#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------------------------------------+----------------------+-------------------------------------+---------------------+
| **Type**             | **Informatie-**                                  | **Cybersecurity-** | **Operationele**                  | **Beveiligings-** |
|                      |                                                  |                    |                                   |                   |
| **beheersmaatregel** | **beveiligings-**                                | **concepten**      | **capaciteiten**                  | **domeinen**      |
|                        |                                                  |                      |                                     |                     |
|                        | **eigenschappen**                                |                      |                                     |                     |
+========================+====================================================+======================+=====================================+=====================+
| #Preventief          | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen        | #Identiteits- \_en_toegangsbeheer | #Bescherming      |
+------------------------+----------------------------------------------------+----------------------+-------------------------------------+---------------------+

**Beheersmaatregel**

De toegang tot informatie en andere gerelateerde bedrijfsmiddelen behoort te worden beperkt overeenkomstig het vastgestelde onderwerpspecifieke beleid inzake toegangsbeveiliging.

**Doel**

Uitsluitend bevoegde toegang bewerkstelligen en onbevoegde toegang tot informatie en andere gerelateerde bedrijfsmiddelen voorkomen.

**Richtlijn**

De toegang tot informatie en andere gerelateerde bedrijfsmiddelen behoort te worden beperkt overeenkomstig de vastgestelde onderwerpspecifieke beleidsregelse volgende aspecten behoren in aanmerking te worden genomen om de eisen voor toegangsbeperking te ondersteunen:

a) toegang tot gevoelige informatie niet anoniem of aan onbekende gebruikersidentiteiten toestaanpenbare of anonieme toegang behoort uitsluitend te worden verleend tot opslaglocaties waar zich geen gevoelige informatie bevindt;

b) voorzien in configuratiemechanismen voor toegangsbeveiliging van informatie in systemen,

toepassingen en diensten;




c) beheersen welke gegevens voor een bepaalde gebruiker toegankelijk zijn;

d) beheersen welke identiteiten of groep identiteiten bepaalde toegangsrechten hebben, zoals lezen,

schrijven, wissen en uitvoeren;

e) zorgen voor fysieke of logische toegangsbeveiligingsmaatregelen voor het isoleren van gevoelige

toepassingen, toepassingsgegevens of systemen;

Verder behoren dynamische technieken en processen voor het beschermen van gevoelige informatie die van hoge waarde is voor de organisatie, in overweging te worden genomen als de organisatie:

a) granulaire beveiliging nodig heeft met betrekking tot wie, gedurende welke periode en volgens

welke wijze toegang kan krijgen tot dergelijke informatie;

b) zulke informatie wil delen met mensen buiten de organisatie en de controle wil behouden over wie

er toegang toe heeft;

c) het gebruik en de verspreiding van die informatie dynamisch en in real time wil beheren;

d) dergelijke informatie wil beschermen tegen ongeautoriseerde wijzigingen, kopiëren en

verspreiding (met inbegrip van afdrukken);

e) het gebruik van de informatie wil monitoren;

f) wijzigingen aan deze informatie wil registreren voor het geval onderzoek in de toekomst vereist is.

Technieken voor het beheer van dynamische toegang behoren informatie gedurende de hele levenscyclus ervan te beschermen (dzet aanmaken, verwerken, opslaan, overdragen en verwijderen), met inbegrip van:

a) het vaststellen van regels voor het beheer van dynamische toegang op basis van specifieke

usecases, waarbij het volgende in overweging wordt genomen:

1) toegangsrechten verlenen op basis van identiteit, apparaat, locatie of toepassing;

2) het classificatieschema inzetten om vast te stellen welke informatie met technieken voor het

beheer van dynamische toegang moet worden beschermd;

b) operationele, monitoring- en meldingsprocessen opstellen en ondersteunende technische

infrastructuur inrichten.

Systemen voor het beheer van dynamische toegang behoren informatie te beschermen door:

a) authenticatie, passende toegangsgegevens of een certificaat te vereisen voor toegang tot informatie;

b) de toegang te beperken, bijvoorbeeld tot een bepaald tijdsbestek (bijvoorbeeld na een bepaalde

datum of tot een bepaalde datum);

c) versleuteling te gebruiken om informatie te beschermen;

d) de afdrukrechten voor de informatie te definiëren;

e) te registreren wie zich toegang verschaft tot de informatie en hoe de informatie wordt gebruikt;

f) waarschuwingen te geven indien er pogingen om de informatie te misbruiken worden

waargenomen.




**Overige informatie**

Indien traditionele toegangscontroles niet kunnen worden afgedwongen, kunnen technieken voor het beheer van dynamische toegang en andere technieken voor dynamische informatiebeveiliging de bescherming van informatie ondersteunen, zelfs wanneer gegevens buiten de organisatie van herkomst worden gedeeldit kan worden toegepast op documenten, e-mails of andere bestanden

met informatie, om te beperken wie er toegang kan krijgen tot de inhoud en hoe men deze kan krijgenit kan op granulair niveau zijn en worden aangepast gedurende de levenscyclus van de informatie.

Technieken voor het beheer van dynamische toegang zijn geen vervangers van klassiek toegangsbeheer [bijvet gebruik van lijsten voor toegangsbeheer (ACL's)], maar ze kunnen meer factoren toevoegen voor conditionaliteit, realtime-evaluatie, just-in-timedatabeperking en andere verbeteringen die nuttig kunnen zijn voor de meest gevoelige informatieit biedt een manier om toegang buiten de omgeving van de organisatie te beveiligenncidentrespons kan worden ondersteund door technieken voor het beheer van dynamische toegang aangezien rechten te allen tijde kunnen worden gewijzigd of ingetrokken.

Aanvullende informatie over een kader voor toegangsbeheer wordt gegeven in ISO/IEC 29146.
