Toegangbeveiligingsbeleid

Het BIO Thema logische toegangsbeveiliging is opgevolgd door BIO Thema Toegangsbeveiliging in december 2019.

Verwante principes → BIO Thema Toegangsbeveiliging → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

Het toegangbeveiligingsbeleid maakt deel uit van het informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. beleid en geeft regels en voorschriften voor de organisatorische en technische inrichting van de fysieke toegang tot ruimten waar ICT middelen zich bevinden en voor toegang tot de informatie en informatie verwerkende faciliteiten zelf, bijvoorbeeld toegang voor gebruikers tot applicaties en toegang voor beheerders tot ICT-componenten. Het toegangsbeveiliging beleid beschrijft onder andere de manier waarop de klantorganisatie omgaat met identiteit- en toegangsbeheer. Opgemerkt wordt, dat de control ‘toegangsbeveiliging beleid’ niet gaat over een diepgaande beoordeling van het toegangbeveiligingsbeleid, maar dat het beleid een redelijke richting dient te geven voor de invulling van operationele activiteiten binnen het Uitvoeringsdomein.

Criterium

Een toegangbeveiligingsbeleid moet worden vastgesteld, gedocumenteerd en beoordeeld op basis van bedrijfseisen en informatiebeveiligingseisen.

Doelstelling

Het beheersen van de toegang tot informatie.

Risico

Onvoldoende mogelijkheden om enerzijds sturing te geven aan de effectieve en betrouwbare inrichting van toegangbeveiligingsmaatregelen en anderzijds sturing te geven aan het inrichten van de beheerorganisatie van de autorisatievoorziening en hierover verantwoordingrapportage te laten afgeven.

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op Beveiligingsaspect Beleid
  
• valt binnen de IFGS-indeling IFGS Intentie
  ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is NEN-ISO/IEC 27002 9.1.1

Onderliggende normen

ID	Conformiteitsindicator	Stelling	Pagina
TVZ_B.01.01	toegangbeveiligingbeleid	Het toegangvoorzieningsbeleid: is consistent aan de vigerende wet en regelgeving en informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. beleid; stelt eisen voor beheer van toegangsrechten in een distributie- en netwerkomgeving die alle beschikbare verbindingen herkent.	Eisen aan het Toegangvoorzieningsbeleid
TVZ_B.01.02	bedrijfseisen	Bij bescherming van toegang tot gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd wordt aandacht geschonken aan relevante wetgeving en eventuele contractuele verplichtingen.	Aandacht aan relevante wetgeving en contractuele verplichtingen
TVZ_B.01.03	bedrijfseisen	Voor veelvoorkomende rollen in de organisaties zijn standaard gebruikersprofielen met toegangsrechten aanwezig.	Standaard gebruikersprofielen met toegangsrechten voor veelvoorkomende rollen
TVZ_B.01.04	toegangbeveiligingbeleid	Informatiespreiding en autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen tot informatie worden uitgevoerd op basis van need-to-know en need-to-use principes.	Toepassen van need-to-know en need-to-use principes
TVZ_B.01.05	informatiebeveiligingseisen	Autorisatiebeheer is procesmatig ingericht (zoals aanvragen, toekennen, controleren, implementeren, intrekken/beëindigen en periodiek beoordelen).	Het autorisatiebeheer is procesmatig ingericht