Identificatie (beheersmaatregel)

Op 19 juni 2017 zijn de Afgeleide Principes die raken aan het thema Beveiliging gewijzigd (zie nieuwsbericht). De beheersmaatregelen, implementatierichtlijnen en beveiligingspatronen uit de oude 'Katern' Beveiliging hangen hiermee beter in het bredere kader van de NORA-afspraken. De komende periode zal hieraan nog de ISOR (Information Security Object Repository) van het Centrum Informatiebeveiliging en Privacybescherming (CIP) worden toegevoegd. Contactpersoon: → Ruud de Bruijn, CIP

Identificatie (beheersmaatregel) is een eis (Beheersmaatregel) Status: Concept Realiseert Afgeleid Principe: Integriteit,Vertrouwelijkheid (principe) Thema: Beveiliging/Toegang Bron: BIR (Baseline Informatiebeveiliging Rijksdienst), NEN-ISO/IEC 27001, BIR/ISO 27001:2005 11.5.1, 11.5.2, 11.5.3, 11.6.1, ISO 27001:2013 9.1

Eis: Alle toegangsvragers (gebruikers) tot gegevens of systeemfuncties zijn uniek herleidbaar tot één natuurlijke persoon, organisatie of IT-voorziening.

Realiseert

Identificatie (beheersmaatregel) realiseert het/de afgeleide principe(s):

• Integriteit
• Vertrouwelijkheid (principe)

Implicaties

De volgende implementatierichtlijnen zijn een uitwerking van Identificatie (beheersmaatregel):

1. Er wordt zoveel mogelijk voorkomen dat gebruikers zich op de verschillende IT-voorzieningen in dezelfde keten opnieuw aan moeten melden. Als dit niet mogelijk is, dan wordt het aanmeldproces zo veel mogelijk enkelvoudig ingericht.
2. Zodra een inlogproces succesvol is voltooid, worden de datum en tijd van de voorgaande succesvolle login getoond. (BIR (Baseline Informatiebeveiliging Rijksdienst))
3. Natuurlijke personen organisaties of IT-voorzieningen worden geïdentificeerd door een unieke identificatie. (BIR (Baseline Informatiebeveiliging Rijksdienst))
4. Vrijgesteld van identificatie zijn gebruikers met toegang tot systemen die alleen publieke of binnen een organisatie algemeen toegankelijke informatie ontsluiten.
5. Systeemprocessen draaien onder een eigen gebruikersnaam (een functioneel account) voor zover deze processen handelingen verrichten voor andere systemen of gebruikers.
6. IT-systemen bieden de mogelijkheid dat beheerders beheerwerkzaamheden uitvoeren onder hun eigen persoonsgebonden gebruikersnaam. In de operatie worden beheerwerkzaamheden en werkzaamheden als gewone gebruiker onder twee verschillende gebruikersnamen uitgevoerd.
7. Het gebruik van speciale beheeraccounts (root, administrator) is uitgeschakeld, als gebruik onvermijdelijk is moet herleidbaarheid, doelbinding én onweerlegbare logging gecombineerd toegepast worden.
8. Toegangsbeveiliging is geïmplementeerd op alle middelen die gegevens bevatten of verwerken. Dit betreft onder meer de volgende middelen:
   • Platforms (vaste en mobiele werkplek/server/mainframe): bestanden/directory’s/services en randapparatuur (denk aan USB-devices op de werkplek);
   • ondersteunende systemen: services;
   • primaire systemen: taken/functies in applicaties/stored procedures/gegevensbenadering in databases (views/tabellen/velden/records);
   • beheer: beheer van appliances en firmware van hardware voor zover dit kan. Mogelijk is er geen functionaliteit op de toegang tot firmware met een rechtenstructuur te beveiligen. Wel dient in ieder geval een wachtwoord te zijn ingesteld. (BIR (Baseline Informatiebeveiliging Rijksdienst))

Gerelateerde beschouwingsmodellen

De volgende beschouwingsmodellen zijn gerelateerd aan Identificatie (beheersmaatregel):

• Beschouwingsmodel client
• Beschouwingsmodel draadloze netwerken
• Beschouwingsmodel netwerk
• Beschouwingsmodel printer
• Beschouwingsmodel server
• Beschouwingsmodel servervirtualisatie
• Beschouwingsmodel zonering