Beperking toegang tot informatie en speciale toegangsrechten

Versie 2.0 van 1 juni 2021 van de BIO Thema-uitwerking Clouddiensten is vervangen door versie 2.1 van 29 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Beveiligingsprincipe
ID:	CLD_U.09
Versie:	2.4
Status:	Actueel
Indeling
Beveiligingsaspect:	Uitvoering
Invalshoek:	Functie

Objectdefinitie

Speciale toegangsrechten zijn toegangsrechten die aan een identiteit, rol of proces worden verleend om activiteiten te kunnen uitvoeren die gewone gebruikers of processen niet kunnen uitvoeren. Gezien de hoge impact van onjuiste handelingen vraagt dit extra aandacht bij het uitgeven van toegangsrechten en om een beperking in de mogelijkheden van de toegang.

Objecttoelichting

Systeembeheerdersrollen eisen, gezien de hoge impact van onjuiste handelingen, meestal speciale toegangsrechten en om een beperking in de mogelijkheden van de toegang. Zo kent de cloudcomputing-omgeving extra aandachtsgebieden voor bijvoorbeeld hypervisorbeheerfuncties en beheerconsoles. Het monitoren en vastleggen van het gebruik van speciale toegangsrechten wordt gezien als noodzakelijk ter ondersteuning van preventieve en corrigerende maatregelen tegen onjuist gebruik van de bewerkingen met hoge nadelige impact bij een onjuiste handeling.

Criterium

De toegang tot informatie en andere gerelateerde bedrijfsmiddelen behoort te worden beperkt overeenkomstig het vastgestelde onderwerpspecifieke beleid inzake toegangsbeveiliging, in het bijzonder daar waar het speciale toegangsrechten betreft.

Doelstelling

Uitsluitend bevoegde toegang bewerkstelligen en onbevoegde toegang tot informatie en andere gerelateerde bedrijfsmiddelen voorkomen, in het bijzonder daar waar het speciale toegangsrechten betreft.

Risico

Als speciale toegangsrechten niet strikt worden beperkt, toegekend en beheerst, bestaat het risico dat gebruikers of beheerders meer bevoegdheden hebben dan noodzakelijk, waardoor misbruik van deze rechten kan leiden tot ongeautoriseerde toegang, verlies of aantasting van (gevoelige) gegevens en verstoring of uitval van clouddiensten.

Indeling binnen ISOR

Dit beveiligingsprincipe:

is gericht op het Beveiligingsaspect Uitvoering;
valt binnen de Invalshoek Functie.

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27002:2022 8.2 en 8.3

Onderliggende normen

ID	Conformiteitsindicator	Stelling
CLD_U.09.01	beperkt	De CSC zorgt ervoor dat de toegang tot informatie in de clouddienst wordt beperkt in overeenstemming met zijn toegangscontrolebeleid en dat dergelijke beperkingen worden gerealiseerd. Dit omvat het beperken van de toegang tot clouddiensten, clouddienstfuncties en CSC-gegevens die in de service worden bewaard.
CLD_U.09.02	beperkt	De CSP moet toegangscontroles bieden waarmee de CSC de toegang tot zijn clouddiensten, zijn clouddienstfuncties en de CSC-gegevens die in de dienst worden bewaard, kan beperken.
CLD_U.09.03	beperkt	De CSP zorgt ervoor dat het rol-gebaseerd uitgeven van toegangsrechten mogelijk is, zodat functiescheiding plaatsvindt, inclusief de scheiding tussen operationele en toezichthoudende functies.
CLD_U.09.04	beperkt	De CSP zorgt ervoor dat het verlenen en wijzigen van gebruikersaccounts en toegangsrechten op basis van het least privilege-principe mogelijk is, zodat gebruikers precies genoeg toegangsrechten krijgen om hun werk te doen.
CLD_U.09.05	beperkt	De CSP informeert de CSC, wanneer interne of externe medewerkers van de CSP de gegevens van de CSC lezen of schrijven die in de clouddienst zijn verwerkt, opgeslagen of verzonden of er toegang toe hebben gehad zonder voorafgaande toestemming van de CSC. De informatie wordt verstrekt telkens wanneer de gegevens van de CSC niet zijn gecodeerd, de encryptie is/was uitgeschakeld voor toegang of de contractuele overeenkomsten dergelijke informatie niet expliciet uitsluiten. De informatie bevat de oorzaak, het tijdstip, de duur, het type en de omvang van de toegang. De informatie is voldoende gedetailleerd om materiedeskundigen van de CSC in staat te stellen de risico's van de toegang te beoordelen. De informatie wordt verstrekt conform de contractuele afspraken, dan wel binnen 72 uur na toegang.
CLD_U.09.06	speciale toegangsrechten	De CSC gebruikt voldoende authenticatietechnieken (bijvoorbeeld meervoudige authenticatie) om de beheerders van clouddiensten van de CSC te authenticeren voor de administratieve mogelijkheden van een clouddienst in overeenstemming met de geïdentificeerde risico’s.
CLD_U.09.07	speciale toegangsrechten	De CSP gebruikt afdoende authenticatietechnieken, zoals tweefactor- of multifactorauthenticatie, om de beheerders van clouddiensten van de CSC te authenticeren voor de voorzieningen voor het beheer van een clouddienst in overeenstemming met de geïdentificeerde risico’s.
CLD_U.09.08	speciale toegangsrechten	Speciale toegangsrechten zijn gepersonaliseerd, beperkt in de tijd op basis van een risicobeoordeling en toegewezen indien nodig voor de uitvoering van taken (need-to-know-principe).
CLD_U.09.09	speciale toegangsrechten	Het gebruik van speciale toegangsrechten wordt gelogd om eventueel misbruik van bevoorrechte toegang in verdachte gevallen op te sporen.
CLD_U.09.10	speciale toegangsrechten	Informatie van het loggen van gebeurtenissen van de gebruikers van de CSC en de toegang tot metadata betreffende de gegevens van de CSC is door de CSP beperkt door: het beperken van bewaarperiode; het verwijderen van de gegevens, wanneer verdere bewaring niet langer nodig is voor het doel van de verzameling.