Toegangsbeveiligingsbeleid

Uit NORA Online
ISOR:Toegangbeveiligingsbeleid
Ga naar: navigatie, zoeken
Versie 2.0 van 23 oktober 2020 van de BIO Thema-uitwerking Toegangsbeveiliging is vervangen door versie 2.1 van 29 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Beveiliging Principe)

Objectdefinitie

Betreft het resultaat van een besluitvorming in welk tijdsbestek en met welke middelen de doelstelling voor toegangsbeveiliging bereikt moet worden.

Objecttoelichting

Het toegangsbeveiligingsbeleid maakt deel uit van het informatiebeveiligingsbeleid en geeft regels en voorschriften voor de organisatorische en technische inrichting van de fysieke toegang tot ruimten waar ICT-middelen zich bevinden en voor toegang tot de informatie en informatieverwerkende faciliteiten zelf, zoals toegang voor gebruikers tot applicaties en toegang voor beheerders tot ICT-componenten. Het toegangsbeveiligingsbeleid beschrijft onder andere de manier waarop de klantorganisatie omgaat met identiteit- en toegangsbeheer.


Opgemerkt wordt, dat de control behorende bij het object ‘Toegangsbeveiligingsbeleid’ niet gaat over een diepgaande beoordeling van het toegangsbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het uitvoeringsdomein.


Criterium

Een toegangbeveiligingsbeleid behoort te worden vastgesteld, gedocumenteerd en beoordeeld op basis van bedrijfseisen en informatiebeveiligingseisen.

Doelstelling

Het beheersen van de toegang tot informatie.

Risico

Onvoldoende mogelijkheden om enerzijds sturing te geven aan de effectieve en betrouwbare inrichting van toegangsbeveiligingsmaatregelen en anderzijds sturing te geven aan het inrichten van de beheerorganisatie van de autorisatievoorziening en hierover verantwoordingrapportage te laten afgeven.

Indeling binnen ISOR

Dit beveiligingsprincipe:

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is BIO (Baseline Informatiebeveiliging Overheid) 9.1.1

Onderliggende normen

IDConformiteitsindicatorStelling
TBV_B.01.01 Toegangsbeveiligingsbeleid

Het toegangvoorzieningsbeleid:

  • is consistent aan de vigerende wet- en regelgeving en informatiebeveiligingsbeleid;
  • stelt eisen voor beheer van toegangsrechten in een distributie- en netwerkomgeving die alle beschikbare verbindingen herkent.
TBV_B.01.02 Bedrijfseisen

Bij bescherming van toegang tot gegevens wordt aandacht geschonken aan relevante wetgeving en eventuele contractuele verplichtingen.

TBV_B.01.03 Bedrijfseisen

Er zijn standaard gebruikersprofielen met toegangsrechten voor veelvoorkomende rollen in de organisaties.

TBV_B.01.04 Informatiebeveiligingseisen

Informatiespreiding en autorisatie tot informatie worden uitgevoerd met need-to-know- en need-to-use- principes.

TBV_B.01.05 Informatiebeveiligingseisen

Het autorisatiebeheer is procesmatig ingericht (zoals: aanvragen, toekennen, controleren, implementeren, intrekken/beëindigen en periodiek beoordelen).