Toegangsbeleid, assetinventaris en personeel: maatregel i van de Cbw uitgewerkt

Wat staat er in de regels?

De wet noemt "beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets" (artikel 21, derde lid, onder i, Cbw). Het Cyberbeveiligingsbesluit (Cbb) werkt dat uit in drie artikelen.

Maatregel i in het Cyberbeveiligingsbesluit

Artikel	Onderwerp	Wat u regelt
14 Cbb	Personeel	Aanwijzen wie beveiligingsrollen heeft, dat periodiek evalueren, en betrouwbaarheidseisen waar passend en nodig
15 Cbb	Toegang	Schriftelijk beleid voor logische en fysieke toegang: uitgeven, monitoren, gebruiken, wijzigen en intrekken van identiteiten en rechten, en periodieke controle
16 Cbb	Assets	Beleid voor assetbeheer met classificatie en regels voor aanvaardbaar gebruik, en een volledige en actuele inventaris

Voor telecomaanbieders vult artikel 6 van de Regeling cyberbeveiliging EZK het toegangsbeleid aan met regels voor beheeraccounts. Dat werken we uit in MFA en beheertoegang op routers en switches.

Personeel: wie doet wat?

Schrijf op wie welke beveiligingsrol heeft. In een klein bedrijf heeft één persoon vaak meerdere rollen. Dat mag, maar het Cbb vraagt ook dat u conflicterende rollen zoveel mogelijk scheidt (artikel 6, tweede lid, Cbb). Laat bijvoorbeeld niet dezelfde persoon rechten uitgeven en die rechten controleren, als dat te vermijden is.

Betrouwbaarheidseisen gelden "voor zover passend en noodzakelijk". Denk aan een verklaring omtrent gedrag (VOG) voor medewerkers met beheerrechten op het kernnetwerk, of een geheimhoudingsverklaring. Kies wat past bij de functie en leg vast waarom. Let op de privacyregels bij screening van medewerkers.

Evalueer de rolverdeling periodiek, en altijd als iemand vertrekt of van functie wisselt.

Toegang: in, door en uit

Het toegangsbeleid volgt de levensloop van een account:

• Indiensttreding: welke accounts krijgt een nieuwe medewerker, en wie keurt dat goed?
• Wijziging: wat gebeurt er met rechten bij een andere functie?
• Uitdiensttreding: wie trekt alle toegang in, ook op routers, leveranciersportalen en de gedeelde wachtwoordkluis?
• Externe partijen: technici van leveranciers krijgen persoonlijke, tijdelijke toegang.
• Fysieke toegang: sleutels en passen voor kantoor, netwerkruimtes en datacenter. Het Cbb noemt fysieke toegang uitdrukkelijk.

Artikel 15 Cbb vraagt dat u identiteiten, authenticatiemiddelen en rechten periodiek controleert op noodzaak, juistheid en actualiteit. Een kwartaalcontrole met een vaste lijst werkt goed: exporteer de accounts per systeem, laat de eigenaar aftekenen, verwijder wat niet nodig is.

Assets: weet wat u heeft

Zonder inventaris kunt u niet patchen, niet beveiligen en geen risico's inschatten. Artikel 16 Cbb vraagt een volledige en actuele inventaris. Voor een telecombedrijf hoort daarin:

• netwerkapparatuur met model, softwareversie, locatie en beheerder;
• servers en virtuele machines, ook in de cloud;
• software en platforms, zoals het telefonieplatform, het klantportaal en monitoring;
• IP-reeksen, AS-nummers en domeinnamen; die heeft u ook nodig voor de registratie bij het NCSC;
• gegevensverzamelingen, zoals klantgegevens en gespreksgegevens;
• leveranciersdiensten waar u op draait.

Classificeer daarna: welke assets zijn kritiek voor uw dienst of bevatten gevoelige gegevens? Zo weet u waar u als eerste maatregelen neemt. Leg ook regels vast voor aanvaardbaar gebruik, bijvoorbeeld dat beheerlaptops niet voor privédoeleinden worden gebruikt.

Houd het actueel

Een inventaris veroudert snel. Koppel hem aan uw wijzigingsbeheer: geen nieuw apparaat in productie zonder registratie. Gebruik waar het kan automatische ontdekking via uw monitoring of configuratiebeheer, en vergelijk die met de lijst. Verschillen zijn vaak precies de vergeten apparaten met oude software.

Wilt u zien hoe uw beheer van toegang en assets ervoor staat? Doe de gratis zelfscan.

Veelgestelde vragen

Is een VOG verplicht onder de Cbw?

Nee, niet als algemene regel. Artikel 14 Cbb vraagt betrouwbaarheidseisen voor zover passend en noodzakelijk voor de taak. Een VOG kan zo'n eis zijn voor functies met veel rechten.

Hoe gedetailleerd moet de assetinventaris zijn?

Volledig en actueel, zegt artikel 16 Cbb. Het detailniveau kiest u zelf, maar u moet er wel uw risicoanalyse, patchbeheer en toegangsbeheer mee kunnen uitvoeren.

Hoort fysieke toegang hier ook bij?

Ja. Artikel 15 Cbb gaat over logische én fysieke toegang tot uw netwerk- en informatiesystemen, dus ook over netwerkruimtes en datacenters.