiker zijn opgeslagen in het personeelssysteem, de rol en het profiel zijn opgeslagen in het autorisatiesysteem. De profielen en de taken zijn op hun beurt weer opgeslagen in het informatiesysteem. Onderstaande figuur geeft hiervan een overzicht.
Tijdens het dienstverband
Tijdens het dienstverband heeft de medewerker (gebruiker) toegang tot de informatiesystemen op basis van de bij de indiensttreding verkregen middelen en toegangsrechten. Daarvoor moeten fysieke toegangssystemen, authenticatiesystemen en autorisatiesystemen worden ingericht. Tijdens het dienstverband kunnen werkzaamheden van medewerkers worden gewijzigd en of op een andere functie / project worden geplaatst. Er kan ook sprake zijn van een (tijdelijke) overplaatsing. Dan zullen de nodige wijzigingen in functieprofielen (autorisatie) en taakrollen in het registratiesysteem worden doorgevoerd. De oorspronkelijke functie dient dan te worden gedeactiveerd, de toegangsrechten worden aangepast, geblokkeerd of verwijderd.
Uitdiensttreding
Uiteindelijk kan een medewerker door bepaalde redenen uit dienst treden. Dit houdt in dat bepaalde gegevens van de medewerkers dienen te worden geregistreerd en autorisaties voor het gebruik van applicaties moeten worden verwijderd.