ISOR/totaaltabel

Tabel met alle elementen in het normenkader BIO Thema-uitwerking Toegangsbeveiliging.
Een element kan zijn: Beveiligingsprincipe, Hoofdstuk normenkader, Norm, Normenkader, Normenkader-aspect, Privacyprincipe
Tip: klik op het pijltje naast 'ID' voor een logische volgorde.

ID	ElementtypeDeze speciale eigenschap maakt deel uit van SmartCore. Gebruik deze eigenschap niet voor andere doeleinden.	Versieaanduiding	Status actualiteit	Redactionele wijzigingsdatum	Publicatiedatum	Beschrijving	Toelichting	Conformiteitsindicator	Criterium	Doelstelling	Risico	Beveiligingsaspect	Invalshoek	Grondslag	Stelling	Grondslag opmerkingen	Realiseert	Afbeelding	Onderschrift	Px	Alt-tekst	Wijzigingsdatum“Wijzigingsdatum <span style="font-size:small;">(Modification date)</span>” is een voorgedefinieerde eigenschap die overeenkomt met de datum van de laatste wijziging van een onderwerp. Deze eigenschap wordt geleverd door Semantic MediaWiki.
TBV_U.01	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een vastgelegde manier van handelen voor het registreren van gebruikers. Objecttoelichting De oorspronkelijke titel in de Baseline Informatiebeveiliging Overheid (BIO) is ‘Registratie en afmelden van gebruikers’. Het onderwerp ‘Registratie en afmelden van gebruikers’ duidt op het daadwerkelijk registreren en afmelden van gebruikers. De inhoud van de norm legt feitelijk de nadruk op procedures die bij het registreren en afmelden noodzakelijk zijn. Vandaar dat voor dit object gekozen is voor de titel Registratieprocedure waarmee een gecontroleerde toegang voor bevoegde gebruikers worden geboden vanaf het moment van intake en registratie tot en met de beëindiging. Het beschrijft dus de gehele levenscyclus van de gebruikerstoegang. Een onderdeel van de procedure is dat er gebruikers geregistreerd moeten worden. Het registreren van gebruikers geldt zowel bij logische als bij fysieke beveiliging. De noodzakelijke fysieke beveiliging procedure is gericht op zowel interne als externe medewerkers. Bij uitbestede diensten geldt dat de provider zowel de logische als de fysieke beveiligingsmaatregelen treft voor de beveiliging van de ICT-dienstverlening aan de klant.			Een formele registratie- en afmeldprocedure behoort te worden geïmplementeerd om toewijzing van toegangsrechten mogelijk te maken.	Het bewerkstelligen van een gecontroleerde toegang voor bevoegde gebruikers en voorkomen van onbevoegde toegang tot informatiesystemen.	Door het ontbreken van formele procedures voor registraties en afmeldingen kan een onbetrouwbaar registratiesysteem ontstaan, waardoor de mogelijkheid bestaat dat bewerkingen door onbevoegden plaatsvinden.	Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.1								2 december 2021 13:12:24	Registratieprocedure
TBV_C.01	Beveiligingsprincipe	2.1	Actueel	29 november 2021	29 oktober 2021	==Objectdefinitie== Betreft een vastgelegde manier van handelen voor de evaluatie van de mate waarin beheeractiviteiten voldoen aan de vooraf gestelde eisen. Objecttoelichting De inrichting van de toegangsbeveiliging moet beheerst worden. Hiertoe dient periodiek door een bepaalde functionaris met specifieke bevoegdheden controle-activiteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en instructies, anders bestaat het risico dat de resultaten van de controle-activiteiten niet voldoen aan de verwachte eisen. De structuur van de beheersingsorganisatie geeft de samenhang van de ingerichte processen weer. Een control en de bijbehorende maatregelen worden hieronder vermeld.			Om het gebruik van toegangsbeveiligingsvoorzieningen te (kunnen) controleren, behoren er procedures te zijn vastgesteld.	Het bieden van ondersteuning bij het uitvoeren van formele controle-activiteiten.	Onvoldoende mogelijkheden om vast te stellen of de controle-activiteiten gestructureerd plaatsvinden.	Control	Intentie	CIP-netwerk								29 november 2021 12:54:02	Beoordelingsprocedure
TBV_U.04	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een vastgelegde manier van handelen voor het toekennen van toegangsrechten. Objecttoelichting De Baseline Informatiebeveiliging Overheid (BIO)-control 9.2.6 ‘Toegangsrechten intrekken of aanpassen’ stelt eisen aan een autorisatieproces, dat bestaat uit enkele sub-processen zoals: toekennen (of verlenen), verwerken, intrekken, blokkeren, archiveren en controleren. Dit autorisatieproces zorgt ervoor dat autorisaties gestructureerd plaatsvinden. Deze sub-processen zijn gerelateerd aan de fasen: instroom, doorstroom en uitstroom en worden verder beschreven in Een scenario voor Toegangsbeveiliging.		Formeel autorisatieproces	Een formeel autorisatieproces dient geïmplementeerd te zijn voor het beheersen van de toegangsrechten van alle medewerkers en externe gebruikers tot informatie en informatieverwerkende faciliteiten.	Het bewerkstelligen dat enerzijds de integriteit van de IST en SOLL wordt bevorderd en anderzijds dat gebruikers de juiste acties binnen de applicaties kunnen uitvoeren.	De mogelijkheid bestaat dat enerzijds gebruikers/beheerders niet de juiste autorisaties krijgen toegewezen en anderzijds kan het ontbreken van coördinatie in het muteren van de autorisaties van gebruikers/beheerders leiden tot onjuiste autorisaties.	Uitvoering	Functie	The Standard of Good Practice for Information Security 2018: SA1.2.1								2 december 2021 13:28:01	Autorisatieproces
TBV_U.06	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een instandhoudingsproces voor de uitgifte en het onderhoud van speciale toegangsrechten. Objecttoelichting Beheerders hebben voor bepaalde activiteiten, speciale systeembevoegdheden nodig om hun beheeractiviteiten uit te voeren. De activiteiten die met zulke bevoegdheden kunnen worden uitgevoerd, kunnen diep ingrijpen in het systeem. Daarom moet hier voorzichtig mee om worden gegaan en zijn hiervoor procedurele maatregelen noodzakelijk. Speciale toegangsrechtenbeheer is gerelateerd aan twee aspecten proces en specifieke recht. Het aspect proces(beheer) behelst het uitvoeren van activiteiten met vooraf vastgestelde stappen die logisch met elkaar samenhangen. Het aspect recht (speciale bevoegdheden) behelst het recht tot het uitvoeren van specifieke handelingen.			Het toewijzen en gebruik van speciale toegangsrechten behoren te worden beperkt en beheerst.	Het voorkomen van het misbruik en oneigenlijk gebruik van bedrijfsobjecten.	Personen die zonder aantoonbare redenen toegang hebben tot bedrijfsobjecten kunnen schade aan de bedrijfsbelangen veroorzaken.	Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.3								2 december 2021 14:18:14	Speciale toegangsrechtenbeheer
TBV_C.03	Beveiligingsprincipe	2.1	Actueel	29 november 2021	29 oktober 2021	==Objectdefinitie== Omvat het vastleggen van informatiebeveiligingsgerelateerde gebeurtenissen en het bewaken en onderkennen van afwijkingen op beleidsregels. Objecttoelichting Het aspect registratie heeft betrekking op handelingen van gebruikers en systemen die geregistreerd worden in een registratiesysteem voor analyse- en controle-doeleinden. Het aspect bewaken van het logische toegangsbeveiligingssysteem heeft betrekking op ongeautoriseerde acties en het analyseren van de geregistreerde acties op onvolkomenheden. Naast het feit dat organisatorische elementen over toegangsrechten (rollen) periodiek dienen te worden gecontroleerd, dienen ook de activiteiten van gebruikers periodiek te worden geanalyseerd. Hiertoe dient gebruik te worden gemaakt van registraties van gebruikersactiviteiten (logging). Er dient tevens regelmatig te worden bewaakt of er onregelmatigheden in de registraties voordoen (monitoring). Tevens dient periodiek getoetst te worden of actuele autorisaties nog overeenkomen met de werkelijke situaties. Verder moet het volgende worden beoordeeld: wijzigingen op autorisaties (vastgelegd in log-bestanden); afspraken die niet systeemtechnisch worden afgedwongen (vier ogen principe).			Log-bestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld.	Het maakt mogelijk: eventuele schendingen van functionele en beveiligingseisen te kunnen detecteren en achteraf de juistheid van de uitgevoerde acties te kunnen vaststellen; handelingen te herleiden naar individuele personen.	Zonder vastlegging en bewaking kan achteraf niet de juiste actie worden ondernomen en niet worden vastgesteld wie welke handelingen heeft uitgevoerd.	Control	Gedrag	BIO (Baseline Informatiebeveiliging Overheid): 12.4.1								29 november 2021 13:06:42	Logging en monitoring toegangsbeveiliging
TBV_B.06	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een modelmatige beschrijving van de technische en organisatorische samenhang van onderdelen voor toegangsbeveiliging. Objecttoelichting De toegangsbeveiligingsarchitectuur is een blauwdruk waarmee wordt aangegeven op welke wijze gebruikers toegang krijgen tot applicaties en overige ICT-componenten. Een datamodel op het entiteitenniveau maakt hier onderdeel van uit. Hierbij zijn de rollen van gebruikers en beheerders met een bepaald structuur, zoals Role Based Access Control (RBAC) of Attribute Based Access Control (ABAC) modellen, beschreven. Voor de toegang tot applicaties wordt hieronder aandacht besteed aan een aantal onderwerpen waarmee bij het ontwerp van de toegangsbeveiligingsarchitectuur rekening moet worden gehouden, zoals: ontwerp van identiteits- en toegangsbeheer; inrichting toegangsbeheer; eisen en behoeften over gebruikersidentificatie en -authenticatie; gebruik van uniforme authenticatiemechanismen; gebruik van platformaccounts met beperkte rechten; audit van uitgedeelde autorisaties.			De organisatie behoort met organisatorische eisen en wensen de technische inrichting beschreven te hebben en behoort in een toegangsbeveiligingsarchitectuur te zijn vastgelegd.	Het verkrijgen van inzicht in de samenhang van en de relatie tussen de technische componenten die een rol spelen bij de inrichting en beheer van het toegangsvoorzieningsdomein.	Onvoldoende inzicht in de technische inrichting en de toegangsvoorzieningsarchitectuur leidt tot onvoldoende beheersing van het autorisatie ‘inrichtings- en beheer-’domein.	Beleid	Structuur	CIP-netwerk								2 december 2021 12:43:25	Toegangsbeveiligingsarchitectuur
TBV_U.11	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Omvat het geheel van processen en middelen om gebruikers veilig en gecontroleerd toegang te verlenen tot terreinen, gebouwen en ruimten. Objecttoelichting Fysieke beveiliging kan worden bereikt door het opwerpen van allerlei fysieke barrières rond het bedrijfsterrein en rond de IT-voorzieningen. Elke barrière creëert zo een beveiligde zone waarmee de totale beveiliging wordt versterkt. Binnen de organisatie moeten beveiligingsniveaus en beveiligde zones worden gebruikt om gebieden die IT-voorzieningen bevatten te beschermen. Een beveiligde zone is een gebied binnen een barrière, zoals muren of hekken die alleen met een toegangspas of via een bemande receptiebalie geopend kan worden. De locatie en sterkte van de barrières worden onder andere bepaald door de resultaten van de risicoanalyse. Zodra toegangsverlening wordt gerealiseerd met een informatiesysteem dat de sloten aanstuurt, wordt het proces volledig analoog aan de toegangsverlening van informatiesystemen ingericht en gelden alle genoemde controls voor toegang tot informatiesystemen onverminderd ook voor het fysieke toegangsbeheer, waarbij een specifiek protocol moet worden opgesteld voor de (fysieke) noodsleutels.			Beveiligde gebieden behoren te worden beschermd door passende toegangsbeveiliging om ervoor te zorgen dat alleen bevoegd personeel toegang krijgt.	Het bewerkstelligen dat alleen bevoegd personeel wordt toegelaten en dat geen schade aan gebouwen of verstoring van informatie plaatsvindt.	Onbevoegden brengen schade en verstoringen in de computerruimte en aan informatie in de Huisvesting-IV organisatie teweeg.	Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 11.1.2								2 december 2021 15:54:43	Fysieke toegangsbeveiliging
TBV_B.03	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een specialistische adviesfunctie (beveiligingsrollen) voor het management en de organisatie, gericht op het behalen van beveiligingsdoelstellingen. Objecttoelichting De organisatie beschikt over middelen en informatie die beveiligd moeten worden. Hiervoor moeten de juiste rollen zijn benoemd binnen een centraal orgaan, de beveiligingsfunctie. De functionarissen binnen deze functies hebben specifieke verantwoordelijkheden voor het realiseren van toegangsbeveiliging binnen de gehele organisatie, waaronder het toegangsbeveiligingssysteem.		Beveiligingsfunctie	Een gespecialiseerde beveiligingsfunctie dient te zijn vastgesteld die de verantwoordelijk is voor het bevorderen van toegangsbeveiliging binnen de gehele organisatie.	Het bewerkstelligen dat de toegangsbeveiliging effectief wordt ingericht.	Door het ontbreken van de beveiligingsfunctie is het mogelijk dat activiteiten over toegangsbeveiliging ongecoördineerd, onjuist of niet tijdig worden uitgevoerd of dat afwijkingen niet leiden tot corrigerende acties.	Beleid	Functie	The Standard of Good Practice for Information Security 2018: SM2.1								2 december 2021 11:47:47	Beveiligingsfunctie
TBV_U.05	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een instandhoudingsproces voor de uitgifte en het onderhoud van wachtwoorden. Objecttoelichting Wachtwoorden zijn middelen voor het authentiseren van personen (gebruikers en beheerders). Wachtwoordbeheer is gerelateerd aan twee aspecten proces en geheim. Het aspect proces(beheer) behelst het uitvoeren van met elkaar samenhangende activiteiten over het beheer van wachtwoorden. Het aspect geheim behelst een middel waarmee een gebruiker zich toegang kan verschaffen tot een locatie, systemen en informatie. Onderstaande indicatoren (maatregelen) zijn gericht op het authentiseren van personen (gebruikers en beheerders). Voor het authentiseren van systemen die andere systemen/bedrijfsobjecten e.d. benaderen, zijn soms stringentere eisen noodzakelijk.		Sterke wachtwoorden	Systemen voor wachtwoordbeheer behoren interactief te zijn en sterke wachtwoorden te waarborgen.	Het bewerkstelligen dat alleen de beoogde geauthentiseerden toegang tot (vooraf bepaalde) bedrijfsobjecten krijgen.	Niet geautoriseerde personen die zich toegang verschaffen tot de bedrijfsobjecten kunnen hierdoor schade aan de bedrijfsbelangen veroorzaken.	Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.3								2 december 2021 14:11:43	Wachtwoordenbeheer
TBV_B.01	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft het resultaat van een besluitvorming in welk tijdsbestek en met welke middelen de doelstelling voor toegangsbeveiliging bereikt moet worden. Objecttoelichting Het toegangsbeveiligingsbeleid maakt deel uit van het informatiebeveiligingsbeleid en geeft regels en voorschriften voor de organisatorische en technische inrichting van de fysieke toegang tot ruimten waar ICT-middelen zich bevinden en voor toegang tot de informatie en informatieverwerkende faciliteiten zelf, zoals toegang voor gebruikers tot applicaties en toegang voor beheerders tot ICT-componenten. Het toegangsbeveiligingsbeleid beschrijft onder andere de manier waarop de klantorganisatie omgaat met identiteit- en toegangsbeheer. Opgemerkt wordt, dat de control behorende bij het object ‘Toegangsbeveiligingsbeleid’ niet gaat over een diepgaande beoordeling van het toegangsbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het uitvoeringsdomein.			Een toegangbeveiligingsbeleid behoort te worden vastgesteld, gedocumenteerd en beoordeeld op basis van bedrijfseisen en informatiebeveiligingseisen.	Het beheersen van de toegang tot informatie.	Onvoldoende mogelijkheden om enerzijds sturing te geven aan de effectieve en betrouwbare inrichting van toegangsbeveiligingsmaatregelen en anderzijds sturing te geven aan het inrichten van de beheerorganisatie van de autorisatievoorziening en hierover verantwoordingrapportage te laten afgeven.	Beleid	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.1.1								2 december 2021 10:05:34	Toegangsbeveiligingsbeleid
TBV_C.04	Beveiligingsprincipe	2.1	Actueel	29 november 2021	29 oktober 2021	==Objectdefinitie== Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor de beheersing van toegangsbeveiliging en de doorontwikkeling van het afsprakenstelsel. Objecttoelichting Voor het adequaat beheersen en beheren van het toegangsbeveiligingssysteem dient een beheersorganisatiestructuur te zijn vastgesteld, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.			De eigenaar van het toegangsbeveiligingssysteem en toegangsmiddelen dient een beheersingsorganisatie ingericht hebben waarin de processtructuur, de taken, verantwoordelijkheden en bevoegdheden van de betrokken functionarissen zijn vastgesteld.	Het invullen, coördineren en borgen van de beheersing van het toegangsbeveiligingssysteem.	De beheersorganisatie is niet effectief ingericht waardoor het toegangsbeveiligingssysteem niet optimaal functioneert.	Control	Structuur	CIP-netwerk								29 november 2021 13:09:29	Beheersorganisatie toegangsbeveiliging
TBV_U.07	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft het scheiden van taken die een risico vormen voor misbruik of onbedoelde/onbevoegde beschikking over informatie en bedrijfsmiddelen. Objecttoelichting In het autorisatieproces gaat het om zowel taken van verschillende typen eindgebruikers en beheerders. Het toegangsbeleid dient regels en voorschriften te geven voor de organisatorische en technische inrichting van de toegang tot ICT-voorzieningen, zoals applicatie (gebruikers) en ICT-componenten (beheerders). Het toegangsvoorzieningsbeleid beschrijft onder andere de manier waarop de organisatie omgaat met identiteit- en toegangsbeheer. De nodige eisen worden gesteld aan functiescheiding om een effectief en consistent gebruikersbeheer, identificatie, authenticatie en toegangscontrolemechanismen voor heel de organisatie te waarborgen.		Gescheidentakenveranedoeld	Conflicterende taken en verantwoordelijkheden behoren te worden gescheiden om de kans op onbevoegd of onbedoeld wijzigingen of misbruik van de bedrijfsmiddelen van de organisatie te verminderen.	Het bewerkstelligen dat: gelegenheid voor onbevoegde of onbedoelde wijziging of misbruik van bedrijfsmiddelen van de organisatie wordt verminderd; niemand een gehele procescyclus kan beïnvloeden.	Het ontbreken van een adequate implementatie van functiescheiding kan leiden tot een verhoogde kans op fraude of misbruik van bedrijfsmiddelen bij kritische of fraudegevoelige taken. Het verstrekken van onnodige toegang vergroot het risico dat informatie opzettelijk of onopzettelijk wordt gebruikt, gewijzigd of vernietigd.	Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 6.1.2								2 december 2021 14:25:51	Functiescheiding
TBV_U.09	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft het proces voor het toekennen van rechten aan gebruikers. Objecttoelichting Gekozen is voor het object ‘Autorisatie’, omdat dit object beter aansluit op de toegangsmechanismen (identificatie, authenticatie en autorisatie) dan de BIO-titel ‘Beperking toegang tot informatie’. Na het identificatie- en authenticatieproces krijgen gebruikers en beheerders (verdere) specifieke toegang tot informatiesystemen voor gebruik respectievelijk beheerdoeleinden. Toegangsbeperking wordt gecreëerd met rollen en toegangsprofielen die voortkomen uit het toegangsbeleid.			Toegang (autorisatie) tot informatie en systeemfuncties van toepassingen behoren te worden beperkt in overeenstemming met het toegangsbeveiligingsbeleid.	Het voorkomen van onbevoegde toegang tot informatie in toepassingssystemen.	Door het niet beperken van toegang tot informatie en functies van toepassingssystemen kunnen ongewenste wijzigingen in een informatiesysteem worden aangebracht.	Uitvoering	Gedrag	BIO (Baseline Informatiebeveiliging Overheid): 9.4.1								2 december 2021 15:41:48	Autorisatie
TBV_U.08	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft geheime informatie waarmee een entiteit, aan de hand van een uniek kenmerk, zijn identiteit kan aantonen. Objecttoelichting NB Bewust is gekozen voor het begrip entiteit, omdat dit zowel kan gaan over personen als over apparatuur of softwaresystemen. Toegang tot informatiesystemen door gebruikers en infrastructuurcomponenten worden gereguleerd door de toegangsmechanismen gebruikersidentificatie (zoals een gebruikersaccount) en authenticatie (zoals een wachtwoord). Deze mechanismen moeten voldoen aan vooraf vastgestelde beveiligingseisen. Voor het verlenen van toegang tot informatiesystemen ontvangen gebruikers authenticatie-informatie. De gebruikers behoren hier vertrouwelijk mee om te gaan. Het delen van toegangssleutels tot informatie kan en mag nooit worden afgedwongen.			Het toewijzen van geheime authenticatie-informatie behoort te worden beheerst via een formeel beheersproces.	Het bewerkstelligen dat de geclaimde identiteit van de gebruiker kan worden bewezen en dat daardoor alleen de bevoegde (of beoogde) gebruiker toegang krijgt tot gegevens in het systeem.	Er kan misbruik van gegevens door onbevoegden worden gemaakt.	Uitvoering	Gedrag	BIO (Baseline Informatiebeveiliging Overheid): 9.2.4								2 december 2021 15:38:37	Geheime authenticatie-informatie
TBV_B.04	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een coderingstechniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie. Objecttoelichting Encryptie is een techniek om informatie te beschermen vanuit het oogpunt van vertrouwelijkheid, authenticiteit, onweerlegbaarheid en authenticatie. Voor toegangsbeveiliging is het van cruciaal belang dat de geheime authenticatie-informatie, zoals wachtwoorden en pincodes, worden beschermd tijdens de verwerking, het transport en de opslag. Een solide encryptiebeleid is daarbij een randvoorwaarde om aan geheime authenticatie-informatie het gewenste vertrouwen te ontlenen. Met dit beleid geeft de organisatie aan op welke wijze het omgaat met voorzieningen, procedures en certificaten voor versleuteling van gegevens.			Ter bescherming van authenticatie-informatie behoort een beleid voor het gebruik van cryptografische beheersmaatregelen te worden ontwikkeld en geïmplementeerd.	Het bewerkstelligen dat cryptografie correct en doeltreffend wordt gebruik om de vertrouwelijkheid, authenticiteit en/of integriteit van authenticatie-informatie te beschermen.	Als door ontoereikend cryptografiebeleid geheime authenticatie-informatie ontrafeld kan worden, dan is de vertrouwelijkheid en integriteit van data niet te garanderen.	Beleid	Gedrag	BIO (Baseline Informatiebeveiliging Overheid): 10.1.1								2 december 2021 12:05:05	Cryptografie toegangsbeveiliging
TBV_U.10	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Omvat de aanpak en de middelen om gebruikers fysieke en logische toegang te kunnen verlenen. Objecttoelichting Om autorisatiebeheer efficiënt en effectief te kunnen inrichten, zijn technische autorisatievoorzieningen, zoals een personeelsregistratiesysteem, een autorisatiebeheersysteem en autorisatiefaciliteiten noodzakelijk.			Ter ondersteuning van autorisatiebeheer moeten binnen de daartoe in aanmerking komende applicaties technische autorisatievoorzieningen, zoals: een personeelsregistratiesysteem, een autorisatiebeheersysteem en autorisatiefaciliteiten, beschikbaar zijn.	Het inzetten van autorisatievoorzieningen, zoals effectieve mechanismen voor het administreren van gebruikers en autorisaties voor de effectiviteit van autorisatiebeheer en het verminderen van de kans op fouten.	Er treedt vervuiling op bij het autorisatiebeheer, die mogelijk in onvoldoende mate of niet tijdig wordt gesignaleerd, waardoor onbevoegden toegang hebben tot gegevens.	Uitvoering	Structuur	CIP-netwerk								2 december 2021 15:56:28	Autorisatievoorziening
TBV_C.02	Beveiligingsprincipe	2.1	Actueel	29 november 2021	29 oktober 2021	==Objectdefinitie== Omvat de evaluatie van de mate waarin de actuele toegangsrechten nog valide zijn. Objecttoelichting Beoordeling toegangsrechten is gerelateerd aan twee aspecten: beoordelingsproces en toegangsrechten. Het aspect beoordelingsproces behelst het uitvoeren van met elkaar samenhangende activiteiten over het evalueren van toegangsrechten op validiteit of deze nog voldoen aan de actuele situatie. Het aspect toegangsrechten impliceert een recht om toegang te krijgen, zoals tot een locatie of systeem. Het is nodig om de (logische en fysieke) toegangsrechten van gebruikers regelmatig te beoordelen om de toegang tot gegevens en informatiediensten doeltreffend te kunnen beheersen. De toekenningen en wijzigingen van toegangsrechten dienen daarom periodiek gecontroleerd te worden. Hiertoe dienen maatregelen te worden getroffen in de vorm van: het voeren van controle-activiteiten op de registratie van toegangsrechten; het uitbrengen van rapportages aan het management.			Eigenaren van bedrijfsmiddelen behoren toegangsrechten van gebruikers regelmatig te beoordelen.	Het vaststellen of: de autorisaties juist zijn aangebracht in de applicaties; de wijzigingen en verwijderingen juist zijn uitgevoerd; de koppelingen tussen gebruikers en rollen tijdig zijn aangepast wanneer de inhoud van de functies of de eisen ten aanzien van functiescheiding, scheiding van handelingen en doelbinding daar aanleiding toe geven.	Door het ontbreken van controle op toegangsrechten worden afwijkingen in het autorisatieproces niet gesignaleerd en kan ongemerkt vervuiling optreden. Hierdoor bestaat het risico dat onbevoegden informatie kunnen inzien en/of manipuleren.	Control	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.5								29 november 2021 12:59:23	Beoordeling toegangsrechten
TBV_U.02	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een vastgelegde manier van handelen voor het verlenen van toegang tot bedrijfsmiddelen. Objecttoelichting De toegangsverleningsprocedure omvat een sub-procedure waarmee toegangsrechten, voor alle gebruikers, voor fysieke en logische toegang tot alle systemen en diensten worden toegewezen en of ingetrokken.		Gebruikerstoegangsverlening procedure	Een formele gebruikerstoegangsverleningsprocedure behoort te worden geïmplementeerd om toegangsrechten voor alle typen gebruikers en voor alle systemen en diensten toe te wijzen of in te trekken.	Het bewerkstelligen van een formele bevestiging voor gebruikersbevoegdheden.	Als formele goedkeuring van bevoegdheden ontbreekt, dan bestaat er geen duidelijkheid over wie welke handelingen mag verrichten.	Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.2								2 december 2021 13:18:03	Toegangsverleningsprocedure
TBV_B.05	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordelijkheden en bevoegdheden voor de relationele samenhang van beveiliging. Objecttoelichting De beveiligingsorganisatie ziet toe op het naleven van het informatiebeveiligingsbeleid. Waar nodig grijpt de beveiligingsorganisatie in. Welke taken, verantwoordelijkheden, bevoegdheden en middelen een beveiligingsorganisatie hierin heeft, wordt vooraf expliciet benoemd en vastgesteld. Ook moet vaststaan hoe de rapportagelijnen zijn uitgestippeld.			De organisatie moet een beveiligingsorganisatie gedefinieerd hebben waarin de organisatorische positie, de taken, verantwoordelijkheden en bevoegdheden (TVB) van de betrokken functionarissen en de rapportagelijnen zijn vastgesteld.	Het invullen, coördineren en borgen van het informatiebeveiligingsbeleid binnen de organisatie.	Het informatiebeveiligingsbeleid komt niet effectief tot uitvoering.	Beleid	Structuur	ISO 27001 2017: 5.3								2 december 2021 12:31:47	Beveiligingsorganisatie toegangsbeveiliging
TBV_B.02	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft het toewijzen van de verantwoordelijkheid voor het toegangsbeveiligingssysteem. Objecttoelichting Om de toegang tot bedrijfsmiddelen, zoals het toegangsbeveiligingssysteem en overige fysieke bedrijfsmiddelen, betrouwbaar in te richten, is het van belang het eigenaarschap van bedrijfsmiddelen goed te beleggen, zodat de verantwoordelijke functionaris vanuit aan hem toegekende verantwoordelijkheid het toegangsbeveiligingssysteem conform de hieraan gestelde eisen kan inrichten. De coördinatie en beslissingen over specifieke acties (wie mag wat zien, raadplegen, muteren) vinden plaats onder de verantwoordelijkheid van de eigenaar en in samenwerking met andere functionarissen (Responsible, Accountable, Consulting en Informed (RACI).			Het eigenaarschap en de verantwoordelijkheden voor logische toegangsbeveiligingssystemen en de verantwoordelijkheden voor fysieke toegangsbeveiligingssystemen behoren te zijn vastgelegd.	Het bewerkstelligen dat er een verantwoordelijke is voor het toegangsbeveiligingssysteem en voor een betrouwbare inrichting ervan, dan wel ervoor zorgen dat noodzakelijke acties worden ondernomen.	Noodzakelijke beveiligingsacties blijven achterwege.	Beleid	Intentie	ISO 27002 2017: 8.1.1 en 8.1.2 The Standard of Good Practice for Information Security 2018: PM1.2								2 december 2021 10:11:49	Eigenaarschap toegangsbeveiliging
TBV_U.03	Beveiligingsprincipe	2.1	Actueel	2 december 2021	29 oktober 2021	==Objectdefinitie== Betreft een vastgelegde manier van handelen voor het leggen van een verbinding met een systeem, een netwerk of een afgeschermd deel van een website. Objecttoelichting De inlogprocedure omvat de technische procedure waarbij het toegangsbeheersysteem controleert of aan de vereiste inlogeisen wordt voldaan.		Beveiligde inlogprocedure	Als het beleid voor toegangsbeveiliging dit vereist, moet de toegang tot systemen en toepassingen worden beheerst met behulp van een beveiligde inlogprocedure.	Onbevoegde toegang tot systemen en toepassingen voorkomen.	Misbruik en verlies van gevoelige gegevens en beïnvloeding van beschikbaarheid van informatiesystemen.	Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.2								2 december 2021 13:20:54	Inlogprocedure
TBV_TOEL 4	Hoofdstuk normenkader		Vervangen	1 april 2021	29 januari 2018																	8 april 2021 15:05:48	BIO Thema Toegangsbeveiliging - Aandachtspunten ten aanzien objecten
TBV_INL	Hoofdstuk normenkader	2.1	Actueel	29 november 2021	29 oktober 2021	Deze BIO Thema-uitwerking representeert een referentiekader voor de BIO Thema-uitwerking Toegangsbeveiliging en is geënt op controls uit best practices zoals: Baseline Informatiebeveiliging Overheid (BIO), NEN-EN-ISO/IEC 27001:2017 (hierna genoemd ISO 27001) en NEN-ISO/IEC 27002: 2017 (hierna genoemd ISO 27002), the Standard of Good Practice (SoGP) 2018 en de National Institute of Standards and Technology (NIST). Opzet BIO Thema-uitwerking De BIO Thema-uitwerking Toegangsbeveiliging wordt uitgewerkt langs twee onderdelen: structuur en objecten. De structuur van deze thema-uitwerking bestaat uit een indeling op basis van Beleid, Uitvoering en Control (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van controls en onderliggende maatregelen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd door middel van met de (BUC-)lagenstructuur. Deze thema-uitwerking volgt de standaard opzet voor BIO Thema-uitwerkingen: Scope en begrenzing van de thema-uitwerking (zie Scope en begrenzing van toegangsbeveiliging); Context en globale structuur van de thema-uitwerking (zie Context en globale structuur toegangsbeveiliging); Globale relaties tussen de geïdentificeerde beveiligingsobjecten (zie Globale relaties tussen de geïdentificeerde beveiligingsobjecten); Scope en begrenzing toegangsbeveiliging De uitwerking van logische toegangsbeveiliging is in deze BIO Thema-uitwerking gericht op identificatie, authenticatie en autorisatie van (interne en externe) medewerkers voor systemen die op een bepaalde locatie staan. De uitwerking van fysieke beveiliging is deze thema-uitwerking gericht op de fysieke toegang tot terreinen, gebouwen en ruimten (bijvoorbeeld rekencentra). Specifieke apparaat gebonden mechanismen voor toegangsbeveiliging, zoals toegang tot besturingssystemen, netwerken, mobiele computers en telewerken zullen in andere thema-uitwerkingen worden behandeld. De begrenzing van deze BIO Thema-uitwerking is in afbeelding 'Relatie BIO Thema-uitwerking Toegangsbeveiliging met aanpalende documenten' weergegeven. Relatie BIO Thema-uitwerking Toegangsbeveiliging met aanpalende documenten Context en globale structuur toegangsbeveiliging Organisaties maken gebruik van informatiesystemen om hun bedrijfsprocessen te ondersteunen en medewerkers zijn gehuisvest in gebouwen en ruimten. De informatiesystemen maken gebruik van cruciale data van de organisatie zelf en van haar klanten. Het is van belang dat deze informatiesystemen worden beveiligd en beheerst, anders loopt de organisatie het risico dat deze data misbruikt wordt, wat kan leiden tot bijvoorbeeld boetes, imagoschade, klantenverlies e.d. In dit kader speelt toegangsbeveiliging een cruciale rol. Toegangsbeveiliging omvat logische en fysieke toegangsbeveiliging, zoals in de afbeelding 'Globale opzet logische en fysieke beveiliging' hieronder wordt weergegeven. Globale opzet logische en fysieke toegangsbeveiliging Logische toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en faciliteiten die noodzakelijk zijn voor het verschaffen van toegang tot informatiesystemen, besturingssystemen, netwerken, mobiele apparaten en telewerken van een organisatie. Fysieke toegangsbeveiliging omvat het geheel van richtlijnen, procedures en beheersingsprocessen en systemen die noodzakelijk zijn voor het verschaffen van fysieke toegang tot terreinen, gebouwen en ruimten.																29 november 2021 14:17:00	BIO Thema Toegangsbeveiliging - Inleiding
TBV_V	Hoofdstuk normenkader		Uitgefaseerd	8 april 2021	21 oktober 2019																	8 april 2021 11:53:23	BIO Thema Toegangsbeveiliging - Verbindingsdocument
TBV_INL BT	Hoofdstuk normenkader	2.1	Actueel	30 november 2021	29 oktober 2021	Objecten worden geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de optiek van de kwaliteitscriteria: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC), die vervolgens zijn ingedeeld in het beleids-, uitvoerings- en control-domein. De vragen die hierbij een rol hebben gespeeld zijn: Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? Welke elementen spelen een rol bij de inrichting van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? Welke elementen spelen een rol bij de beheersing van toegangsbeveiliging vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid? Afbeelding 'Schematische weergave componenten toegangsbeveiliging in drielagenstructuur' geeft de positionering weer van toegangsbeveiligingselementen binnen het uitvoeringsdomein. Deze elementen geven een verband van elementen die binnen de organisatieonderdelen een rol spelen. De elementen kunnen direct of indirect voorkomen als beveiligingsobjecten. Schematische weergave componenten logische toegangsbeveiliging in drielagenstructuur Globale relaties tussen geïdentificeerde beveiligingsobjecten De Baseline Informatiebeveiliging Overheid (BIO) is ingedeeld met de hoofdstukindeling van de ISO 27002. Bij het ontwikkelen van een BIO Thema-uitwerking, zoals de toegangsbeveiliging, is het noodzakelijk om na te gaan uit welke onderdelen (objecten) de omgeving van toegangsbeveiliging precies bestaat. Zonder een beeld over de samenhang tussen de objecten is het lastig om de normen in de juiste samenhang uit de BIO te selecteren. Afbeelding 'Schematische weergave van de componenten van logische toegangsbeveiliging in een drielagenstructuur' geeft een voorbeeld van de betrokken onderdelen uit de business en ICT-omgeving waar een organisatie over het algemeen mee te maken hebben. Deze onderdelen kunnen gerelateerd zijn aan de beveiligingsobjecten in een toegangsbeveiligingsomgeving. Toegangsbeveiliging omvat het geheel van actoren, beleid, richtlijnen, procedures, processen, registratiesystemen voor een vertrouwd en betrouwbaar gebruik van informatiesystemen. De essentiële onderdelen van toegangsbeveiliging worden in onderstaande figuur weergegeven. De onderdelen zijn hieronder toegelicht met de domeinen (beleid, uitvoering en control) waarin deze voorkomen. Beleidsdomein Het beleidsdomein bevat algemene conditionele elementen voor de inrichting van de toegangsbeveiliging zoals toegangsbeleid. Het bevat ook andere conditionele en randvoorwaardelijke aspecten die van toepassing zijn op het uitvoeringsdomein en het control-domein. Het bevat over het algemeen de objecten: beleid, cryptografie, organisatiestructuur en architectuur. Uitvoeringsdomein Het uitvoeringsdomein omvat verschillende organisatieonderdelen die betrokken zijn bij de inrichting van de toegangsbeveiliging. Toegangsbeveiliging is een continu proces die de samenwerking van deze bedrijfsonderdelen nodig heeft. Deze bedrijfsonderdelen zijn gezamenlijk verantwoordelijk voor de juiste inrichting van de beveiligingsobjecten over toegangsbeveiliging. De betrokken organisatieonderdelen zijn onder andere: Personeelsafdeling, De personeelsafdeling zorgt ervoor dat medewerkers in het personeelsregistratiesysteem worden opgenomen en zorgt, in samenwerking met business, dat vanuit een organisatorische en procedurele invalshoek elementen worden vastgelegd. De van belang zijnde elementen zijn: gegevens/proceseigenaar, gebruiker, rol, profiel en taak. De relatie tussen deze elementen kan gelezen worden als: Een gebruiker heeft een rol. Met deze rol wordt zijn profiel bepaald. Met zijn profiel worden de rechten bepaald waarmee hij zijn taak kan uitvoeren. ICT afdeling, De ICT-afdeling zorgt voor ICT-voorzieningen en de geautoriseerde toegang tot benodigde applicaties en het authenticatiemiddel. Dit wordt vastgelegd in termen van identificatie, authenticatie en autorisatie. Er zijn verschillende typen gebruikers: eindgebruikers (remote-gebruikers) en beheerders. Deze gebruikers moeten aan specifieke toegangseisen voldoen. De gebruikersgegevens, de rollen en profielen worden vastgelegd in registratiesystemen. In dit geval zijn er drie registratiesystemen vermeld. In de praktijk is dit afhankelijk van het type organisatie. Er zijn ook registraties die worden gebruikt voor analysedoeleinden. Facilitair Bedrijf, Het Facilitair bedrijf zorgt voor een fysieke toegang tot terreinen, gebouwen en ruimten met een toegangsmiddel. Hierbij ontvangen de medewerkers bijvoorbeeld een toegangspas (is een identificatiemiddel). Control-domein Het control-domein bevat evaluatie-, meet- en beheersingsaspecten waarmee toegangsbeveiliging wordt beheerst en bijgestuurd. Het vervult hiermee een control-functie die kort en lang cyclisch van aard kunnen zijn. Dit domein bevat beheersprocessen, zoals de Information Technology Infrastructure Library (ITIL)-processen, die noodzakelijk zijn voor de beheersing van de configuraties van IT-componenten en de instandhouding van het beveiligingsniveau. De informatie uit de evaluaties en de beheerprocessen is niet alleen gericht op het bijsturen en/of aanpassen van het eerder geformuleerde beleid maar ook op implementatie van de toegangsbeveiliging. In Afbeelding 'Schematische weergave van de componenten van logische toegangsbeveiliging in een drielagenstructuur' wordt de hiervoor uitgelegde domeinenstructuur geïllustreerd. De domeinindeling is verder uitgewerkt in de pagina Control-domein. Gevirtualiseerde systeemomgevingen zien er qua systeemtopologie geheel anders uit, maar de basiselementen voor de toegang zijn dezelfde.																30 november 2021 11:02:26	BIO Thema Toegangsbeveiliging - Beveiligingsobjecten toegangsbeveiliging
TBV_OBJ_2	Hoofdstuk normenkader		Uitgefaseerd	7 september 2021	29 januari 2018	De toegangsbeveiligingsobjecten in de drie domeinen Beleid, Uitvoering en Control in een oogopslag Afbeelding 10: Toegangsbeveiligingsobjecten binnen het beleidsdomein Afbeelding 11: Toegangsbeveiligingsobjecten binnen het uitvoeringsdomein Afbeelding 12: Toegangsbeveiligingsobjecten binnen het control-domein																7 september 2021 15:07:02	BIO Thema Toegangsbeveiliging - Objecten gerelateerd aan SIVA basiselementen
TBV_TOEL TSM	Hoofdstuk normenkader		Uitgefaseerd	8 april 2021	29 november 2019																	8 april 2021 14:34:30	BIO Thema Toegangsbeveiliging - Toelichting SIVA basiselementen m.b.v. het MCS
TBV_TOEL DRO	Hoofdstuk normenkader		Uitgefaseerd	8 april 2021	5 december 2019																	8 april 2021 14:21:00	BIO Thema Toegangsbeveiliging - Doelstelling en risico per object
TBV_TOEL ST	Hoofdstuk normenkader	2.1	Actueel	29 november 2021	29 oktober 2021	Voor zowel interne als externe medewerkers hanteer voor de inrichting en evaluatie van voorzieningen voor toegangsbeveiliging de volgende fasering (zie afbeelding 'Relaties richtlijnen tussen in-, door- en uitstroom): Indiensttreding (instroom), In deze fase gelden algemene en specifieke richtlijnen voor de taken en verantwoordelijkheden van de werkgever en de werknemer. De werkgever zal in de fase, na een zorgvuldige selectieprocedure, de noodzakelijke zaken voor de werknemer moeten regelen. Tijdens dienstverband (doorstroom), In deze fase worden werknemers, afhankelijk van hun functie, via trainingen en opleidingen bewust gemaakt van het omgaan met bedrijfsmiddelen (onder andere bedrijfsgegevens) en hoe zij moeten omgaan met aspecten van informatiebeveiliging. Uitdiensttreding (uitstroom), In deze fase treft de werkgever de noodzakelijke maatregelen voor het beëindigen van het dienstverband. De werknemer zal de aan hem verstrekte bedrijfsmiddelen volgens afgesproken procedure moeten inleveren. Relaties richtlijnen tussen in-, door- en uitstroom Indiensttreding nieuwe medewerkers Met het verstrekken van de aanstellingsbeschikking komt een medewerker, aangenomen door een manager, in dienst. Bij indiensttreding ontvangt de medewerker een toegangspas waarmee hij toegang krijgt tot het terrein, gebouw en de bij de functie horende ruimtes (fysieke toegangsbeveiliging). Naast de fysieke ruimtes krijgt de medewerker ook toegang tot logische ruimtes, ofwel: de persoonlijk en gemeenschappelijke gegevensverzamelingen en tot de algemene kantoorautomatiseringsomgeving, zoals de KA- of de Front-Office omgeving en specifieke applicaties. Voor de werkzaamheden binnen de specifieke applicaties kan hij weer algemene en specifieke rechten krijgen. Achter de schermen worden heel wat stappen gezet om deze nieuwe medewerker daadwerkelijk in te voeren als een actieve functionaris. Hierbij zijn verschillende afdelingen betrokken zoals: De Personeelsafdeling (of Human Resource Management) zorgt daarbij voor invoering van de nieuwe medewerker in het personeelsbestand. De Facilitaire dienst of Facilitair bedrijf zorgt voor een fysieke werkplek (bureau, stoel etc.) en maakt een toegangspas aan (= identificatiemiddel). De Gegevens-/Proceseigenaar zorgt voor mandaatregister waaruit blijkt welke personen bevoegd zijn voor uitvoering van welke taken (autorisaties). De ICT-afdeling zorgt voor ICT-voorzieningen misschien en de geautoriseerde toegang tot benodigde applicaties evenals het authenticatiemiddel (zoals een toegangspas). Deze stappen staan niet los van elkaar. Zij dienen namelijk één gemeenschappelijk doel: het bieden van geautoriseerde toegang en daarvoor zijn meerdere gegevens van de medewerker en meerdere acties vanuit de organisatie nodig om de benodigde zaken te regelen om de medewerker in de positie te stellen voor het uitvoeren van zijn taken. Omgekeerd zal de medewerker kennis moeten nemen van de missie/visie van de organisatie en van haar informatiebeveiligingsbeleid. Afbeelding 'Processtappen en acties bij de indiensttreding van een medewerker' geeft een beeld van de processtappen bij de indiensttreding (instroom) van een medewerker. Processtappen en acties bij indiensttreding van een medewerker Nadat de processtappen en acties bij de indiensttreding van de medewerker zijn doorlopen, is de medewerker geïdentificeerd. De medewerker (gebruiker) bezit dan de nodige middelen, een fysiek toegangsbewijs voor toegang tot terreinen, gebouwen en ruimtes van de organisatie in de vorm van een toegangspas en een logisch toegangsbewijs in de vorm van een account voor toegang tot Informatievoorzieningen (IV) faciliteiten. Na het met de inloggegevens (identificatie/accountnaam en authenticatie) inloggen, krijgt de gebruiker toegang tot applicaties. Aan het account, het identificatiebewijs van de gebruiker, zijn toegangsrechten (autorisaties) gekoppeld. Autorisatie (profiel) komt tot stand met de rol van de gebruiker en geeft hem het recht bepaalde taken in de applicatie uit te voeren. Bij doorstroom is er sprake van wijzigingen van de toegangsgegevens (identificatie, authenticatie en autorisatie). Bij uitstroom is er sprake van blokkering van deze gegevens. De persoonlijke gegevens van de gebruiker zijn opgeslagen in het personeelssysteem, de rol en het profiel zijn opgeslagen in het autorisatiesysteem. De profielen en de taken zijn op hun beurt weer opgeslagen in het informatiesysteem. Afbeelding 'Schematische weergave autorisatieproces in de domeinen' geeft hiervan een overzicht. Schematische weergave autorisatieproces in de domeinen Tijdens het dienstverband Tijdens het dienstverband heeft de medewerker (gebruiker) toegang tot de informatiesystemen door de bij de indiensttreding verkregen middelen en toegangsrechten. Daarvoor moeten fysieke toegangssystemen, authenticatiesystemen en autorisatiesystemen worden ingericht. Tijdens het dienstverband kunnen werkzaamheden van medewerkers worden gewijzigd en of op een andere functie/project worden geplaatst. Er kan ook sprake zijn van een (tijdelijke) overplaatsing. Dan zullen de nodige wijzigingen in functieprofielen (autorisatie) en taakrollen in het registratiesysteem worden doorgevoerd. De oorspronkelijke functie dient dan te worden gedeactiveerd en de toegangsrechten worden aangepast, geblokkeerd of verwijderd. Uitdiensttreding Uiteindelijk kan een medewerker door bepaalde redenen uit dienst treden. Dit houdt in dat bepaalde gegevens van de medewerkers dienen te worden geregistreerd en autorisaties voor het gebruik van applicaties moeten worden verwijderd. → Ga terug naar U.04 Autorisatieproces																29 november 2021 13:34:07	BIO Thema Toegangsbeveiliging - Scenario voor toegangsbeveiliging
TBV_B.01.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsbeveiligingsbeleid				Beleid	Intentie	ISO 27002 2017: 9.1.1 NIST Special Publication 800-63B (Authentication and Lifecycle Management)	Het toegangvoorzieningsbeleid: is consistent aan de vigerende wet- en regelgeving en informatiebeveiligingsbeleid; stelt eisen voor beheer van toegangsrechten in een distributie- en netwerkomgeving die alle beschikbare verbindingen herkent.		Toegangsbeveiligingsbeleid					18 november 2021 08:20:13	Eisen aan het Toegangvoorzieningsbeleid
TBV_C.02.05	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Control	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.5.2	De opvolging van bevindingen is gedocumenteerd.		Beoordeling toegangsrechten					18 november 2021 13:05:12	De opvolging van bevindingen is gedocumenteerd.
TBV_C.02.06	Norm	2.1	Actueel	29 november 2021	29 oktober 2021			Beoordelen				Control	Functie	CIP-netwerk	Het beoordelen vindt plaats met een formeel proces, zoals: planning, uitvoering van scope, rapporteren en bespreken van verbetervoorstellen.		Beoordeling toegangsrechten					29 november 2021 10:50:09	Het beoordelen vind plaats op basis van een formeel proces
TBV_U.04.06	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Uitvoering	Functie	ISO 27002 2017: 9.2.6	Toegangsrechten voor informatie en informatieverwerkende bedrijfsmiddelen en faciliteiten behoren te worden verminderd of ingetrokken voordat het dienstverband eindigt of wijzigt afhankelijk van risicofactoren.		Autorisatieproces					18 november 2021 10:26:22	Toegangsrechten intrekken voordat dienstverband eindigt of wijzigt, afhankelijk van risicofactoren
TBV_U.06.01	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Toewijzen				Uitvoering	Functie	ISO 27002 2017: 9.2.3	Het toewijzen van speciale toegangsrechten vindt plaats door een risicoafweging en met richtlijnen en procedures.		Speciale toegangsrechtenbeheer					2 december 2021 14:22:43	Het toewijzen van speciale toegangsrechten vindt plaats op basis van risico afweging, richtlijnen en procedures
TBV_U.10.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Personeelsregistratiesysteem				Uitvoering	Structuur	CIP-netwerk	Alle interne en externe gebruikers worden vóór de toegangsverlening tot de applicatieomgeving opgenomen in het personeelsinformatiesysteem.		Autorisatievoorziening					18 november 2021 10:55:05	Alle gebruikers worden nog vóór de toegang tot de applicatieomgeving in het personeelsinformatiesysteem opgenomen
TBV_B.01.05	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Informatiebeveiligingseisen				Beleid	Intentie	ISO 27002 2017: 9.1.1	Het autorisatiebeheer is procesmatig ingericht (zoals: aanvragen, toekennen, controleren, implementeren, intrekken/beëindigen en periodiek beoordelen).		Toegangsbeveiligingsbeleid					18 november 2021 08:23:15	Het autorisatiebeheer is procesmatig ingericht
TBV_C.01.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Procedures				Control	Intentie	CIP-netwerk	De organisatie beschikt over een beschrijving van de relevante controleprocessen.		Beoordelingsprocedure					18 november 2021 12:47:51	De organisatie beschikt over een beschrijving van de relevante controleprocessen
TBV_B.03.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beveiligingsfunctie				Beleid	Gedrag	The Standard of Good Practice for Information Security 2018: SM2.1 ISO 27001 2017: 5.3	De rollen binnen de beveiligingsfunctie moeten zijn benoemd en de taken en verantwoordelijkheden vastgelegd, zoals: Human Resource Management (HRM), Proceseigenaar, Autorisatiebeheerder, Chief Information Security Officer (CISO) en Beveiligingsambtenaar (BVA) als het gaat om de Rijksoverheid.		Beveiligingsfunctie					18 november 2021 08:45:00	De rollen binnen de beveiligingsfunctie zijn benoemd
TBV_U.03.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beveiligde inlogprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.2.2	De risicoafweging bepaalt onder welke voorwaarden de leveranciers toegang krijgen. Uit een wijzigingsvoorstel (call) blijkt hoe de rechten zijn toegekend.		Inlogprocedure					18 november 2021 10:17:13	Een risicoafweging bepaalt de voorwaarden voor toegang
TBV_U.11.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Passende toegangsbeveiliging				Uitvoering	Functie	CIP-netwerk	Medewerkers, contractanten en externen dragen zichtbare identificatie.		Fysieke toegangsbeveiliging					18 november 2021 11:08:39	Medewerkers en contractanten en externen dragen zichtbare identificatie
TBV_U.08.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beheersproces				Uitvoering	Gedrag	CIP-netwerk	Een onderdeel van de arbeidsvoorwaarden is een verplichte verklaring van gebruikers waarin zij verklaren persoonlijke geheime authenticatie-informatie geheim te houden.		Geheime authenticatie-informatie					18 november 2021 09:53:49	Verplichte geheimhoudingsverklaring is een onderdeel van de arbeidsvoorwaarden
TBV_U.07.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Verantwoordelijkheden				Uitvoering	Functie	CIP-netwerk	Verantwoordelijkheden voor beheer en wijziging van gegevens en bijbehorende informatiesysteemfuncties moeten eenduidig zijn toegewezen aan één specifieke (beheerders)rol.		Functiescheiding					18 november 2021 09:32:35	Verantwoordelijkheden voor beheer en systeemfuncties zijn eenduidig toegewezen aan één specifieke beheerrol
TBV_B.04.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Authenticatie-informatie				Beleid	Gedrag	The Standard of Good Practice for Information Security 2018: TS2.2	Authenticatie-informatie wordt beschermd door middel van versleuteling.		Cryptografie toegangsbeveiliging					18 november 2021 08:47:03	Authenticatie-informatie wordt beschermd door middel van versleuteling
TBV_U.02.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Gebruikers toegangverleningsprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.2.1	Er is uitsluitend toegang verleend tot informatiesystemen na autorisatie door een bevoegde functionaris.		Toegangsverleningsprocedure					18 november 2021 10:11:46	Uitsluitend toegang na autorisatie
TBV_B.05.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Organisatorische positie				Beleid	Structuur	CIP-netwerk	De beveiligingsorganisatie heeft een formele positie binnen de gehele organisatie.		Beveiligingsorganisatie toegangsbeveiliging					18 november 2021 08:51:32	De beveiligingsorganisatie heeft een formele positie
TBV_U.07.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Gescheiden				Uitvoering	Functie	CIP-netwerk	Rollen, taken en verantwoordelijkheden zijn vastgesteld conform gewenste functiescheidingen.		Functiescheiding					18 november 2021 09:36:15	Rollen, taken en verantwoordelijkheden zijn vastgesteld conform gewenste functiescheidingen
TBV_C.03.06	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Bewaard				Control	Gedrag	CIP-netwerk	Bij het verwerken van persoonsgegevens wordt, conform het gestelde in de Algemene Verordening Gegevensbescherming (AVG), een verwerkingsactiviteitenregister bijgehouden.		Logging en monitoring toegangsbeveiliging					18 november 2021 13:20:17	Bij het verwerken van persoonsgegevens wordt een verwerkingsactiviteiten register bijgehouden.
TBV_U.01.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Formele registratie- en afmeldprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.1.2	Het gebruiken van groepsaccounts is niet toegestaan, tenzij dit wordt gemotiveerd en vastgelegd door de proceseigenaar.		Registratieprocedure					18 november 2021 09:20:39	Groepsaccounts niet toegestaan tenzij
TBV_C.02.07	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beoordelen				Control	Functie	CIP-netwerk	Een functionaris is verantwoordelijk voor het controleren van de organisatorische- en de technische inrichting van toegangsbeveiliging.		Beoordeling toegangsrechten					18 november 2021 13:07:04	Een hiervoor verantwoordelijke functionaris controleert de organisatorische- en technische inrichting
TBV_U.05.01	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Sterke wachtwoorden				Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.3.1	Als geen gebruik wordt gemaakt van twee-factorauthenticatie: is de wachtwoordlengte minimaal 8 posities en complex van samenstelling; vervalt vanaf een wachtwoordlengte van 20 posities de complexiteitseis; is het aantal inlogpogingen maximaal 10; is de tijdsduur dat een account wordt geblokkeerd na overschrijding van het aantal keer foutief inloggen, vastgelegd.		Wachtwoordenbeheer					2 december 2021 13:41:25	Aanvullende eisen wanneer geen gebruik gemaakt wordt van 2-factor authenticatie
TBV_U.10.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Autorisatiefaciliteiten				Uitvoering	Structuur	CIP-netwerk	Iedere applicatie die valt onder het autorisatiebeheerproces heeft functionaliteiten om autorisaties toe te kennen, in te zien en te beheren.		Autorisatievoorziening					18 november 2021 11:04:21	Onder autorisatiebeheer vallende applicaties hebben functionaliteit voor toekennen, inzien en beheren van autorisaties
TBV_B.02.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Eigenaarschap				Beleid	Intentie	The Standard of Good Practice for Information Security 2018: PM1.2.2	De eigenaar heeft de beschikking over noodzakelijke kennis, middelen en mensen en autoriteit om zijn verantwoordelijkheid te kunnen uitvoeren ten aanzien van de inrichting van het toegangbeveiligingssysteem.		Eigenaarschap toegangsbeveiliging					18 november 2021 08:35:38	De eigenaar beschikt over kennis, middelen, mensen en autoriteit
TBV_C.01.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Procedures				Control	Intentie	CIP-netwerk	De procedures hebben betrekking op controleprocessen die conform een vastgestelde cyclus zijn ingericht, zoals: registratie, statusmeting, bewaking (monitoring), analyse, rapportage en evaluatie.		Beoordelingsprocedure					18 november 2021 12:48:30	De procedures hebben betrekking op ingerichte controleprocessen met vastgestelde cyclus
TBV_B.03.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beveiligingsfunctie				Beleid	Functie	The Standard of Good Practice for Information Security 2018: SA1.1.10	De functionarissen binnen de beveiligingsfunctie moeten periodiek het toegangsbeveiligingssysteem (laten) evalueren inclusief de implicatie van business initiatieven voor het toegangsbeveiligingssysteem.		Beveiligingsfunctie					18 november 2021 08:45:40	Het toegangbeveiligingssysteem wordt periodiek geevalueerd
TBV_U.04.02	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Formeel autorisatieproces				Uitvoering	Functie	CIP-netwerk	Het verwerken van autorisaties wordt uitgevoerd met een formele autorisatieopdracht van een bevoegde functionaris.		Autorisatieproces					26 november 2021 15:02:46	Formele autorisatieopdracht
TBV_U.09.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Informatie				Uitvoering	Gedrag	BIO (Baseline Informatiebeveiliging Overheid): 9.4.1.2	Gebruikers kunnen alleen die informatie met specifiek belang inzien en verwerken die ze nodig hebben voor de uitoefening van hun taak.		Autorisatie					18 november 2021 10:44:08	Gebruikers kunnen alleen voor de uitoefening van hun taak benodigde informatie verwerken
TBV_U.01.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Formele registratie- en afmeldprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.1.1	Er is een sluitende formele registratie- en afmeldprocedure voor alle gebruikers (vanaf de eerste registratie tot en met de beëindiging).		Registratieprocedure					18 november 2021 09:20:00	Een sluitende formele registratie- en afmeldprocedure
TBV_U.02.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Gebruikers toegangverleningsprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.2.2	Op basis van een risicoafweging is bepaald waar en op welke wijze functiescheiding wordt toegepast en welke toegangsrechten worden gegeven.		Toegangsverleningsprocedure					18 november 2021 10:12:38	Risicoafweging voor functiescheiding en toegangsrechten
TBV_B.01.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Bedrijfseisen				Beleid	Intentie	ISO 27002 2017: 9.1.1	Bij bescherming van toegang tot gegevens wordt aandacht geschonken aan relevante wetgeving en eventuele contractuele verplichtingen.		Toegangsbeveiligingsbeleid					18 november 2021 08:20:57	Aandacht voor wetgeving en verplichtingen
TBV_U.07.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Taken				Uitvoering	Functie	CIP-netwerk	Een scheiding is aangebracht tussen beheertaken en (overige) gebruikstaken.		Functiescheiding					18 november 2021 09:31:56	Een scheiding is aangebracht tussen beheertaken en gebruikstaken
TBV_C.04.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Processtructuur				Control	Structuur	CIP-netwerk	De samenhang van de processen wordt met een processtructuur vastgelegd.		Beheersorganisatie toegangsbeveiliging					18 november 2021 13:24:51	De samenhang van de toegangbeveiliging beheerprocessen wordt in een processtructuur vastgelegd
TBV_U.01.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Formele registratie- en afmeldprocedure				Uitvoering	Intentie	CIP-netwerk	De aanvraag van autorisaties op het gebruik van informatiesystemen en de toegewezen autorisatieniveaus worden gecontroleerd.		Registratieprocedure					18 november 2021 08:17:10	Autorisaties worden gecontroleerd
TBV_C.03.05	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Bewaard				Control	Gedrag	CIP-netwerk	De Security Information and Event Management (SIEM) en/of Security Operations Centre (SOC) hebben heldere regels over wanneer een incident aan het verantwoordelijke management moet worden gerapporteerd.		Logging en monitoring toegangsbeveiliging					18 november 2021 13:18:37	De SIEM en/of SOC hebben heldere regels over wanneer een incident moet worden gerapporteerd
TBV_U.05.02	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Sterke wachtwoorden				Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.3.2	In situaties waar geen twee-factorauthenticatie mogelijk is, wordt minimaal halfjaarlijks het wachtwoord vernieuwd.		Wachtwoordenbeheer					2 december 2021 14:12:57	Daar waar geen 2-factor authenticatie mogelijk is, wordt minimaal het wachtwoord halfjaarlijks vernieuwd
TBV_U.11.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Passende toegangsbeveiliging				Uitvoering	Functie	CIP-netwerk	Aankomst- en vertrektijden van bezoekers worden geregistreerd.		Fysieke toegangsbeveiliging					18 november 2021 11:07:45	Aankomst- en vertrektijden van bezoekers worden geregistreerd
TBV_U.08.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beheersproces				Uitvoering	Gedrag	CIP-netwerk	Geheime authenticatie-informatie is uniek toegekend aan een persoon en voldoet aan een specifieke (niet gemakkelijk te raden) samenstelling van tekens.		Geheime authenticatie-informatie					18 november 2021 09:54:27	Authenticatie-informatie is uniek toegekend aan één persoon en voldoet aan specifieke samenstelling van tekens
TBV_C.01.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Procedures				Control	Intentie	CIP-netwerk	De organisatie beschikt over procedures voor het controleren van toegangsbeveiligingssystemen en -registraties (log-data).		Beoordelingsprocedure					18 november 2021 12:47:09	De organisatie beschikt over procedures voor de controle van toegangbeveiligingssystemen en registraties
TBV_C.03.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Log-bestanden				Control		BIO (Baseline Informatiebeveiliging Overheid): 12.4.1.1	Een logregel bevat de vereiste gegevens (zoals: de gebeurtenis, herleidbaarheid tot een natuurlijke persoon, identiteit van het werkstation of de locatie, handelingen, datum en tijdstip).		Logging en monitoring toegangsbeveiliging					18 november 2021 13:11:46	Een log-regel bevat de vereiste gegevens
TBV_U.04.03	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Formeel autorisatieproces				Uitvoering	Functie	CIP-netwerk	De activiteiten aanvragen, verwerken en intrekken van het autorisatieverzoek (succes/foutmelding) worden vastgelegd en gearchiveerd.		Autorisatieproces					2 december 2021 13:30:10	Alle autorisatie-activiteiten worden vastgelegd en gearchiveerd
TBV_C.03.02	Norm	2.1	Actueel	29 november 2021	29 oktober 2021			Log-bestanden				Control		BIO (Baseline Informatiebeveiliging Overheid): 12.4.1.2	Een logregel bevat in geen geval gegevens die de beveiliging kunnen doorbreken van de beveiliging kunnen leiden (zoals wachtwoorden en inbelnummers).		Logging en monitoring toegangsbeveiliging					29 november 2021 10:52:36	Een logregel bevat in geen geval gegevens die de beveiliging kunnen doorbreken
TBV_U.09.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Systeemfuncties				Uitvoering	Gedrag	CIP-netwerk	Beheer(ders)functies in toepassingen hebben extra bescherming, waarmee misbruik van rechten wordt voorkomen.		Autorisatie					18 november 2021 10:44:54	Beheerfuncties in toepassingen hebben extra bescherming waarmee misbruik van rechten wordt voorkomen
TBV_B.05.04	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Functionarissen				Beleid	Structuur	CIP-netwerk	De belangrijkste functionarissen (stakeholders) voor de beveiligingsorganisatie zijn benoemd en de relaties tussen hen zijn met een organisatieschema inzichtelijk gemaakt.		Beveiligingsorganisatie toegangsbeveiliging					26 november 2021 14:40:58	Functionarissen zijn benoemd
TBV_B.06.01	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Technische inrichting				Beleid	Structuur	CIP-netwerk	De technische inrichting van de toegangsbeveiliging is met organisatorische eisen vormgegeven aangaande: de uniformiteit en flexibiliteit van authenticatiemechanismen; de rechten voor beheeraccounts; de identificatie- en authenticatiemechanismen om voldoende sterke wachtwoorden af te dwingen; autorisatiemechanismen, waarbij gebruikers alleen toegang krijgen tot diensten (functies) waarvoor ze specifiek bevoegd zijn.		Toegangsbeveiligingsarchitectuur					26 november 2021 14:43:20	De technische inrichting van de toegangbeveiliging is vormgegeven volgens de organisatorische eisen
TBV_U.02.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Gebruikers toegangverleningsprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.2.3	Er is een actueel mandaatregister of er zijn functieprofielen waaruit blijkt welke personen bevoegdheden hebben voor het verlenen van toegangsrechten.		Toegangsverleningsprocedure					18 november 2021 10:13:23	Mandaatregister voor toekennen van toegangsrechten en functieprofielen
TBV_U.07.05	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Onbedoeld				Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 6.1.2.1	Er zijn maatregelen getroffen die onbedoelde of ongeautoriseerde toegang tot bedrijfsmiddelen waarnemen of voorkomen.		Functiescheiding					18 november 2021 09:37:14	Onbedoelde en ongeautoriseerde toegang tot bedrijfsmiddelen worden waargenomen en voorkomen
TBV_U.11.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Passende toegangsbeveiliging				Uitvoering	Functie	ISO 27002 2017: 11.1.2	Personeel van externe partijen die ondersteunende diensten verlenen, behoort alleen indien noodzakelijk beperkte toegang tot beveiligde gebieden of faciliteiten die vertrouwelijke informatie verwerken te worden verleend; deze toegang behoort te worden goedgekeurd en gemonitord.		Fysieke toegangsbeveiliging					18 november 2021 11:09:18	Toegang van personeel van externe partijen tot beveiligde gebieden en faciliteiten
TBV_U.10.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Autorisatiebeheer systeem				Uitvoering	Structuur	CIP-netwerk	Alle natuurlijke personen die gebruik maken van applicaties worden geregistreerd.		Autorisatievoorziening					18 november 2021 10:56:04	Alle natuurlijke personen die gebruik maken van applicaties worden geregistreerd
TBV_C.03.07	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beoordeeld				Control	Gedrag	CIP-netwerk	De log-bestanden worden gedurende een overeengekomen periode bewaard voor toekomstig onderzoek en toegangscontrole.		Logging en monitoring toegangsbeveiliging					18 november 2021 13:21:16	De logbestanden worden gedurende een overeengekomen periode bewaard
TBV_U.01.04	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Toegangsrechten				Uitvoering	Intentie	CIP-netwerk	Gebruikers worden met juiste functierollen (en autorisatieprofielen) geautoriseerd voor het gebruik van applicaties (need-to-know- en need-to-have-principes).		Registratieprocedure					26 november 2021 14:56:45	Gebruikers hebben autorisaties voor applicaties op basis van juiste functierollen
TBV_U.06.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Speciale toegangsrechten				Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.1.2 ISO 27002 2017: 9.1.1	Gebruikers hebben toegang tot speciale toegangsrechten voor zover dat voor de uitoefening van hun taak noodzakelijk is (need-to-know en need-to-use).		Speciale toegangsrechtenbeheer					18 november 2021 09:25:42	Gebruikers hebben toegang tot speciale toegangsrechten voor zover noodzakelijk voor de uitoefening van hun taken
TBV_B.05.06	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Rapportagelijnen				Beleid	Structuur	CIP-netwerk	De frequentie en de eisen voor de inhoudelijke rapportages zijn vastgesteld.		Beveiligingsorganisatie toegangsbeveiliging					18 november 2021 08:55:07	Frequentie en eisen voor rapportages
TBV_C.04.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Taken, verantwoordelijkheden en bevoegdheden				Control	Structuur	CIP-netwerk	De taken en verantwoordelijkheden voor de uitvoering van de beheerwerkzaamheden zijn beschreven en de bijbehorende bevoegdheden zijn vastgelegd in een autorisatiematrix.		Beheersorganisatie toegangsbeveiliging					18 november 2021 13:26:18	De belangrijkste functionarissen voor beheerorganisatie zijn benoemd en de relaties zijn inzichtelijk
TBV_C.03.03	Norm	2.1	Actueel	29 november 2021	29 oktober 2021			Gebruikersactiviteiten				Control	Gedrag	CIP-netwerk	De informatieverwerkende omgeving wordt door detectievoorzieningen bewaakt dankzij een Security Information and Event Management (SIEM) en/of Security Operations Centre (SOC), die wordt ingezet door een risico-inschatting en van de aard van de te beschermen gegevens en informatiesystemen zodat aanvallen kunnen worden gedetecteerd.		Logging en monitoring toegangsbeveiliging					29 november 2021 10:53:55	De informatie verwerkende omgeving wordt middels detectievoorzieningen bewaakt met een SIEM en/of SOC
TBV_B.01.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Bedrijfseisen				Beleid	Intentie	ISO 27002 2017: 9.1.1	Er zijn standaard gebruikersprofielen met toegangsrechten voor veelvoorkomende rollen in de organisaties.		Toegangsbeveiligingsbeleid					18 november 2021 08:21:40	Standaard gebruikersprofielen
TBV_C.02.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Control	Functie	ISO 27002 2017: 9.2.5	Autorisaties voor speciale toegangsrechten behoren frequenter te worden beoordeeld.		Beoordeling toegangsrechten					18 november 2021 13:03:43	Autorisaties voor speciale toegangsrechten worden frequenter beoordeeld
TBV_U.04.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Uitvoering	Functie	ISO 27002 2017: 9.2.6 The Standard of Good Practice for Information Security 2018: SA1.2.1	Bij beëindigen van het dienstverband behoren alle toegangsrechten te worden ingetrokken.		Autorisatieproces					18 november 2021 10:24:40	Toegangsrechten intrekken bij beëindigen van dienstverband
TBV_U.10.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Autorisatievoorzieningen				Uitvoering	Structuur	CIP-netwerk	Door een verantwoordelijke is formeel vastgesteld welke ondersteunende middelen worden ingezet binnen het autorisatiebeheer.		Autorisatievoorziening					18 november 2021 10:54:11	Formeel is vastgesteld welke ondersteunende middelen binnen het autorisatiebeheer proces worden ingezet
TBV_U.09.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangbeveiligingsbeleid				Uitvoering	Gedrag	CIP-netwerk	Het toegangsbeveiligingsbeleid geeft onder andere aan dat toegang tot informatie en tot functies van toepassingssystemen wordt beperkt op basis van juiste rollen en verantwoordelijkheden.		Autorisatie					18 november 2021 10:45:47	Toegang tot informatie en tot systeemfuncties wordt beperkt op basis van juiste rollen en verantwoordelijkheden
TBV_U.08.01	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Authenticatie-informatie				Uitvoering	Gedrag	CIP-netwerk	Elke gebruiker wordt geïdentificeerd met een identificatiecode.		Geheime authenticatie-informatie					2 december 2021 15:39:49	Elke gebruiker wordt geïdentificeerd op basis van een identificatiecode
TBV_B.06.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsbeveiligingsarchitectuur				Beleid	Structuur	CIP-netwerk	De inrichting van het identiteits- en toegangsbeheer is vastgelegd in een toegangbeveiligingsarchitectuur.		Toegangsbeveiligingsarchitectuur					18 november 2021 08:58:48	Er is een toegangbeveiligingsarchitectuur
TBV_B.02.03	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Verantwoordelijkheden voor logische toegangsbeveiligingssystemen				Beleid	Intentie	ISO 27002 2017: 8.1.2 The Standard of Good Practice for Information Security 2018: PM1.2.3	De eigenaar is verantwoordelijk voor: het identificeren van risico’s voor het toegangsbeveiligingssysteem door een informatielevenscyclus; het beveiligd inrichten van het toegangsbeveiligingssysteem; het onderhouden en het evalueren van het toegangsbeveiligingssysteem; het ondersteunen van beveiligingsreviews.		Eigenaarschap toegangsbeveiliging					26 november 2021 14:34:09	Eigenaar is verantwoordelijk voor de logische toegangsbeveiligingssystemen
TBV_U.03.01	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Beveiligde inlogprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.2.1	Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen of op basis van minimaal twee-factorauthenticatie.		Inlogprocedure					26 november 2021 15:00:53	Minimaal 2-factor authenticatie
TBV_U.04.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Formeel autorisatieproces				Uitvoering	Functie	CIP-netwerk	Er is een formeel proces voor het aanvragen, verwerken, intrekken of aanpassen, verwijderen en archiveren van autorisaties.		Autorisatieproces					18 november 2021 10:19:57	Formeel proces voor verwerken van autorisaties
TBV_B.02.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Eigenaarschap				Beleid	Intentie	ISO 27002 2017: 8.1.2 The Standard of Good Practice for Information Security 2018: PM1.2.1	Het eigenaarschap van toegangsbeveiligingssystemen is toegekend aan specifieke functionarissen (bijvoorbeeld Business managers).		Eigenaarschap toegangsbeveiliging					18 november 2021 08:34:52	Het eigenaarschap is specifiek toegekend
TBV_U.01.05	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Toegangsrechten				Uitvoering	Intentie	CIP-netwerk	Een bevoegdhedenmatrix is beschikbaar waarmee gebruikers slechts die object- en/of systeemprivileges toegekend krijgen die zij nodig hebben voor de uitoefening van hun taken.		Registratieprocedure					26 november 2021 14:58:07	Systeemprivileges op basis van een bevoegdhedenmatrix
TBV_B.05.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Taken, verantwoordelijkheden en bevoegdheden (TBV)				Beleid	Structuur	CIP-netwerk	De taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd in bijvoorbeeld een autorisatiematrix.		Beveiligingsorganisatie toegangsbeveiliging					18 november 2021 08:53:32	Taken, verantwoordelijkheden en bevoegdheden zijn vastgelegd
TBV_C.04.03	Norm	2.1	Actueel	29 november 2021	29 oktober 2021			Functionarissen				Control	Structuur	CIP-netwerk	De belangrijkste functionarissen (stakeholders) voor de beheerorganisatie zijn benoemd en de relaties tussen hen zijn met een organisatieschema inzichtelijk gemaakt.		Beheersorganisatie toegangsbeveiliging					29 november 2021 10:58:06	De taken en verantwoordelijkheden zijn beschreven en bijbehorende bevoegdheden zijn vastgelegd
TBV_U.06.03	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beheerst				Uitvoering	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.3.1	De uitgegeven speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld.		Speciale toegangsrechtenbeheer					18 november 2021 09:26:42	Uitgegeven speciale bevoegdheden worden minimaal ieder kwartaal beoordeeld
TBV_B.05.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Taken, verantwoordelijkheden en bevoegdheden (TBV)				Beleid	Structuur	CIP-netwerk	De organisatie heeft de verantwoordelijkheden voor het definiëren, coördineren en evalueren van de beveiligingsorganisatie beschreven en toegewezen aan specifieke functionarissen.		Beveiligingsorganisatie toegangsbeveiliging					18 november 2021 08:52:17	Verantwoordelijkheden zijn beschreven en toegewezen
TBV_C.02.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Control	Functie	BIO (Baseline Informatiebeveiliging Overheid): 9.2.5.3	Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld.		Beoordeling toegangsrechten					18 november 2021 13:01:39	Alle uitgegeven toegangsrechten worden minimaal eenmaal per jaar beoordeeld
TBV_C.03.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Bewaard				Control	Gedrag	CIP-netwerk	Nieuw ontdekte dreigingen (aanvallen) worden binnen de geldende juridische kaders gedeeld binnen de overheid door (geautomatiseerde) threat-intelligence-sharing mechanismen.		Logging en monitoring toegangsbeveiliging					18 november 2021 13:17:26	Nieuw ontdekte dreigingen (aanvallen) worden binnen geldende juridische kaders gedeeld
TBV_B.01.04	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Informatiebeveiligingseisen				Beleid		ISO 27002 2017: 9.1.1	Informatiespreiding en autorisatie tot informatie worden uitgevoerd met need-to-know- en need-to-use- principes.		Toegangsbeveiligingsbeleid					26 november 2021 14:32:14	Toepassen van need-to-know en need-to-use principes
TBV_C.02.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Control	Functie	CIP-netwerk	De beoordelingsrapportage bevat verbetervoorstellen en wordt gecommuniceerd met de verantwoordelijken/eigenaren van de systemen waarin kwetsbaarheden en zwakheden zijn gevonden.		Beoordeling toegangsrechten					18 november 2021 13:04:23	De beoordelingsrapportage bevat verbetervoorstellen en wordt gecommuniceerd
TBV_U.04.05	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Uitvoering	Functie	ISO 27002 2017: 9.2.6	Wijzigingen in het dienstverband behoren te corresponderen met de verstrekte toegangsrechten tot fysieke en logische middelen.		Autorisatieproces					18 november 2021 10:25:41	Toegangsrechten corresponderen met wijzigingen in het dienstverband
TBV_U.09.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangbeveiligingsbeleid				Uitvoering	Gedrag	CIP-netwerk	Toegangsbeperking is in overeenstemming met het toegangsbeveiligingsbeleid van de organisatie.		Autorisatie					18 november 2021 10:46:31	Toegangsbeperking is in overeenstemming met het toegangsbeveiliging beleid van de organisatie
TBV_C.02.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Toegangsrechten				Control	Functie	ISO 27002 2017: 9.2.5	Toegangsrechten van gebruikers behoren na wijzigingen, zoals promotie, degradatie of beëindiging van het dienstverband, te worden beoordeeld.		Beoordeling toegangsrechten					18 november 2021 13:02:51	Toegangsrechten van gebruikers worden na wijzigingen of functieveranderingen beoordeeld
TBV_B.02.04	Norm	2.1	Actueel	26 november 2021	29 oktober 2021			Verantwoordelijkheden voor fysieke toegangsbeveiligingssystemen				Beleid	Intentie	ISO 27002 2017: 8.1.2 The Standard of Good Practice for Information Security 2018: PM1.2.3	De eigenaar is verantwoordelijk voor: het inventariseren van bedrijfsmiddelen; het definiëren van toegangsbeperkingen voor bedrijfsmiddelen en het uitvoeren van controle hierop met bedrijfsregels en toegangsbeveiliging; het passend classificeren en beschermen van bedrijfsmiddelen; het procesmatig verwijderen van bedrijfsmiddelen.		Eigenaarschap toegangsbeveiliging					26 november 2021 14:36:11	Eigenaar is verantwoordelijk voor de fysieke toegangsbeveiligingssystemen
TBV_U.03.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beveiligde inlogprocedure				Uitvoering	Intentie	BIO (Baseline Informatiebeveiliging Overheid): 9.4.2.2	Voor het verlenen van toegang tot het netwerk door externe leveranciers wordt vooraf een risicoafweging gemaakt.		Inlogprocedure					18 november 2021 10:16:32	Risicoafweging bij toegang tot netwerk
TBV_B.05.05	Norm	2.1	Actueel	17 november 2021	29 oktober 2021			Rapportagelijnen				Beleid	Structuur	CIP-netwerk	De verantwoordings- en rapportagelijnen tussen de betrokken functionarissen zijn vastgesteld.		Beveiligingsorganisatie toegangsbeveiliging					17 november 2021 14:51:10	Verantwoordings- en rapportagelijnen zijn vastgesteld
TBV_U.08.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Authenticatie-informatie				Uitvoering	Gedrag	CIP-netwerk	Bij uitgifte van authenticatiemiddelen wordt minimaal de identiteit en het feit dat de gebruiker recht heeft op het authenticatiemiddel vastgesteld.		Geheime authenticatie-informatie					18 november 2021 09:53:10	Bij uitgifte van authenticatiemiddelen worden minimaal identiteit en recht op authenticatiemiddel vastgesteld
TBV_B.04.02	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Cryptografische beheersmaatregelen				Beleid	Functie	BIO (Baseline Informatiebeveiliging Overheid): 10.1.1.1 The Standard of Good Practice for Information Security 2018: TS2.2	Het cryptografiebeleid stelt eisen aan: wie verantwoordelijk is voor de implementatie en het sleutelbeheer; het bewaren van geheime authenticatie-informatie tijdens verwerking, transport en opslag; de wijze waarop de normen van het Forum Standaardisatie worden toegepast.		Cryptografie toegangsbeveiliging					26 november 2021 14:39:12	Het cryptografiebeleid stelt eisen
TBV_U.11.01	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Beveiligde gebieden				Uitvoering	Functie	CIP-netwerk	Toegang tot beveiligingszones (terreinen, gebouwen en ruimten) waar zich resources bevinden, is slechts toegankelijk voor personen die hiervoor geautoriseerd zijn.		Fysieke toegangsbeveiliging					18 november 2021 11:07:03	Toegang tot beveiligingszones of gebouwen voor geautoriseerde personen
TBV_C.01.04	Norm	2.1	Actueel	18 november 2021	29 oktober 2021			Procedures				Control	Intentie	CIP-netwerk	De procedures schrijven voor dat de resultaten van controle-activiteiten aan het management gerapporteerd moeten worden om de juiste acties te laten initiëren.		Beoordelingsprocedure					18 november 2021 12:49:20	De resultaten van controleactiviteiten worden procedureel gerapporteerd aan het management
TBV_U.07.03	Norm	2.1	Actueel	2 december 2021	29 oktober 2021			Gescheiden				Uitvoering	Functie	CIP-netwerk	Een risicoafweging bepaalt waar en op welke wijze functiescheiding wordt toegepast en welke toegangsrechten worden gegeven.		Functiescheiding					2 december 2021 14:33:58	Functiescheiding en toekennen van toegangsrechten worden op basis van risicoafweging toegepast
TBV	Normenkader	2.1	Actueel	8 juli 2022	29 oktober 2021	De BIO Thema-uitwerking Toegangsbeveiliging, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie (Uitvoeringsinstituut Werknemersverzekeringen (UWV)) en Jaap van der Veen (Centrum Informatiebeveiliging en Privacybescherming(CIP)). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 van dit normenkader gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’. Considerans CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op cip-overheid.nl/contact. Leeswijzer Voorafgaand aan het beleidsdomein, uitvoeringsdomein en control-domein, de kern van dit thema, heeft elke BIO Thema-uitwerking een inleiding met een standaard paragraafindeling. De volgende leeswijzer geldt voor dit normenkader: Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht. De controls en maatregelen vermeld in deze thema-uitwerking zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is. Van best practices (open standaarden al dan niet toegankelijk met een licentie) zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.	Inleiding (algemene inleiding) Beveiligingsobjecten toegangsbeveiliging (specifieke inleiding) Scenario voor toegangsbeveiliging (toelichting)															8 juli 2022 09:16:47	BIO Thema-uitwerking Toegangsbeveiliging
TBV_C	Normenkader-aspect	2.1	Actueel	30 november 2021	29 oktober 2021	==Objecten, controls en maatregelen== Het beoordelen van de logische en fysieke toegangsrechten richt zich op het naleven van de verplichtingen die voortkomen uit wet- en regelgeving en door de organisatie zelf gekozen standaarden en richtlijnen. Vanuit beveiligingsoptiek is het van belang om periodiek, namens de directie, vast te stellen of het registratiesysteem betrouwbaar is. Binnen dit specifieke control-domein zijn de objecten in onderstaande afbeelding van belang bij het beoordelen van gebruikersautorisatie. De blauw gemarkeerde objecten komen voor in de Baseline Informatiebeveiliging Overheid (BIO). De wit gemarkeerde objecten zijn betrokken uit andere best practices. Overzicht objecten voor toegangsbeveiliging in het control-domein				De doelstelling van toegangsbeveiliging in het control-domein is te zorgen dat en/of vast te stellen of: de toegangsbeveiliging afdoende is ingericht voor het leveren van het gewenste niveau van autorisaties; het juiste beveiligingsniveau van de toegangsvoorziening wordt gegarandeerd. Dit houdt onder meer in dat binnen de organisatie een adequate beheersingsorganisatie moet zijn ingericht waarin beheerprocessen zijn vormgegeven.	Als de noodzakelijke maatregelen binnen de organisatie ontbreken, dan is het niet zeker dat de autorisatieomgeving aan de beoogde organisatorische en beveiligingsvoorwaarden voldoet en dat het naleven van deze omgeving toereikend is ingericht. Ook kan niet worden vastgesteld dat de gewenste maatregelen worden nageleefd.	Control										30 november 2021 11:15:46	Toegangsbeveiliging Control
TBV_U	Normenkader-aspect	2.1	Actueel	2 december 2021	29 oktober 2021	==Objecten, controls en maatregelen== Binnen het uitvoeringsdomein worden specifieke inrichtings- en beveiligingsobjecten over toegangsbeveiliging beschreven. Per object worden conformiteitsindicatoren en de desbetreffende implementatie-elementen uitgewerkt. Binnen het uitvoeringsdomein worden de in afbeelding 'Overzicht objecten voor toegangsbeveiliging in het uitvoeringsdomein' vermelde objecten uitgewerkt. De oranje gemarkeerde objecten komen voor in de Baseline Informatiebeveiliging Overheid (BIO). De wit gemarkeerde zijn betrokken uit andere best practices. Overzicht objecten voor toegangsbeveiliging in het uitvoeringsdomein				De doelstelling van het uitvoeringsdomein in deze BIO-Thema-uitwerking is te waarborgen dat de toegang tot terreinen, gebouwen, ruimten, applicaties en data is ingericht conform specifieke beleidsuitgangspunten van de bedrijfsonderdelen en dat de werking voldoet aan de eisen die door de organisatie zijn gesteld met het (autorisatie)beleid.	Wanneer een adequate toegangsbeveiliging tot terreinen, gebouwen, ruimten en informatiefaciliteiten ontbreekt, dan bestaat het risico dat onbevoegden zich toegang kunnen verschaffen tot faciliteiten en data en/of dat gebruikers met te ruime bevoegdheden ongewenste acties kunnen uitvoeren.	Uitvoering										2 december 2021 12:58:06	Toegangsbeveiliging Uitvoering
TBV_B	Normenkader-aspect	2.1	Actueel	2 december 2021	29 oktober 2021	==Objecten, controls en maatregelen== De objecten die in de Baseline Informatiebeveiliging Overheid (BIO) in het beleidsdomein een rol spelen zijn toegangsbeveiligingsbeleid en cryptografie. Dit zijn de geel gemarkeerde objecten uit afbeelding 'Overzicht objecten voor toegangsbeveiliging in het beleidsdomein'. Overzicht objecten voor toegangsbeveiliging in het beleidsdomein Deze afbeelding geeft verder een overzicht en de ordening van objecten. Voor de identificatie van de objecten en de ordening is gebruik gemaakt van basiselementen (zie de grijs gemarkeerde tekst) ingedeeld naar de invalshoek: Intentie, Functie, Gedrag of Structuur.				De doelstelling van het beleidsdomein is vast te stellen of er afdoende randvoorwaarden en condities op het organisatie- dan wel afdelingsniveau zijn geschapen om toegangsbeveiliging als geheel te doen functioneren en zodat de juiste ondersteuning wordt geleverd voor het bereiken van de afgesproken (autorisatie)doelstellingen. In dit domein zijn normatieve eisen opgenomen die de individuele technische omgevingen (zoals toegangsvoorziening, applicatie, operating systeem en netwerken) overstijgen. Met randvoorwaarden in de vorm van beleid geven organisaties de kaders waarbinnen de realisatie en operatie van het autorisatiesysteem moet plaatsvinden.	Als een door het management uitgevaardigd toegangsbeleid ontbreekt, bestaat het risico dat onvoldoende sturing wordt gegeven aan de veilige inrichting van de toegang tot ICT-voorzieningen en ruimten waar de voorzieningen zich bevinden. Dit zal een negatieve impact hebben op het bereiken van doelstellingen voor toegangsbeveiliging.	Beleid										2 december 2021 09:38:43	Toegangsbeveiliging Beleid

Het proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen

Een samenhangend geheel van gegevensverzamelingen en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie.

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem

Het informatiebeveiligingsbeleid verbindt de bedrijfsdoelstellingen met beveiligingsdoelstellingen. Met de beveiligingsdoelstellingen geeft een organisatie aan op welke wijze – door het treffen van beveiligingsmaatregelen – de bedrijfsdoelstellingen nagestreefd worden.

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.

Een kwaliteitsattribuut van een informatieobject. Het toont aan dat het informatieobject is wat het beweert te zijn, dat het is gemaakt of verzonden door de persoon of organisatie die beweert het te hebben gemaakt of verzonden en dat het is gemaakt en verzonden op het tijdstip als aangegeven bij het informatieobject.

Begrip dat gebruikt wordt bij elektronische berichtuitwisseling en dat inhoudt dat de zender van een bericht niet kan ontkennen een bepaald bericht te hebben verstuurd en dat de ontvanger van een bericht niet kan ontkennen het bericht van de zender in de oorspronkelijke staat te hebben ontvangen.

Een beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen.

Het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.

Betekenisvolle gegevens.

Betekenisvolle gegevens.