5.1.1.1. Minimale algemene maatregelen
Vertrouwelijkheid
IC klasse | Minimale maatregelen |
|---|
 Image Modified | Identificatie: Geen identificatie vereist Authenticatie: Geen authenticatie vereist Autorisatie: Geen autorisatie vereist Beschrijf de Soll/Ist van je toepassing
|
 Image Modified | Alle maatregelen van Klasse 1 + Identificatie: Zwakke identificatie Authenticatie eIDAS LAAG Beheer van status van account Bescherming van het paswoord in opslag en in transit. Bij federatie van de authenticatie, het verzekeren van gelijkaardige controles bij de derde partij
Autorisatie: Autorisatie op basis van technische of organisatorische criteria Technisch: Geauthentiseerde gebruikers, zonder lidmaatschap tot een autorisatierol. Organisatorisch: Geauthentiseerde gebruikers, met toekenning tot autorisatierol op basis van lidmaatschap binnen de organisatie (of een deel ervan). Dit doe je middels een Soll/Ist-beschrijving.
Bescherming van identificatiegegevens die toegang geven tot toepassingen. De identificatiegegevens zelf zijn klasse 3 voor Vertrouwelijkheid en 4 voor Integriteit en moet je beschermen met cryptografische controles.
|
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + |
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + Klasse 3 + |
OverheidAutorisatie: Autorisatie registratie via toegangsbeheerproces (IDM) Autorisatie op basis van functionele groep, deze functionele groep mag niet gedeeld worden door meerdere (deel-)applicaties
Autorisatie validatie: Onderwerp mag niet deelnemen aan de validatie van de betrokken autorisatie Validatie met goedkeuring van een door de organisatie geautoriseerd tweede persoon. Voorbeeld: Lokale beheerder doet de registratie en deze wordt gevalideerd door de leidinggevende van het onderwerp of de toepassingsbeheerder Jaarlijkse periodieke herziening van de toegangen
|
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + Klasse 3 + Klasse 4 + |
OverheidAutorisatie: Autorisatie registratie via toegangsbeheerproces (IDM) Autorisatie op basis van functionele groep, deze functionele groep mag niet gedeeld worden door meerdere (deel-)applicaties
Autorisatie validatie: Onderwerp mag niet deelnemen aan de validatie van de betrokken autorisatie Validatie met goedkeuring van door twee door de organisatie geautoriseerde personen, waarvan minimaal één zonder hiërarchische of functionele relatie met het onderwerp. Voorbeeld: Lokale beheerder doet de registratie en deze wordt gevalideerd door de leidinggevende van het onderwerp of de toepassingsbeheerder, waarna de veiligheidscoördinator de finale validatie bevestigd. Jaarlijkse periodieke herziening van de toegangen
|
Integriteit
IC klasse | Minimale maatregelen |
|---|
 Image Modified | Identificatie: Geen identificatie vereist Authenticatie: Geen authenticatie vereist Autorisatie: Geen autorisatie vereist Beschrijf de Soll/Ist van je toepassing
|
 Image Modified | Alle maatregelen van Klasse 1 + Identificatie: Zwakke identificatie Authenticatie eIDAS LAAG Beheer van status van account Bescherming van het paswoord in opslag en in transit. Bij federatie van de authenticatie, het verzekeren van gelijkaardige controles bij de derde partij
Autorisatie: Autorisatie op basis van technische of organisatorische criteria Technisch: Geauthentiseerde gebruikers, zonder lidmaatschap tot een autorisatierol. Organisatorisch: Geauthentiseerde gebruikers, met toekenning tot autorisatierol op basis van lidmaatschap binnen de organisatie (of een deel ervan). Dit doe je middels een Soll/Ist-beschrijving.
Bescherming van identificatiegegevens die toegang geven tot toepassingen. De identificatiegegevens zelf zijn klasse 3 voor Vertrouwelijkheid en 4 voor Integriteit en moet je beschermen met cryptografische controles
|
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + |
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + Klasse 3 + |
OverheidAutorisatie: Autorisatie registratie via toegangsbeheerproces (IDM) Autorisatie op basis van functionele groep, deze functionele groep mag niet gedeeld worden door meerdere (deel-)applicaties
Autorisatie validatie: Onderwerp mag niet deelnemen aan de validatie van de betrokken autorisatie Validatie met goedkeuring van een door de organisatie geautoriseerd tweede persoon Voorbeeld: Lokale beheerder doet de registratie en deze wordt
gevalideerd door de leidinggevende van het onderwerp of de
toepassingsbeheerder Jaarlijkse periodieke herziening van de toegangen
|
 Image Modified | Alle maatregelen van Klasse 1 + Klasse 2 + Klasse 3 + Klasse 4 + |
OverheidAutorisatie: Autorisatie registratie via toegangsbeheerproces (IDM) Autorisatie op basis van functionele groep, deze functionele groep mag niet gedeeld worden door meerdere (deel-)applicaties
Autorisatie validatie: Onderwerp mag niet deelnemen aan de validatie van de betrokken autorisatie Validatie met goedkeuring van door twee door de organisatie geautoriseerde personen, waarvan minimaal één zonder hiërarchische of functionele relatie met het onderwerp. Voorbeeld: Lokale beheerder doet de registratie en deze wordt gevalideerd door de leidinggevende van het onderwerp of de toepassingsbeheerder, waarna de veiligheidscoördinator de finale validatie bevestigd. Jaarlijkse periodieke herziening van de toegangen
|
Beschikbaarheid
IC klasse | Minimale maatregelen |
|---|
 Image Modified Image Modified Image Modified Image Modified Image Modified | Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen: |
5.1.1.2. Minimale specifieke (GDPR) maatregelen
De minimale algemene maatregelen voor IAM moeten toegepast worden: per klasse zijn de overeenkomende maatregelen van toepassing (zie hoofdstuk: 'minimale algemene paragraaf https://vlaamseoverheid.atlassian.net/wiki/spaces/ICR/pages/6425643701/5.1.1.+Minimale+maatregelen+rond+IAM#5.1.1.1.-Minimale-algemene-maatregelen ). Er zijn geen specifieke GDPR maatregelen voor IAM.
...
Volgens de Minimale Normen van de Kruispuntbank Sociale Zekerheid moeten volgende maatregelen in het kader van IAM toegepast worden:
TBA
Beschikbaarheid, Integriteit & vertrouwelijkheid
5.1.1.5. Overzicht en integratie van de maatregelen
...
We gebruiken de onderstaande basisprincipes
(1) Permissief: Er worden geen specifieke maatregelen genomen om toegang tot informatie af te schermen of te controleren voor geprivilegieerde accounts. Het least access principe blijft altijd gerespecteerd.
(2) Restrictief: Er worden steeds maatregelen genomen om toegang tot informatie af te schermen voor niet geautoriseerde toegangen. (ACL-hygiëne) Voor geprivilegieerde toegangen worden een aantal bijkomende maatregelen geïmplementeerd, waaronder encryptie maatregelen, en controlemaatregelen zoals
PAM, Audit trailing, …
Het least access principe is altijd bevestigd in de risicoanalyse.
Minimaal identificatie niveau
...
We gebruiken lidmaatschap van organisatie (incl. technische organisatorische maatregelen) als basis voor toegang tot publieke informatie.
Bij alle andere informatietypes groeperen we het criteria onder de term ‘functioneel’. Deze behoefte (criteria) is niet alleen een beveiligingsmaatregel, gekend als het least access principe, maar het is ook expliciet opgelegd door de toepasbare regelgeving
Functionele relatie met de informatie, zie criteria GDPR Art. 5.
(3) Functioneel: De gebruiker motiveert zijn toegang tot informatie op basis van een functionele behoefte met betrekking tot verwerking van de betrokken informatie.
(4) Strikt functioneel: De gebruiker motiveert zijn tijdelijke toegang tot informatie op basis van een functionele behoefte met betrekking tot verwerking van de betrokken informatie en deze behoefte wordt bevestigd door minimaal één geïdentificeerde en geautoriseerde individu. De betrokken eindgebruiker is uitgesloten in het validatie proces. Het beperken van de duur van de toegangen wordt sterk geadviseerd om het least access principe te versterken. Toegangen worden minimaal jaarlijks herzien
(5) Hoofdelijk: De gebruiker motiveert zijn tijdelijke toegang tot informatie op basis van een functionele behoefte met betrekking tot verwerking van de betrokken informatie en deze behoefte wordt bevestigd door minimaal twee geïdentificeerde en geautoriseerde individuen. De betrokken eindgebruiker is uitgesloten in het validatie proces.
...
