Wat vereist controle A.3.8?
De volledige levenscyclus van identiteiten die verband houden met de verwerking van persoonsgegevens moet worden beheerd.
Deze controle valt onder de gedeelde beveiligingscontroles ( Tabel A.3 ) en is van toepassing op zowel verantwoordelijken voor als verwerkers van persoonsgegevens. Het breidt de standaardvereisten voor identiteitsbeheer van ISO 27001 uit om specifiek systemen aan te pakken die persoonsgegevens verwerken, vanuit de erkenning dat gecompromitteerde identiteiten een van de meest voorkomende oorzaken van privacyschendingen zijn.
Wat staat er in de implementatierichtlijnen?
Bijlage B (sectie B.3.8) biedt gedetailleerde richtlijnen voor het beheer van de identiteitslevenscyclus voor systemen die persoonsgegevens verwerken:
- Gecompromitteerde geloofsbrieven — Pak situaties aan waarbij de toegangscontrole van gebruikers in gevaar komt, zoals corruptie of compromittering van wachtwoorden. Zorg voor procedures om compromittering van inloggegevens snel te detecteren en erop te reageren.
- Gedeactiveerde/verlopen ID's — Geef geen gedeactiveerde of verlopen gebruikers-ID's opnieuw uit voor systemen die persoonsgegevens verwerken. Dit waarborgt de integriteit van de auditlogboeken en voorkomt verwarring over identiteiten.
- Gedeelde verantwoordelijkheid — Wanneer klanten (bijvoorbeeld in een SaaS-context) verantwoordelijk zijn voor bepaalde aspecten van het beheer van gebruikers-ID's, moet dit duidelijk worden vastgelegd in de serviceovereenkomsten.
- Controles specifiek voor het rechtsgebied In sommige rechtsgebieden is het verplicht om met een bepaalde frequentie te controleren of inloggegevens niet worden gebruikt. Identificeer en voldoe aan alle dergelijke vereisten die van toepassing zijn op uw organisatie.
- Zie ook A.3.9: Toegangsrechten voor gerelateerde vereisten
- Zie ook A.3.23: Veilige authenticatie voor gerelateerde vereisten
De richtlijnen hebben betrekking op de volledige levenscyclus: het aanmaken, inrichten, wijzigen, opschorten, deactiveren en verwijderen van identiteiten. Elke fase moet worden gedocumenteerd en beheerd.
Hoe verhoudt dit zich tot de AVG?
Controle A.3.8 komt overeen met artikel 5(1)(f) van de AVG (integriteits- en vertrouwelijkheidsbeginsel). Robuust identiteitsbeheer is een essentiële technische en organisatorische maatregel in het kader van artikel 32 (beveiliging van de verwerking). Gecompromitteerde of slecht beheerde identiteiten kunnen leiden tot ongeoorloofde toegang tot persoonsgegevens, wat zowel een beveiligingsincident als een potentiële datalek is die meldingsplichtig is op grond van de artikelen 33 en 34.
Hoe verhoudt dit zich tot de privacybeginselen van ISO 29100?
Als gedeelde beveiligingsmaatregel ondersteunt A.3.8 het bredere ISO 29100- raamwerk. Identiteitsbeheer is een directe implementatie van het informatiebeveiligingsprincipe en zorgt ervoor dat alleen geautoriseerde personen toegang hebben tot persoonsgegevens en dat hun toegang traceerbaar, controleerbaar en intrekbaar is gedurende de gehele levenscyclus van de identiteit.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Welk bewijsmateriaal verwachten auditors?
Bij het beoordelen van de naleving van A.3.8 zullen auditors doorgaans letten op:
- Levenscyclusprocedures voor identiteiten — Gedocumenteerde procedures voor het aanmaken, wijzigen, opschorten en deactiveren van gebruikersaccounts voor systemen die persoonsgegevens verwerken.
- proces voor nieuwe/verplaatste/vertrekkende medewerkers — Bewijs dat identiteitswijzigingen worden veroorzaakt door HR-gebeurtenissen (nieuwe medewerkers, functieveranderingen, vertrek) en dat hierop snel wordt gereageerd
- Gedeactiveerde ID's mogen niet opnieuw worden gebruikt. — Bewijs dat gedeactiveerde of verlopen gebruikers-ID's niet opnieuw zijn toegekend aan nieuwe gebruikers in systemen voor de verwerking van persoonsgegevens.
- Ongebruikte referentiebeoordelingen — Bewijs van periodieke controles om slapende accounts te identificeren en te deactiveren, met gedocumenteerde frequentie en resultaten.
- compromisreactie — Procedures en bewijsmateriaal met betrekking tot de reactie op incidenten waarbij inloggegevens zijn gecompromitteerd (wachtwoordherstel, accountblokkering, onderzoeksverslagen)
- Serviceovereenkomsten — Waar klanten hun eigen gebruikers-ID's beheren, zijn overeenkomsten nodig die de verantwoordelijkheden duidelijk definiëren.
Welke besturingselementen zijn hierbij betrokken?
| Controleer: | Verhouding |
|---|---|
| A.3.4 Rollen en verantwoordelijkheden | Gedefinieerde rollen bepalen welke toegang elke identiteit moet hebben. |
| A.3.5 Classificatie van informatie | De toegang tot vertrouwelijke persoonsgegevens moet beperkt blijven tot de daartoe bevoegde personen. |
| A.3.3 Beleid voor informatiebeveiliging | Identiteitsbeheerprocedures moeten voldoen aan de toegangscontrolevereisten die zijn vastgelegd in het beveiligingsbeleid. |
| A.3.7 Informatieoverdracht | Identiteiten die worden gebruikt om toegang te krijgen tot overdrachtssystemen moeten via dezelfde levenscycluscontroles worden beheerd. |
| A.3.12 Reactie op beveiligingsincidenten | Identiteitsfraude die leidt tot ongeautoriseerde toegang kan leiden tot meldingsplicht bij datalekken. |
Wat is er veranderd ten opzichte van ISO 27701:2019?
Voor een stapsgewijze aanpak, zie de overgang van 2019 naar 2025.
In de editie van 2019 viel deze vereiste onder clausule 6.6.2.1 (gebruikersregistratie en -deregistratie). De versie van 2025 breidt de reikwijdte uit en omvat nu expliciet de volledige levenscyclus van de identiteit, niet alleen registratie en deregistratie. De richtlijnen bevatten nu specifieke bepalingen voor gecompromitteerde inloggegevens, het niet-hergebruik van gedeactiveerde ID's en jurisdictiespecifieke vereisten voor de controle van inloggegevens. Zie de correspondentietabel in bijlage F voor de volledige mapping.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Waarom kiezen voor ISMS.online voor het beheer van identiteitsbeheer?
ISMS.online helpt u bij het beheren van de identiteitslevenscyclus voor systemen die persoonsgegevens verwerken:
- Toegangscontrole register — Documenteer wie toegang heeft tot welke systemen voor de verwerking van persoonsgegevens, met op rollen gebaseerde toegangsniveaus gekoppeld aan gedefinieerde verantwoordelijkheden.
- Werkprocessen voor nieuwe/verplaatste/vertrekkende medewerkers — Activeer taken voor identiteitsaanmaak, -wijziging en -deactivering op basis van HR-gebeurtenissen, met registratie van voltooiing en goedkeuring.
- Periodieke toegangsbeoordelingen — Plan en volg toegangscontroles voor systemen die persoonsgegevens verwerken, met ingebouwde herinneringen en een auditlogboek van de controle-uitkomsten.
- Reactie op incidenten — Registreer incidenten waarbij inloggegevens zijn gecompromitteerd en volg de reactie tot de oplossing, inclusief bewijs van genomen herstelmaatregelen.
- Toegangsbeheer voor leveranciers — Wanneer derden of klanten hun eigen identiteit beheren, documenteer dan het model van gedeelde verantwoordelijkheid en controleer de naleving ervan.
- Nalevingsrapportage — Genereer rapporten over de status van identiteitsbeheer, inclusief slapende accounts, achterstallige beoordelingen en verzoeken tot wijziging van open toegang.
Veelgestelde vragen
Waarom zouden gedeactiveerde gebruikers-ID's niet opnieuw uitgegeven moeten worden?
Het opnieuw toekennen van een gedeactiveerde gebruikers-ID aan een nieuwe persoon zorgt voor onduidelijkheid in de auditlogboeken. Als een systeem acties registreert op basis van gebruikers-ID, wordt het onmogelijk om onderscheid te maken tussen acties die zijn uitgevoerd door de oorspronkelijke en latere houders van die ID. Voor systemen die persoonsgegevens verwerken, waar auditlogboeken cruciaal zijn voor het aantonen van naleving en het onderzoeken van incidenten, is deze onduidelijkheid onaanvaardbaar. Maak altijd nieuwe, unieke gebruikers-ID's aan voor nieuwe gebruikers.
Hoe vaak moeten we controleren op ongebruikte inloggegevens?
Controleer ongebruikte inloggegevens minimaal elk kwartaal. Sommige rechtsgebieden of branchevoorschriften vereisen mogelijk frequentere controles. Geautomatiseerde tools kunnen accounts signaleren die gedurende een bepaalde periode (bijvoorbeeld 90 dagen) niet zijn gebruikt, waardoor uw team slapende accounts snel kan onderzoeken en deactiveren. Combineer geautomatiseerde detectie met een handmatig controleproces om accounts te vinden die mogelijk over het hoofd zijn gezien.
Wat moeten we doen als inloggegevens zijn gecompromitteerd?
Stel de gecompromitteerde inloggegevens onmiddellijk opnieuw in of blokkeer ze en onderzoek de omvang van het inbreuk. Stel vast of er persoonsgegevens zijn ingezien of gelekt. Als er een datalek heeft plaatsgevonden, beoordeel dan of melding vereist is volgens de toepasselijke wetgeving (bijv. AVG- artikelen 33 en 34). Documenteer het incident, de genomen maatregelen en de uitkomst. Onderzoek de onderliggende oorzaak en implementeer maatregelen om herhaling te voorkomen, zoals het invoeren van multifactorauthenticatie of het aanscherpen van het wachtwoordbeleid.
Leg deze beheersmaatregel vast in uw toepassingsverklaring, inclusief de onderbouwing van uw implementatie.
Raadpleeg onze handleiding met vereisten voor auditbewijs om te zien wat auditors verwachten.
