Over toegangsrechten, verantwoordelijkheid en het verschil tussen beveiliging op papier en beveiliging in de praktijk.
Een medewerker neemt afscheid van de organisatie. De bloemen zijn overhandigd, de laptop is ingeleverd en het account wordt afgesloten.
Alles geregeld, zou je denken.
Maar is dat ook zo?
Want wat gebeurt er met de toegang tot het CRM-systeem? De gedeelde projectomgeving? De externe applicatie waarvoor ooit een afzonderlijk account is aangemaakt? En hoe zit het met de rechten die de medewerker tijdens eerdere functies heeft gekregen?
De medewerker is vertrokken. Maar misschien zijn niet alle toegangsrechten verdwenen.
En precies daar begint een interessant vraagstuk over informatiebeveiliging en privacy.
Een account afsluiten is niet hetzelfde als toegang intrekken
Veel organisaties hebben een procedure voor het in- en uitdiensttreden van medewerkers.
HR meldt het vertrek. ICT sluit het gebruikersaccount af. De leidinggevende levert de bedrijfsmiddelen in.
Op papier lijkt het proces uitstekend geregeld.
Toch kan de werkelijkheid ingewikkelder zijn.
Medewerkers krijgen gedurende hun loopbaan toegang tot verschillende systemen. Ze wisselen van functie, nemen tijdelijk andere werkzaamheden over of krijgen aanvullende bevoegdheden voor een project.
Niet iedere applicatie is gekoppeld aan het centrale gebruikersbeheer.
Een medewerker die vijf jaar geleden op de financiële administratie werkte en inmiddels projectleider is, heeft daardoor mogelijk nog altijd toegang tot financiële gegevens.
Niemand heeft bewust besloten dat die toegang noodzakelijk blijft. Maar niemand heeft haar ingetrokken.
Het Nationaal Cyber Security Centrum (NCSC) wijst nadrukkelijk op dit risico. Onvoldoende toegangsbeheer kan leiden tot opstapeling van bevoegdheden en onbeheerde accounts. NCSC
Wat verlangt de AVG?
De Algemene verordening gegevensbescherming verplicht organisaties om passende technische en organisatorische maatregelen te treffen voor de beveiliging van persoonsgegevens.
Artikel 32 AVG verlangt bovendien een proces waarmee de effectiviteit van beveiligingsmaatregelen regelmatig wordt getest, beoordeeld en geëvalueerd.
Artikel 24 AVG legt bij de verwerkingsverantwoordelijke de verantwoordelijkheid om passende maatregelen te treffen, te evalueren en waar nodig bij te stellen. Ook moet de organisatie kunnen aantonen dat zij aan haar verplichtingen voldoet.
Dat heeft belangrijke gevolgen voor toegangsbeheer.
Het is niet voldoende om een autorisatiebeleid vast te stellen en vervolgens aan te nemen dat iedereen zich eraan houdt.
De organisatie moet kunnen vaststellen of toegangsrechten nog passend zijn, of wijzigingen daadwerkelijk worden doorgevoerd en of afwijkingen worden ontdekt.
De Autoriteit Persoonsgegevens benadrukt dat beveiliging risicogestuurd moet worden ingericht en dat organisaties de genomen maatregelen en hun passendheid moeten kunnen aantonen. Dutch Data Protection Authority
De AVG schrijft overigens geen algemene, vaste controlefrequentie voor alle autorisaties voor. De benodigde maatregelen en frequentie hangen af van de risico’s.
Van personeelsadministratie naar gezamenlijke verantwoordelijkheid
Wie is eigenlijk verantwoordelijk voor het intrekken van toegangsrechten?
Is dat HR? ICT? De leidinggevende? Of de eigenaar van de applicatie?
Het antwoord is dat deze partijen verschillende verantwoordelijkheden hebben.
HR weet wanneer een medewerker vertrekt of van functie verandert. De leidinggevende weet welke werkzaamheden iemand uitvoert. De applicatie-eigenaar kan beoordelen welke toegang daarvoor noodzakelijk is. ICT of functioneel beheer voert de technische wijzigingen uit.
De CISO bewaakt vanuit zijn rol de samenhang en werking van de beveiligingsmaatregelen. De privacyfunctionaris of FG kan adviseren of toezicht houden vanuit het perspectief van gegevensbescherming, passend bij de eigen rol.
Maar wie stelt uiteindelijk vast dat het proces goed functioneert?
Dat vraagt om een duidelijke proceseigenaar die verantwoordelijk is voor de samenhang, en om management dat op basis van betrouwbare informatie kan bijsturen.
Verantwoordelijkheid verdwijnt niet doordat werkzaamheden over meerdere afdelingen zijn verdeeld.
Dat is de kern van goede governance.
Het verschil tussen uitgevoerd en aangetoond
Stel dat een organisatie een controle uitvoert op de toegangsrechten van medewerkers.
De controle levert drie bevindingen op.
Een voormalige medewerker heeft nog toegang tot een externe applicatie. Een projectleider beschikt over uitgebreide beheerdersrechten. En bij een derde medewerker is onduidelijk waarom toegang tot vertrouwelijke personeelsgegevens noodzakelijk is.
De organisatie onderneemt actie.
Maar wanneer is de controle afgerond?
Zodra de bevindingen zijn geregistreerd? Zodra ICT een melding heeft ontvangen? Of wanneer daadwerkelijk is vastgesteld dat de onnodige toegangsrechten zijn ingetrokken?
Hier ontstaat het verschil tussen een activiteit uitvoeren en aantoonbaar beheersen.
Een goede registratie maakt bijvoorbeeld duidelijk wie de afwijking heeft vastgesteld, welk risico eraan verbonden is, wie verantwoordelijk is voor de oplossing, wanneer de maatregel is uitgevoerd en wie heeft gecontroleerd dat deze werkt.
Daarmee ontstaat niet alleen een controleverslag, maar ook inzicht in de opvolging.
En als toegangsrechten tijdelijk noodzakelijk zijn?
Niet iedere afwijking betekent automatisch dat iemand iets verkeerd heeft gedaan.
Soms moet een medewerker tijdelijk over extra bevoegdheden beschikken. Bijvoorbeeld bij ziektevervanging, een systeemmigratie of een bijzonder project.
Het gaat erom dat de uitzondering bewust wordt toegestaan.
Wie heeft besloten dat de aanvullende rechten noodzakelijk zijn? Voor welke werkzaamheden gelden ze? Hoelang blijven ze beschikbaar? En wanneer worden ze opnieuw beoordeeld?
Bij voorkeur vervallen tijdelijke rechten automatisch. Waar dat niet mogelijk is, moet een passend controlemechanisme bestaan.
Ook hier geldt dat een verantwoordelijke medewerker een gemotiveerde beslissing moet kunnen nemen.
Een beveiligingssysteem kan signaleren dat iemand te ruime bevoegdheden heeft. Maar het kan niet zonder meer bepalen of een tijdelijke zakelijke uitzondering gerechtvaardigd is.
De menselijke afweging blijft noodzakelijk.
Wie controleert de controle?
Een jaarlijkse controle kan waardevol zijn. Het NCSC adviseert bij een rechtenmatrix om de ingerichte autorisaties minimaal jaarlijks te toetsen. Dat is een praktische aanbeveling, geen algemene wettelijke AVG-termijn. NCSC
Voor systemen met bijzonder gevoelige informatie of kritieke bedrijfsprocessen kan een hogere controlefrequentie nodig zijn.
Maar ook de controle zelf verdient aandacht.
Worden alle relevante applicaties meegenomen? Krijgt de beoordelaar voldoende informatie om een oordeel te vormen? Worden afwijkingen opgelost? En worden terugkerende problemen onderzocht?
Wanneer ieder kwartaal dezelfde tekortkomingen worden geconstateerd, is het misschien tijd om niet alleen de toegangsrechten, maar het hele proces te verbeteren.
Daarvoor is managementinformatie nodig die verder gaat dan het aantal uitgevoerde controles.
Denk aan het aantal openstaande afwijkingen, de tijd die nodig is om ze op te lossen en het aantal uitzonderingen waarvan de geldigheidsduur is verstreken.
Ook het vastleggen van controle-informatie vraagt om passende beveiliging. Logging en autorisatiegegevens kunnen zelf persoonsgegevens bevatten. De toegang, bewaartermijn en het gebruik daarvan moeten daarom zorgvuldig worden ingericht.
Aantoonbaar in control is meer dan een goedkeuringsvinkje
Een actueel overzicht van risico’s, maatregelen, verantwoordelijken en opvolgacties helpt om de samenhang te bewaren.
Een platform zoals Spitimas IB&P kan daarbij ondersteunen door informatie over risico’s en beheersmaatregelen gestructureerd vast te leggen.
Maar software vervangt geen toegangsbeheerproces, en een registratie bewijst op zichzelf nog niet dat een account daadwerkelijk is afgesloten.
Daarvoor moet de organisatie de werkelijkheid blijven toetsen.
Aantoonbaar voldoen betekent weten wat moet gebeuren. Aantoonbaar in control betekent kunnen laten zien dat het daadwerkelijk gebeurt.
De medewerker uit ons voorbeeld is inmiddels vertrokken.
De interessante vraag is niet langer of haar account is afgesloten.
De vraag is of de organisatie kan aantonen dat zij nergens meer toegang heeft waar dat niet langer noodzakelijk is.
En misschien nog belangrijker: of zij dat ook zonder aanleiding van een incident had vastgesteld.
Want goede informatiebeveiliging begint niet bij het ontdekken van een probleem.
Ze begint bij het organiseren van de verantwoordelijkheid om problemen tijdig te voorkomen.
