...
| Info |
|---|
ACM |
...
Tijdens het identificatieproces, wisselen systemen heel wat data uit. Hierbij ook persoonsgegevens3 persoonsgegevens van de persoon die ze identificeren. Hierbij hou je ook rekening met de informatieklasse wat betreft integriteit. De controles die je hierbij zeker moet implementeren, staan beschreven in het Organisatiedocument 1. Informatieclassificatieraamwerk (ICR) .
Dit geldt heel specifiek ook voor gegevens die systemen uitwisselen om een persoon te identificeren. Dit is informatie van klasse 3 voor Vertrouwelijkheid en klasse 4 voor Integriteit, met alle noodzakelijke controles die hiermee gepaard gaan.
In de praktijk komt dit neer op het versleutelen van informatie. Meer details hierover vind je in het Beleidsdocument “Cryptografie”op de pagina 3.1. Minimale maatregelen - Cryptografie . De exacte controles op het gebied van versleuteling staan beschreven in het Beleidsdocument
op 3.1. Minimale maatregelen - Cryptografie.
| Info |
|---|
Key Management as a Service |
...
| Info |
|---|
Identity Management |
...
De toegangsbadge (Account) voor de Vo gebouwen, laat toe om de gebruiker (het individu) te identificeren aan de toegangspoort (Authenticatie).
De referentie die de toegangspoort hiervoor gebruikt is een lijst van accounts accounts in een database verbonden aan de toepassing: Toegangsbeheer gebouwen.
De Windows gebruiker ID (Account) laat toe om de gebruiker (het individu) te identificeren bij het aanloggen (Authenticatie) op je werkplek.
De referentie die je werkstation hiervoor gebruikt is een lijst van accounts in een database verbonden aan het werkstation.
Windows domain computers:
Active Directory: ALFA/GID
Local host
Windows stand-alone (Gelijkaardig voor andere systemen)
Local host
Een applicatie gebruiker (Account) laat toe om de gebruiker (het individu) te identificeren bij het aanloggen (Authenticatie) op een toepassing.
De referentie die de toepassing gebruikt komt uit een centrale database (LDAP/cLDAP of ACM).
...
Toegangsbeheer is een organisatorische maatregel die steunt op een toegangsbeleid (zie ook 4.8. Minimale maatregelen - Toegangsbeheer ). Dit proces legt uit, hoe en onder welke omstandigheden een individu toegang krijgt tot de organisatiemiddelen. Om dit te realiseren zijn er in de eerste plaats af te dwingen maatregelen nodig. Deze maatregelen zijn gekend als toegangsbeleidslijnen (access policies) en omschrijven onder welke omstandigheden een toegang gevalideerd kan worden op basis van de classificatie van de informatie waarop de validatie van toepassing is.
...
| Info |
|---|
Opmerking: |
...
Voor de toegangen die toegestaan worden op basis van een centrale referentietabel (ook directory genoemd) gebruiken we het toegangsbeheer en zijn onderliggende processen en controles.
Voor toepassingen die deze referentietabel gebruiken om autorisaties te valideren gebruiken een combinatie van volgende processen:
Configuratie beheer (zie ook4.1. Minimale maatregelen - Asset- en configuratiebeheer ) garandeert een beveiligde systeem context voor de toepassing. Secure coding en safe source (software assurance) leveren een correcte basis voor een veilige ontsluiting en implementatie van de toepassing.
Voor de toegangen die toegestaan worden op basis van een referentietabel die rechtstreeks gelinkt is aan het middel (ACL op de resource of asset) gebruiken we het proces configuratie beheer (niet in scope van dit document)
Het is belangrijk te noteren dat toegangscontrolemaatregel in lijn moeten zijn met de toegangsbehoefte van de rol tot de verwerkte informatie. Hierbij houden we vast aan het least access privilege principe en scheiden we eindgebruikerstoegangen strikt van de beheerstoegangen.
...
Voorbeeld:
Eén manier om dit in te richten is met de Identiteitsbeheer-bouwsteen (IDM). Dat proces verloopt voorlopig deels automatisch. IDM legt je als tool geen frequentie op, die heb je dus wel zelf onder controle.
...