Identificatie (beheersmaatregel)

Beveiliging

Onderdeel van

Thema's

Contact

Guus van den Berg

Guus.vandenberg@cip-overheid.nl

Status

Dit thema wordt momenteel opnieuw bekeken door de Expertgroep Beveiliging

Inhoud Beveiliging

• Beveiliging/metamodel
• Beveiliging/index

Organisatiebeleid

• Organisatie van beveiliging
• Beveiligingsbeleid

In project of systeem

• Ontwerpen
• Voorbeeld-oplossingen
• Beheren

Normen & eisen

• Principes
• Eisen
• Kaders:standaarden en normen

Identificatie (beheersmaatregel) is een eis (Beheersmaatregel) Status: Concept Realiseert Afgeleid Principe: Integriteit,Vertrouwelijkheid (principe) Thema: Beveiliging/Toegang Bron: BIR (Baseline Informatiebeveiliging Rijksdienst), BIR/ISO 27001:2005 11.5.1, 11.5.2, 11.5.3, 11.6.1, ISO 27001:2013 9.1

Eis: Alle toegangsvragers (gebruikers) tot gegevens of systeemfuncties zijn uniek herleidbaar tot één natuurlijke persoon, organisatie of IT-voorziening.

Realiseert

Identificatie (beheersmaatregel) realiseert het/de afgeleide principe(s):

• Integriteit
• Vertrouwelijkheid (principe)

Implicaties

De volgende implementatierichtlijnen zijn een uitwerking van Identificatie (beheersmaatregel):

1. Er wordt zoveel mogelijk voorkomen dat gebruikers zich op de verschillende IT-voorzieningen in dezelfde keten opnieuw aan moeten melden. Als dit niet mogelijk is, dan wordt het aanmeldproces zo veel mogelijk enkelvoudig ingericht.
2. Zodra een inlogproces succesvol is voltooid, worden de datum en tijd van de voorgaande succesvolle login getoond. (BIR (Baseline Informatiebeveiliging Rijksdienst))
3. Natuurlijke personen organisaties of IT-voorzieningen worden geïdentificeerd door een unieke identificatie. (BIR (Baseline Informatiebeveiliging Rijksdienst))
4. Vrijgesteld van identificatie zijn gebruikers met toegang tot systemen die alleen publieke of binnen een organisatie algemeen toegankelijke informatie ontsluiten.
5. Systeemprocessen draaien onder een eigen gebruikersnaam (een functioneel account) voor zover deze processen handelingen verrichten voor andere systemen of gebruikers.
6. IT-systemen bieden de mogelijkheid dat beheerders beheerwerkzaamheden uitvoeren onder hun eigen persoonsgebonden gebruikersnaam. In de operatie worden beheerwerkzaamheden en werkzaamheden als gewone gebruiker onder twee verschillende gebruikersnamen uitgevoerd.
7. Het gebruik van speciale beheeraccounts (root, administrator) is uitgeschakeld, als gebruik onvermijdelijk is moet herleidbaarheid, doelbinding én onweerlegbare logging gecombineerd toegepast worden.
8. Toegangsbeveiliging is geïmplementeerd op alle middelen die gegevens bevatten of verwerken. Dit betreft onder meer de volgende middelen:
   • Platforms (vaste en mobiele werkplek/server/mainframe): bestanden/directory’s/services en randapparatuur (denk aan USB-devices op de werkplek);
   • ondersteunende systemen: services;
   • primaire systemen: taken/functies in applicaties/stored procedures/gegevensbenadering in databases (views/tabellen/velden/records);
   • beheer: beheer van appliances en firmware van hardware voor zover dit kan. Mogelijk is er geen functionaliteit op de toegang tot firmware met een rechtenstructuur te beveiligen. Wel dient in ieder geval een wachtwoord te zijn ingesteld. (BIR (Baseline Informatiebeveiliging Rijksdienst))

Gerelateerde beschouwingsmodellen

De volgende beschouwingsmodellen zijn gerelateerd aan Identificatie (beheersmaatregel):

• Beschouwingsmodel client
• Beschouwingsmodel draadloze netwerken
• Beschouwingsmodel netwerk
• Beschouwingsmodel printer
• Beschouwingsmodel server
• Beschouwingsmodel servervirtualisatie
• Beschouwingsmodel zonering