#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---
# 5.17 Beheren van authenticatie-informatie
ISO 27002:2022 [[ISO_27002_2022_NL_BT 5.17 Beheren van authenticatie-informatie|Brontekst]]

#### Wat
Er moet een proces zijn voor toewijzing en beheer van authenticatie-informatie, met aandacht voor de communicatie naar medewerkers hierover.
#### Waarom
Zorgen voor passende authenticatie en voorkomen van fouten in het proces.
#### Hoe

##### Verstrekking en wijziging
- tijdelijke wachtwoorden of pincodes die bij inschrijving verstrekt worden, mogen niet gemakkelijk te raden zijn, en moeten na het eerste gebruik verplicht gewijzigd worden;
- gebruikers moeten hun eigen wachtwoord mogen kiezen – daarbij hoort een bevestigingsprocedure om invoerfouten te voorkómen en moeten 'sterke' wachtwoorden worden afgedwongen (zie 'Verantwoordelijkheden van gebruikers');
- bij invoer mag het wachtwoord niet op het scherm getoond worden (om 'afkijken' te voorkomen);
- Hergebruik van wachtwoorden moet worden voorkomen;
- bij nieuwe, vervangende of tijdelijke authenticatie-informatie moet eerst de identiteit van een gebruiker worden vastgesteld;
- authenticatie-informatie moet altijd versleuteld worden opgeslagen en verzonden (dus niet in onversleutelde mails)[^1];
- gebruikers moeten ontvangst van authenticatie-informatie bevestigen;
- acties rond het verstrekken en wijzigen van authenticatie-informatie moeten geregistreerd worden (bijv. in beveiligde logfiles of in een wachtwoordkluis)
- bij de installatie van software en systemen moet altijd direct de standaard authenticatie-informatie worden gewijzigd – dit geldt ook voor bijv. wachtwoorden die door verkopers/consultants verstrekt worden.
- Na een beveiligingsincident moeten wachtwoordwijzigingen worden afgedwongen.
- Wachtwoorden van groepsaccounts moeten gewijzigd worden bij uitdiensttredingen en functiewijzigingen.
- Veelgebruikte en gecompromitteerde wachtwoorden moeten gewijzigd worden – dit kan gesignaleerd worden met security scans en 'hacking alerts' zoals voorzien in de meeste wachtwoordkluizen.

##### Verantwoordelijkheden van gebruikers
- Wachtwoorden moeten 'sterk' zijn:
	- gebruik 'wachtzinnen' die makkelijk te onthouden zijn en gebruik daarin nummers, leestekens en speciale tekens;
	- zorg voor een minimale lengte;
	- gebruik géén persoonlijke informatie als namen, telefoonnummers, adressen en geboortedata;
	- gebruik géén woordenboekwoorden of combinaties daarvan;
- Authenticatie-informatie mag niet met anderen worden gedeeld. Bij niet-persoonlijke accounts (bijv. groepsaccounts) mag de informatie alleen met bevoegde personen (bijv. leden van die groep) gedeeld worden.
- Als authenticatie-informatie gelekt is ('gecompromitteerd'), moet die onmiddellijk gewijzigd worden.
- Gebruik nooit hetzelfde wachtwoord voor verschillende systemen of diensten;
- Zorg dat deze regels als verplichting worden opgenomen in de arbeidsovereenkomst (zie [6.2](ISO_27002_2022_NL_[6.2](ISO_27002_2022_NL_6.2_BT%20Arbeidsovereenkomst.md)_BT%20Arbeidsovereenkomst.md));

#### Overige informatie
- Het frequent afdwingen van wachtwoordwijzigingen kan contra-productief zijn: het zorgt voor irritatie bij gebruikers, nieuwe wachtwoorden worden gemakkelijk vergeten en op onveilige plekken worden genoteerd, en gebruikers kiezen sneller voor gemakkelijk te onthouden (en te raden) wachtwoorden.
- Het gebruik van 'Single Sign On' (SSO) en wachtwoordkluizen kan dit risico verminderen, maar aan de andere kant kan het lekken van een wachtwoord hiervan ook weer een grotere impact hebben.
- In plaats van wachtwoorden of wachtzinnen kunnen ook andere authenticatie-middelen gebruikt worden, zoals cryptografische sleutels, hardware tokens, en biometrische gegevens (multi-factor authenticatie).

#### Bewijs
Auditors kijken naar bewijzen van de implementatie van het proces. Dit kan bijvoorbeeld de volgende vorm aannemen:

| Omschrijving van bewijs | ISO27DIY artefact |
| ----------------------- | ----------------- |
| Omschrijving 1          | Artefact 1        |

#### Gerelateerd
Naar deze maatregel wordt verwezen in:
- [ ] Andere beheersmaatregelen binnen dezelfde norm die verwijzen naar deze maatregel

Andere gerelateerde ISO 27x beheersmaatregelen:
- [ ] Gerelateerde ISO 27x beheersmaatregelen die *niet* letterlijk in de brontekst genoemd worden.



[^1]: Gebruik voor versleuteling en hashing goedgekeurde technieken (zie [8.24](ISO_27002_2022_NL_[8.24](ISO_27002_2022_NL_8.24_BT%20Gebruik%20van%20cryptografie.md)_BT%20Gebruik%20van%20cryptografie.md)).

