Norm ID.03 Monitoring en toegang superusers
Waarom is dit nodig?
Superuseraccounts zijn accounts met verhoogde rechten die gebruikers vaak onbeperkte toegang geven tot alle delen van een computersysteem, inclusief gevoelige bestanden en instellingen. De gevolgen van verkeerd gebruik kunnen verstrekkend zijn. Superusers kunnen bepaalde beheertaken uitvoeren, die ‘gewone’ gebruikers niet kunnen uitvoeren. Zij hebben de mogelijkheid om belangrijke systeeminstellingen te wijzigen en kritieke bestanden te benaderen. Als kwaadwillende personen of malware toegang krijgen tot deze rechten, kunnen ze schade aanbrengen aan het systeem, gegevens stelen of schadelijke acties uitvoeren. Het is belangrijk om de superuserrechten te beperken en te monitoren om ongeoorloofde toegang en verstoringen te verminderen.
Volwassenheidsniveaus
We beschrijven hier 5 volwassenheidsniveaus. Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3.
1 Ad hoc
- Er is geen beleid voor invulling en gebruik van superuserrechten.
- Er is geen procedure voor het toekennen van superuserrechten.
- Er is geen gedefinieerde groep individuen aan wie superuserrechten toegekend mogen worden.
2 Herhaalbaar
- Er is een informeel beleid voor het gebruik en een informele procedure voor de toekenning van superuserrechten.
- De individuen die geautoriseerd zijn om superuserrechten toe te kennen zijn goedgekeurd door het schoolbestuurHet schoolbestuur is het bevoegd gezag en daarmee eindverantwoordelijk voor alles dat met IBP te maken heeft..
- Gebruik van de superuserrechten wordt vastgelegd en in geval van een incident geanalyseerd.
3 Bepaald (streefniveau)
- Er is een formele procedure voor superuserrechten gedefinieerd, gedocumenteerd en gecommuniceerd.
- De personen met superuserrechten en de bijbehorende superuserrechten zijn vastgelegd en toekenning is goedgekeurd door het schoolbestuur.
- Gebruik van de superuserrechten wordt gelogd en geëvalueerd.
4 Beheerst
Aanvullend op niveau 3:
- Gebruik van de superuserrechten wordt voortdurend gemonitord.
- De superuserprocedure en de superusertoegang wordt periodiek geëvalueerd.
5 Continu verbeteren
Aanvullend op niveau 3 en 4:
- Op basis van de periodieke evaluaties wordt de superuserprocedure verbeterd (als onderdeel van IAM).
- Tekortkomingen en trends worden gerapporteerd aan het schoolbestuur.
Aan de slag
Onderstaande maatregelen helpen je op weg naar volwassenheidsniveau 3. Maar let op: dit zijn voorbeelden van maatregelen. Het beveiligen van informatie en beschermen van privacy is natuurlijk maatwerk. De maatregelen die voor jouw organisatie nodig zijn, kunnen daardoor verschillen.
- Verwerk de kaders voor superuserrechten in het IBP-beleid. Zie voor meer informatie over het opstellen van je IBP-beleid norm GO.02 Beleid informatiebeveiliging.
- Zorg voor een goede, up-to-date administratie van de superuserrechten en de personen aan wie deze rechten zijn toegekend.
- Log elk gebruik van superuserrechten.
- Evalueer periodiek of de superuserrechten volgens de kaders zijn gebruikt en of de toekenning nog altijd nodig is.
Gerelateerde wetten en normen
Norm ID.03 Monitoring en toegang superusers is gerelateerd aan de ISO-standaard 27001:2022 en het certificeringsschema ROSA.
ISO 27001/2:2022
- A8.2
- A8.5
- A8.15
Certificeringsschema ROSA
- Integriteit van de toepassing/Herleidbaarheid
.