Skip to main content

Beheer van toegangsrechten

Toegangsbeleid​

  • Doel van toegangsbeleid is het voorkomen van onbevoegde toegang tot informatie.
  • Er wordt geen toegang verleend tot informatie(systemen) aan medewerkers of derden voordat een arbeidsovereenkomst en/of geheimhoudingsovereenkomst is getekend.
  • Indien van toepassing worden verwerkersovereenkomsten aangegaan.

Toekennen en intrekken van toegangsrechten​

  • Toegangsrechten worden toegekend op basis van functie en zijn vastgelegd in een autorisatiematrix/personeelsoverzicht gekoppeld aan Microsoft Azure groepen.
  • Aanvragen voor toegang en intrekken van toegang worden behandeld door de leidinggevende. Dit is onderdeel van de checklist in- en uit dienst.
  • Er wordt gebruik gemaakt van persoonlijke accounts.
  • Periodiek worden controles uitgevoerd op bijv. juistheid van toegangsrechten, overtollige accounts, accounts waarvan geen verantwoordelijke bekend is en accounts zonder einddatum.

Wachtwoorden​

Wachtwoordbeleid

  • Er wordt gebruik gemaakt van wachtwoordsystemen van de systemen/applicaties die in gebruik zijn. Indien mogelijk met 2FA/SSO-beveiliging gekoppeld aan het centraal authenticatie systeem van Cloudflare Access.
  • Iedere werknemer heeft zo met een enkel (Microsoft) account toegang tot de meest gebruikte diensten.
  • Logging en autorisatie hiervan loopt via Cloudflare Access.
  • Minimaal vereiste is een persoonlijke gebruikersnaam en wachtwoord via Microsoft
  • Voor toegang tot informatie(systemen) die als hoog/kritisch zijn geclassificeerd kunnen aanvullende eisen worden gesteld, zoals afdwingen van een sterk wachtwoord en periodieke wijziging van het wachtwoord (via Cloudflare Access).
  • Voor externe wachtwoorden die niet binnen de SSO flow van Cloudflare passen wordt er gebruik gemaakt van een wachtwoordmanager.
  • Regels met betrekking tot wachtwoorden zijn opgenomen in het personeelsreglement.

Indien van toepassing, specifiekere eisen benoemen, afhankelijk van hoe dit in verschillende applicaties is ingeregeld. De overall overeenkomstige eisen kunnen dan als algemeen beleid worden genoemd, met eventueel zwaardere eisen per applicatie. Voorbeelden van wachtwoordeisen:

  • Maximale leeftijd wachtwoord: 360 dagen
  • Het wachtwoord mag geen aanzienlijke gedeelten van de accountnaam of de volledige naam van de gebruiker bevatten.
  • De lengte moet minimaal 8 tekens zijn.
  • Het wachtwoord moet tekens uit drie van de volgende categorieën bevatten:
    • Hoofdletters (A tot en met Z) Kleine letters (a tot en met z) Cijfers uit het tientallig getallenstelsel (0 tot en met 9) Niet-alfanumerieke tekens (zoals, !, $, #, %) Wachtwoord historie: 3 wachtwoorden.
  • Aantal pogingen automatische vergrendeling: 5 pogingen
  • Duur vergrendeling account: 15 minuten
  • Gebruiker vragen om het wachtwoord te wijzigen: 30 dagen voor het verlopen van het wachtwoord

[Link naar personeelsoverzicht - Wachtwoorden]