Een veilige (ICT-)omgeving begint met een visie, passend beleid en het neerzetten van een juiste organisatie. Alle rollen (privacy officer, security officer en functionaris gegevensbescherming) moeten zijn belegd en afspraken moeten worden geborgd.
Terug naar normen
Naar de normenkaderwijzer >>
Normbeschrijving Kennisnet
ID.05 Periodieke beoordeling van toegangsrechten
Het management beoordeelt periodiek de gebruikerstoegang die ingevoerd is voor de relevante applicaties (IST-situatie) om de juistheid van accounts en rollen (de toegangsrechten) te bevestigen, en valideert dat toegangsrechten passend zijn voor toegewezen taken, zoals bepaald door de toegangsregels (SOLL-situatie). Elke onjuiste toegang die tijdens het beoordelingsproces wordt opgemerkt, wordt direct ingetrokken. Deze controle houdt in dat SOLL- en IST-matrices worden vergeleken door het verantwoordelijke management.
Volwassenheidsniveau 3 met betrekking tot norm ID.05
Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3. Norm ID.05 Periodieke beoordeling van toegangsrechten beschrijft volwassenheidsniveau 3 als volgt:
- De procedures voor identity- en accessmanagement en SOLL-IST-evaluaties zijn gedefinieerd, gedocumenteerd en formeel vastgelegd.
- De SOLL- en IST-matrices worden voor alle gebruikers periodiek vergeleken, geëvalueerd en goedgekeurd door het management.
- Ongepaste toegangsrechten worden ingetrokken.
- De procedures voor identity- en accessmanagement en de SOLL-IST-evaluaties worden periodiek geëvalueerd en zijn effectief.
Hoe ga je aan de slag met Norm ID.05?
Wat doet Cloudwise?
Deze norm beschrijft dat organisaties periodiek moeten controleren of toegekende toegangsrechten nog passend zijn bij de rol en functie van gebruikers. Door deze periodieke beoordeling kan worden vastgesteld of gebruikers nog steeds toegang nodig hebben tot bepaalde systemen of gegevens, en kunnen onnodige of verouderde rechten worden ingetrokken. Dit helpt om ongeautoriseerde toegang en beveiligingsrisico’s te voorkomen. Het organiseren en uitvoeren van deze periodieke beoordeling is een verantwoordelijkheid van de onderwijsorganisatie.
Cloudwise beoordeelt niet of toegangsrechten van gebruikers binnen de organisatie van de klant nog passend of noodzakelijk zijn. Deze beoordeling ligt bij de onderwijsorganisatie zelf. Wij bieden de tooling en beheeromgeving waarmee onderwijsorganisaties autorisaties en gebruikersrechten kunnen beheren en aanpassen.
Interne rechten binnen Cloudwise zijn gekoppeld aan functies en rollen, waardoor autorisaties automatisch aansluiten bij de verantwoordelijkheden van medewerkers. Binnen Cloudwise wordt voor eigen medewerkers wel periodiek gecontroleerd of toegangsrechten nog passend zijn bij hun rol of functie.
De onderwijsinstelling is zelf verantwoordelijk voor:
- het periodiek beoordelen van toegangsrechten van medewerkers, leerlingen en andere gebruikers;
- het controleren of toegangsrechten aansluiten bij rollen, functies en verantwoordelijkheden;
- het intrekken of aanpassen van rechten wanneer deze niet langer nodig zijn;
- het vastleggen van de periodieke beoordeling en eventuele wijzigingen;
- het controleren van autorisaties binnen alle gebruikte systemen.
Het landschap is breder dan Cloudwise
Toegangsrechten worden vaak beheerd in meerdere systemen binnen de organisatie, zoals leerlingadministratiesystemen (LAS), HRM-systemen en educatieve applicaties. Onderwijsorganisaties moeten daarom in al deze systemen periodiek controleren of toegangsrechten nog passend zijn. Cloudwise faciliteert het beheer van autorisaties binnen de door ons ondersteunde omgeving, maar de onderwijsorganisatie blijft verantwoordelijk voor de periodieke beoordeling van toegangsrechten binnen het volledige IT-landschap.
Fasering
- Fase 3 - Uitbreiden
Domein
- IB Domein 10 - Identity & Access Management
Dienst
- Informatiebeveiliging
Normfocus's
- Visie, beleid en organisatie
- De techniek op orde
Verantwoordelijkheid
- Onderwijsorganisatie
Een compleet pakket aan dienstverlening
Cloudwise helpt het onderwijs vooruit
We spelen een belangrijke rol voor scholen om de digitale veiligheid te realiseren en bewaken, en bieden een reeks oplossingen die zowel op techniek als op de mens gericht zijn. Met de integrale aanpak van Cloudwise versterk je de digitale veiligheid op jouw school en realiseer je digitaal veilig onderwijs voor iedereen.
Visie, beleid en organisatie
De menselijke factor
Hoe goed je de techniek ook voor elkaar hebt, uiteindelijk geeft de mens de doorslag. Het zijn vooral de gebruikers van ICT-oplossingen die de deur openzetten voor ransomware-aanvallen en andere cybercriminaliteit.
De techniek op orde
Met onze veilige ICT-oplossingen kunnen scholen direct veilig aan de slag. In onze standaardconfiguraties hebben we al een heleboel solide securityservices ingebouwd.
Uitgebreide beveiliging
Er zijn situaties – met name op bestuursniveau – waarin het raadzaam kan zijn om extra securitymaatregelen te treffen. Daarin bieden wij diverse opties.
Digitaal Veilig Onderwijs
Aan de slag met Privacy & Security?
Hoe krijg je grip op veilig digitaal onderwijs? En dat op zo’n manier dat je er zelf zo min mogelijk omkijken naar hebt? Plan direct een adviesgesprek in met onze Privacy Officers. Zij helpen op dagelijkse basis scholen verder vooruit met digitaal veilig onderwijs.
