Beleid voor gebruikersaccounts en beheer van privileges

Het Beleid voor gebruikersaccounts en beheer van privileges (Document P11) biedt een gestructureerd en verplicht kader voor het beheersen van de manier waarop gebruikersaccounts en toegangsrechten worden beheerd in alle informatiesystemen en technologieën van de organisatie. Het kerndoel is te waarborgen dat organisatiemiddelen uitsluitend worden benaderd door geautoriseerde personen, overeenkomstig gevalideerde rollen en operationele noodzaak. Het beleid erkent en handhaaft belangrijke beginselen van informatiebeveiliging, zoals het principe van minimale privileges en functiescheiding, en verplicht auditeerbare processen voor toegangsverlening, beheer, monitoring en intrekking van toegangsrechten van gebruikersaccounts. Van toepassing op alle gebruikers, waaronder werknemers, contractanten, dienstverleners van derde partijen en consultants, regelt dit beleid elk systeem waar gebruikersauthenticatie aanwezig is. Deze uitgebreide scope omvat bedrijfsapplicaties, cloud- en SaaS-omgevingen, administratieve systemen en tools voor toegang op afstand, evenals identiteits- en toegangsbeheer (IAM)-platformen. Zowel standaard- als geprivilegieerde accounts vallen onder de vereisten, met een sterke nadruk op unieke gebruikersnamen voor elk account en het voorkomen van gedeelde inloggegevens of generieke accounts (behalve voor strikt beheerde noodscenario’s). Belangrijke doelstellingen van het beleid zijn het afdwingen van unieke, te rechtvaardigen en traceerbare gebruikersaccounts; het implementeren van het beginsel van minimale privileges om te beschermen tegen overmatig gebruik van toegangsrechten; het vereisen van snelle wijzigingen in accountstatus na rolwijzigingen of beëindiging; en het centraliseren van activiteiten voor toegangslevenscyclusbeheer voor consistentie en auditeerbaarheid. Er zijn bepalingen voor proactieve detectie van inactieve gebruikersreferenties of misbruikte accounts via regelmatige toegangsrechtenbeoordelingen en het gebruik van geautomatiseerde tools. Het beleid is expliciet ontworpen om aan te sluiten op toonaangevende beveiligingsnormen (zoals ISO/IEC 27001:2022, 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, GDPR en COBIT 2019) om zowel wettelijke verplichtingen als eisen uit best practices te ondersteunen. Rollen en verantwoordelijkheden zijn duidelijk gedefinieerd, van de toezichts- en uitzonderingsbeheerrol van de Chief Information Security Officer (CISO) tot de technische acties van toegangscontrolebeheerders, de toegangsautorisaties van afdelingshoofden en de integratie van HR met onboarding en offboarding. Procedures zorgen ervoor dat het aanmaken, wijzigen en deactiveren van accounts strikt wordt beheerst, waarbij geprivilegieerde toegang onderworpen is aan extra toetsing, goedkeuringen, tijdbeperkingen en versterkte auditlogging. Authenticatiebeheersmaatregelen, waaronder verplicht authenticatiebeleid, multifactorauthenticatie (MFA) voor sleutelaccounts, sessievergrendeling en beveiligde protocollen voor toegang op afstand, vormen een kernvereiste, zodat identiteitsverificatie niet kan worden omzeild. Robuuste monitoring, auditlogging en periodieke toegangsbeoordelingen helpen nauwkeurige inventarissen van accounts te behouden en beleidsnaleving af te dwingen. Afhandeling van uitzonderingen is risicogebaseerd en beheerst, waarbij noodtoegangsscenario’s (‘break-glass’) speciale procedurele aandacht krijgen. Verplichte naleving wordt onderstreept door een progressief handhavingsmodel, waaronder het uitschakelen van toegang, gerichte hertraining, disciplinaire maatregelen en juridische/regelgevende escalatie bij overtredingen. Integratie met gerelateerde onderliggende beleidslijnen zorgt voor een samenhangende aanpak in alle domeinen van beveiligingsmaatregelen, en de eis voor jaarlijkse (of gebeurtenisgestuurde) herzieningen van het beleid garandeert continue verbetering en blijvende afstemming op evoluerende systemen, bedrijfsmodellen en regelgevende landschappen. Het Beleid voor gebruikersaccounts en beheer van privileges is fundamenteel voor de risicomanagementstrategie van de organisatie en versterkt operationele beveiliging en naleving van de regelgeving.