MFA en beheertoegang op routers en switches: wat de Cbw vraagt

Wat staat er in de regels?

Er zijn drie lagen die samen bepalen wat u moet doen.

• De wet. Artikel 21, derde lid, onder j, van de Cbw noemt het gebruik van multifactorauthenticatie (MFA) of continue authenticatie, "wanneer gepast". Onder i staan toegangsbeleid en beheer van assets.
• Het besluit. Artikel 15 van het Cyberbeveiligingsbesluit (Cbb) vraagt een schriftelijk toegangsbeleid voor logische en fysieke toegang. U controleert identiteiten, authenticatiemiddelen en rechten periodiek op noodzaak, juistheid en actualiteit.
• De regeling. Voor aanbieders van openbare telecomnetwerken en -diensten zegt artikel 6 van de Regeling cyberbeveiliging EZK dat het toegangsbeleid ook gaat over bevoorrechte accounts en systeembeheeraccounts. Daarvoor gelden sterke identificatie-, authenticatie- en autorisatieprocedures. Beheerrechten worden zoveel mogelijk per persoon en beperkt toegekend, en alleen voor beheer gebruikt.

"Wanneer gepast" in de wet betekent dus niet dat u MFA voor beheer zomaar kunt overslaan. Voor beheeraccounts maakt de regeling de eis concreet. Het woord MFA staat daar niet letterlijk; er staat "sterke" authenticatie. In de praktijk is een tweede factor de gangbare manier om dat in te vullen. De RDI noemt bij deze zorgplichtmaatregel het gebruik van passkeys.

Waar zit beheertoegang bij een telecombedrijf?

Maak eerst een lijst. Vaak zijn het er meer dan u denkt:

• SSH en webinterfaces van core-routers, switches en access-apparatuur;
• beheer van SBC's, PBX-platforms en provisioningsystemen;
• beheerinterfaces van firewalls en VPN-servers;
• out-of-band beheer, zoals consoleservers en IPMI of iDRAC van servers;
• portalen van leveranciers: carrier-portalen, registrar, datacenter en cloud;
• monitoring, configuratieback-up en automatiseringsscripts met eigen inloggegevens.

Zet bij elk punt: wie heeft toegang, hoe logt die in, en is het account persoonlijk of gedeeld? Die lijst is ook een begin van de assetinventaris die artikel 16 Cbb vraagt.

Zo regelt u het stap voor stap

1. Eén beheeringang

Laat beheer zoveel mogelijk via één route lopen, bijvoorbeeld een VPN of jumphost met MFA. Sta beheerinterfaces niet open op internet. Beperk beheer tot een apart beheernetwerk. Dat sluit aan bij de eis om uw netwerk in zones te verdelen (artikel 5, vierde lid, Regeling cyberbeveiliging EZK).

2. Persoonlijke accounts

Geef ieder een eigen account op de apparatuur, liefst via centrale authenticatie zoals RADIUS of TACACS+. Zo ziet u in de logbestanden wie wat deed. Houd een lokaal noodaccount voor als de centrale server niet werkt. Bewaar dat wachtwoord veilig, gebruik het alleen in noodgevallen en leg elk gebruik vast.

3. Sterke authenticatie

Vraag een tweede factor op de beheeringang en op leveranciersportalen. Gebruik bij SSH sleutels in plaats van wachtwoorden waar dat kan. Bescherm die sleutels met een wachtwoordzin of een hardwaresleutel.

4. Minimale rechten

Niet iedereen hoeft volledige rechten. Een helpdeskmedewerker die alleen poortstatus bekijkt, krijgt leesrechten. Gebruik beheeraccounts niet voor mail of internet.

5. Periodiek controleren

Plan bijvoorbeeld elk kwartaal een controle: zijn er accounts van oud-medewerkers of oude leveranciers? Kloppen de rechten nog? Leg de uitkomst vast. Artikel 15 Cbb vraagt deze controle; de wet noemt geen vaste frequentie.

Veelvoorkomende knelpunten

Knelpunten en oplossingen

Knelpunt	Mogelijke aanpak
Oude apparatuur ondersteunt geen centrale login	Alleen bereikbaar via de jumphost met MFA, en vervanging opnemen in uw risicoanalyse
Gedeeld account voor een externe beheerpartij	Persoonlijke accounts per technicus van die partij, vastgelegd in het contract
Scripts met een vast wachtwoord	Eigen serviceaccount met beperkte rechten, geheim in een kluis
Storingsdienst 's nachts zonder telefoon met MFA-app	Hardwaresleutel als tweede factor en een vastgelegde noodprocedure

Kunt u iets niet direct oplossen? Leg dan uit waarom niet en welke andere maatregel u neemt. Dat past bij de manier waarop de regels werken: passend en aantoonbaar. Meer over het netwerk van een ISP leest u in NIS2 voor internetproviders.

Veelgestelde vragen

Is MFA verplicht onder de Cbw?

De wet zegt "wanneer gepast". Voor beheeraccounts van telecomaanbieders vraagt artikel 6 van de Regeling cyberbeveiliging EZK sterke identificatie en authenticatie. Een tweede factor is de gangbare manier om dat in te vullen.

Telt een SSH-sleutel als sterke authenticatie?

Een sleutel is sterker dan alleen een wachtwoord, zeker met een wachtwoordzin of hardwaresleutel. De regels noemen geen specifieke techniek. Leg in uw beleid vast waarom uw keuze passend is.

Mag ik een noodaccount houden?

De regels verbieden dat niet. Zorg dat het account goed beveiligd is, alleen in noodgevallen wordt gebruikt en dat elk gebruik wordt vastgelegd en achteraf gecontroleerd.