...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
| Note |
|---|
Om review makkelijker te maken werden de wijzigingen tegenover ICRv2 als volgt in de tekst duidelijk gemaakt:
|
Het beheren van service aanvragen voor toegang omvat een aantal activiteiten die, afhankelijk van de klasse waartoe de getroffen informatie behoort, al dan niet verplicht uitgevoerd moeten worden. Deze activiteiten zijn (zie hoofdstuk: ‘De bouwstenen van beheer serviceaanvragen voor toegang’):
Registratie van een aanvraag tot toegang;
Validatie van de aanvraag;
Urgentie bepalen;
Aanvraag uitvoeren;
Validatie uitvoering en afsluiten.
De minimale beschikbaarheid van het proces ‘beheer serviceaanvragen voor toegang’ is kantooruren (10ux5dagen).
Een belangrijk aspect van de verificatie is de controle van de identiteit van de gebruiker: hoe dit ingeregeld is voor de verschillende informatieklassen is beschreven in het document ‘Vo informatieclassificatie - Minimale maatregelen' – IAM’.
4.8.2.1. Minimale algemene maatregelen
...
Klasse onafhankelijke maatregelen voor beschikbaarheid, integriteit, vertrouwelijkheid
Alle maatregelen van Klasse 1 / Klasse 2 +
IC klasse | Minimale maatregelen |
|---|
Klasse 1 en Klasse 2 kennen dezelfde maatregelen:
Enkelvoudige validatie conform toegangsbeleid en ‘Vo Informatieclassificatie - Minimale maatregelen' – IAM’;
Automatische goedkeuring van toegang vooraf goedgekeurd door CISO in samenwerking met de toepassingseigenaar;
Aanmaken van een account, verwijderen van een account, wijzigen van een account.
PAS TOE | |
| Inrichten van een proces voor service aanvragen voor toegang:
|
Rollen toekennen, rollen wijzigen, rollen verwijderen;
Minimaal jaarlijkse algemene postvalidatie;
Informeren van de gebruiker en de validator na uitvoering van de aanvraag.
Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 +
Dubbele validatie conform toegangsbeleid en ‘Vo Informatieclassificatie - Minimale maatregelen' – IAM’.
Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 + Klasse 4 +
Automatische goedkeuring van toegang vooraf goedgekeurd door DPO/ CISO in samenwerking met de toepassingseigenaar met rapportering aan DPO/ CISO en toepassingseigenaar;
Informeren van alle actoren en de leidend ambtenaar na de uitvoering van de aanvraag
Integriteit
|
Klasse-afhankelijke maatregelen voor beschikbaarheid, integriteit, vertrouwelijkheid
Vertrouwelijkheid en integriteit
IC klasse | Minimale maatregelen |
|---|
PAS TOE | |
  | Klasse 1 en Klasse 2 |
kennen dezelfde maatregelen:
|
|
 | Alle maatregelen van Klasse 1 / |
Klasse 2 +
|
PAS TOE OF LEG UIT | |
 | Alle maatregelen van Klasse 1 / |
Klasse 2 + |
Klasse 3 |
+
|
|
 | Alle maatregelen van Klasse 1 / |
Klasse 2 + |
Klasse 3 |
+ |
Klasse 4 |
+
|
Beschikbaarheid
IC klasse | Minimale maatregelen |
|---|---|
PAS TOE | |
  | Klasse 1 en Klasse 2 kennen dezelfde maatregelen:
|
PAS TOE | |
   | Klasse 3, Klasse 4 en Klasse 5 kennen dezelfde maatregelen:Alle maatregelen van Klasse 1 / Klasse 2 +
|
4.8.2.2. Minimale specifieke (GDPR) maatregelen
De minimale algemene maatregelen voor beheer van service aanvragen voor toegang moeten toegepast worden: per klasse zijn de overeenkomende maatregelen van toepassing (zie hoofdstuk 'minimale algemene maatregelen').
Vertrouwelijkheid en integriteit
IC klasse | Minimale maatregelen |
|---|---|
| Klasse 1 en Klasse 2 kennen dezelfde maatregelen:
|
 | Klasse 3, Klasse 4 en Klasse 5 kennen dezelfde maatregelen: Alle maatregelen van Klasse 1 / Klasse 2 +
|
Beschikbaarheid
Er zijn geen GDPR specifieke maatregelen gedefinieerd in het kader van beschikbaarheid.
4.8.2.3. Minimale specifieke (
...
NIS2) maatregelen
In afwachting van de goedkeuringen omtrent NISII is er in dit document alvast de nodige ruimte voorzien voor toekomstige minimale specifieke NISII maatregelen.NIS2 is een Europese richtlijn bedoeld om de cyberbeveiliging en weerbaarheid van kritieke diensten in EU-lidstaten te verbeteren.
Alle minimale algemene maatregelen worden verplicht toegepast (geen ‘leg uit’).
Daarnaast zijn volgende NIS2 specifieke maatregelen van kracht:
IC klasse | Minimale maatregelen |
| PAS TOE |
| Beperkingen van het account gebruik voor specifieke tijdsperioden en locaties (CyFun PR.AC.4.8). |
4.8.2.4. Minimale specifieke (KSZ) maatregelen
Volgens de Minimale Normen van de Kruispuntbank Sociale Zekerheid moeten volgende maatregelen toegepast worden in het kader van beheer serviceaanvragen voor toegang:
IC klasse | Minimale maatregelen |
|---|---|
      | Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen:
|