Authenticatie

Versie 1.1 van 30 maart 2021 van de BIO Thema-uitwerking Softwarepakketten is vervangen door versie 1.2 van 26 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 1.2 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Verwante principes → BIO Thema-uitwerking Softwarepakketten → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

Objectdefinitie

Betreft de controle of een gebruiker van een softwarepakket daadwerkelijk is wie hij beweert te zijn.

Objecttoelichting

Toegang tot softwarepakketten door gebruikers wordt gereguleerd door het toegangsmechanisme gebruikersidentificatie (zoals een gebruikersaccount) en authenticatie (zoals een wachtwoord). Het softwarepakket stelt specifieke eisen aan de authenticatie van gebruikers. Het authenticatiemechanisme moet voldoen aan vooraf vastgestelde beveiligingseisen. Voor het verlenen van toegang tot softwarepakketten ontvangen gebruikers authenticatie-informatie. De gebruikers behoren hier vertrouwelijk mee om te gaan.

NB Dit object en de set van maatregelen is voor softwarepakketten relevant als de onderliggende infrastructuur geen toereikende set van maatregelen bevat, waarmee aan de control kan worden voldaan.

Schaalgrootte

Elke schaalgrootte.

Voor wie

Leverancier.

Criterium

Softwarepakketten behoren de identiteiten van gebruikers vast te stellen met een mechanisme voor identificatie en authenticatie.

Doelstelling

Het vaststellen van de identiteit van een gebruiker van een softwarepakket.

Risico

Onbevoegde personen krijgen toegang tot de data in het softwarepakket.

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op het Beveiligingsaspect Uitvoering;
  
• valt binnen de Invalshoek Gedrag.
  

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is Grip op Secure Software Development SSD-5SIG Evaluation Criteria Security - Guidance for producers 3.2.3

Onderliggende normen

ID	Conformiteitsindicator	Stelling
SWP_U.08.01	Mechanisme voor identificatie en authenticatie	De authenticiteit wordt bereikt bij het zekerstellen van de volgende twee activiteiten: Alle gebruikers zijn juist geauthentiseerd voordat ze toegang krijgen tot (modulen van) het softwarepakket. Gebruikers kunnen veilig worden toegevoegd, verwijderd en/of geüpdatet in functies/functionaliteiten.
SWP_U.08.02	Mechanisme voor identificatie en authenticatie	De configuratie van de identificatie- en authenticatievoorziening waarborgt dat de geauthentiseerde persoon inderdaad de geïdentificeerde persoon is.
SWP_U.08.03	Mechanisme voor identificatie en authenticatie	Het inlogmechanisme is robuust tegen herhaaldelijke, geautomatiseerde of verdachte pogingen om wachtwoorden te raden (brute-forcing of password spraying en hergebruik van gelekte wachtwoorden).

Datum waarop document het laatst is gepubliceerd (http://standaarden.overheid.nl/owms/4.0/doc/eigenschappen/dcterms.modified)

Datum waarop de laatste versie is geïmplementeerd of de laatste wijziging is aangebracht.

Iedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.

Een kwaliteitsattribuut van een informatieobject. Het toont aan dat het informatieobject is wat het beweert te zijn, dat het is gemaakt of verzonden door de persoon of organisatie die beweert het te hebben gemaakt of verzonden en dat het is gemaakt en verzonden op het tijdstip als aangegeven bij het informatieobject.