---
notetype: reference
standard: ISO 27002
version: 2022
language: NL
type: control
id: "5.15"
title: "Toegangsbeveiliging"
theme: Organizational
control_type: [Preventive]
information_security_properties:
  - Confidentiality
  - Integrity
  - Availability
cybersecurity_concepts: [Protect]
operational_capabilities: [Identity_and_access_management]
security_domains: [Protection]
tags:
- iso27002/2022/NL
- sourcetext
status: active
---
## 5.15 Toegangsbeveiliging
### Beheersmaatregel

Er behoren regels op basis van bedrijfs- en informatiebeveiligingseisen te worden vastgesteld en geïmplementeerd om de fysieke en logische toegang tot informatie en andere gerelateerde bedrijfsmiddelen te beheersen.

### Doel

Toegang voor bevoegden bewerkstelligen en toegang voor onbevoegden tot informatie en andere gerelateerde bedrijfsmiddelen voorkomen.

### Richtlijn

Eigenaren van informatie en andere gerelateerde bedrijfsmiddelen behoren informatiebeveiligings- en bedrijfseisen met betrekking tot toegangsbeveiliging vast te stellen. Er behoort onderwerpspecifiek beleid inzake toegangsbeveiliging te worden gedefinieerd waarin rekening wordt gehouden met deze eisen en dit behoort naar alle desbetreffende belanghebbenden te worden gecommuniceerd.

Bij deze eisen en het onderwerpspecifieke beleid behoort rekening te worden gehouden met het volgende:

a) vaststellen voor welke entiteiten welke soort toegang tot de informatie en andere gerelateerde bedrijfsmiddelen vereist is;

b) beveiliging van toepassingen (zie [8.26](a-8.26-Toepassingsbeveiligingseisen.md));

c) fysieke toegang waarvoor ondersteuning door passende fysieke toegangsbeveiliging nodig is (zie [7.2](a-7.2-Fysieke-toegangsbeveiliging.md), [7.3](a-7.3-Beveiligen-van-kantoren-ruimten-en-faciliteiten.md), [7.4](a-7.4-Monitoren-van-de-fysieke-beveiliging.md));

d) regels voor informatieverspreiding en -autorisatie (bijvet 'need-to-know'-principe), informatiebeveiligingsniveaus en -classificatie (zie [5.10](a-5.10-Aanvaardbaar-gebruik-van-informatie-en-andere-gerelateerde-bedrijfsmiddelen.md), [5.12](ISO_27002_2022_NL_5.12_BT%20Classificeren%20van%20informatie.md), [5.13](a-5.13-Labelen-van-informatie.md));

e) beperkingen op speciale toegangsrechten (zie [8.2](a-8.2-Speciale-toegangsrechten.md));

f) functiescheiding (zie [5.3](a-5.3-Functiescheiding.md));

g) relevante wet- en regelgeving en contractuele verplichtingen met betrekking tot het beperken van de toegang tot gegevens of diensten (zie [5.31](a-5.31-Wettelijke-statutaire-regelgevende-en-contractuele-eisen.md), [5.32](a-5.32-Intellectuele-eigendomsrechten.md), [5.33](a-5.33-Beschermen-van-registraties.md), [5.34](a-5.34-Privacy-en-bescherming-van-persoonsgegevens.md), [8.3](a-8.3-Beperking-toegang-tot-informatie.md));

h) scheiding van toegangsbeveiligingsfuncties (bijvoegangsverzoek, -autorisatie, -administratie);

i) formele autorisatie voor verzoeken om toegang (zie [5.16](a-5.16-Identiteitsbeheer.md) en [5.18](a-5.18-Toegangsrechten.md));

j) het beheer van toegangsrechten (zie [5.18](a-5.18-Toegangsrechten.md));

k) registratie (zie [8.15](../EN/a-8.15-Logging.md)).

Er behoren regels voor toegangsbeveiliging te worden geïmplementeerd door passende toegangsrechten en -beperkingen voor de desbetreffende entiteiten te definiëren en toe te wijzen (zie [5.16](a-5.16-Identiteitsbeheer.md)). Een entiteit kan zowel staan voor een menselijke gebruiker, als voor een technisch of logisch object (bijven machine, apparaat of dienst)m het toegangsbeveiligingsbeheer te vereenvoudigen, kunnen er specifieke rollen aan groepen entiteiten worden toegewezen.

Bij het definiëren en implementeren van regels voor toegangsbeveiliging behoort rekening te worden gehouden met het volgende:

a) consistentie tussen de toegangsrechten en de informatieclassificatie;

b) consistentie tussen de toegangsrechten en de behoeften en eisen met betrekking tot de fysieke beveiliging van de buitengrenzen;

c) het in aanmerking nemen van alle soorten beschikbare verbindingen in gedistribueerde omgevingen zodat entiteiten alleen toegang krijgen tot informatie en andere gerelateerde bedrijfsmiddelen, waaronder netwerken en netwerkdiensten waarvoor zij als gebruiker bevoegd zijn;

d) het overwegen hoe elementen of factoren die relevant zijn voor dynamische toegangsbeveiliging kunnen worden weergegeven.

### Overige informatie

Er worden vaak overkoepelende principes gebruikt in de toegangsbeveiligingscontext. Twee van de meest gebruikte principes zijn:

a) 'need-to-know': een entiteit krijgt alleen toegang tot de informatie die de entiteit in kwestie nodig heeft voor het uitvoeren van zijn functies (verschillende functies of rollen betekenen verschillende 'need-to-know'-informatie en daardoor verschillende toegangsprofielen);

b) noodzaak tot gebruik ('need-to-use'): een entiteit krijgt alleen toegang tot de informatietechnologie-infrastructuur indien daarvoor een duidelijke noodzaak bestaat.

Bij het opstellen van regels voor toegangsbeveiliging behoort aandacht te worden besteed aan het volgende:

a) het vaststellen van regels gebaseerd op de vooronderstelling van het 'least privilege' (minste rechten): 'Alles is in principe verboden tenzij het uitdrukkelijk is toegelaten', in plaats van de zwakkere regel 'Alles is in principe toegelaten tenzij het uitdrukkelijk is verboden';

b) wijzigingen in informatielabels (zie [5.13](a-5.13-Labelen-van-informatie.md)) die automatisch door informatieverwerkende faciliteiten worden aangebracht, en wijzigingen die naar keuze van de gebruiker worden aangebracht;

c) wijzigingen in toegangsrechten voor gebruikers die automatisch door het informatiesysteem worden aangebracht, en wijzigingen die door een beheerder worden aangebracht;

d) de momenten van het definiëren en regelmatig beoordelen van de goedkeuring.

Regels voor toegangsbeveiliging behoren te worden ondersteund door formele procedures (zie [5.17](a-5.17-Beheren-van-authenticatie-informatie.md), [5.18](a-5.18-Toegangsrechten.md), [8.2](a-8.2-Speciale-toegangsrechten.md), [8.3](a-8.3-Beperking-toegang-tot-informatie.md), [8.4](a-8.4-Toegangsbeveiliging-op-broncode.md), [8.5](a-8.5-Beveiligde-authenticatie.md), [8.18](a-8.18-Gebruik-van-speciale-systeemhulpmiddelen.md)) en gedefinieerde verantwoordelijkheden (zie [5.2](a-5.2-Rollen-en-verantwoordelijkheden-bij-informatiebeveiliging.md), [5.17](a-5.17-Beheren-van-authenticatie-informatie.md)).

Er zijn diverse manieren om toegangsbeveiliging te implementeren, waaronder MAC ('mandatory access control' - verplichte toegangsbeveiliging), DAC ('discretionary access control' - discretionaire toegangsbeveiliging), RBAC ('role-based access control' - op rollen gebaseerde toegangsbeveiliging) en ABAC ('attribute-based access control' - op attributen gebaseerde toegangsbeveiliging).

