Informatie beveiliging
Datalek..?
Ook bij twijfel, gewoon even melden.
Ook al doe je nog zo goed je best… het kan altijd een keer gebeuren. Ook bij twijfel gewoon even melden door op de groene knop hieronder te klikken.
Logging en monitoring van toegang
Dit onderwerp valt onder het IBP domein 10: Identity- en access en geeft invulling aan deze IBP- normen.
en heeft raakvlakken met:
Waar gaat dit over? (Scope)
Dit onderdeel regelt logging en monitoring van toegang: hoe Optimus vastlegt wie wanneer toegang krijgt, hoe deze loggegevens periodiek gecontroleerd worden en hoe we handelen bij afwijkingen of incidenten.
Wat valt binnen de Scope:
-
Alle kernapplicaties en ICT-infrastructuur die op blad “Risico kern ICTmiddelen” in het document Risico inventarisatie Optimus Onderwijs zijn geregistreerd.
- Toegangsactiviteiten van gebruikers, super-users en admin-accounts.
- Registratie van geslaagde en mislukte inlogpogingen, inclusief bewaartermijnen (6 maanden voor loginpogingen.)
- Logging van activiteiten met speciale rechten en beheeraccounts.
- Periodieke herziening van autorisaties en controles op functiescheiding.
Wat val buiten de Scope:
- Niet geregistreerde kernapplicatie en ICT- infrastructuur.
-
Fysieke toegangscontrole (toegangsbadges, sleutelbeheer).
-
Autorisatiebeheer zelf (dat valt onder een apart proces); hier gaat het om het toezicht en de logging ervan.
-
Test- of serviceaccounts die niet zijn gekoppeld aan kernapplicaties vallen alleen binnen scope als de proceseigenaar ze expliciet heeft geregistreerd.
🐴 Ezelsbruggetje
“Log — Analyseer — Reageer — Borg”
-
Log: alles wordt vastgelegd.
-
Analyseer: periodiek controleren en signaleren.
-
Reageer: incidenten direct opvolgen.
-
Borg: uitzonderingen, bewaartermijnen en noodprocedures structureel vastleggen.
ProcesScope (aanpak)
- Loggen: succesvolle en mislukte loginpogingen en activiteiten van accounts met speciale rechten worden geregistreerd. Wachtwoorden worden nooit gelogd.
- Analyseren: halfjaarlijkse controle door PSO op logboeken van hoog-risicosystemen.
- Incidentafhandeling: pogingen tot of succesvolle schendingen worden geregistreerd als beveiligingsincident en volgen de incidentprocedure.
- Incidentafhandeling: pogingen tot of succesvolle schendingen worden geregistreerd als beveiligingsincident en volgen de incidentprocedure.
- Breaking Glass-procedure: in noodsituaties mag toegang buiten de standaard om alleen met expliciete toestemming van CvB en onder toezicht van PSO.
- Herziening: autorisaties die buiten vastgestelde procedures zijn verleend, worden ingetrokken.
I&T onderdelen
Identiteits- en toegangsbeheer bevat verschillende onderdelen. Klik op het onderdeel om de onderdeel te bezoeken.
Speerpunten
-
Alle toegangsactiviteiten worden (indien mogelijk) gelogd en bewaakt.
-
Logs worden periodiek geanalyseerd om verdachte activiteiten te detecteren.
-
Incidentresponsprocedure wordt gevolgd bij detectie van ongeoorloofde toegangspogingen.
-
Activiteiten van superuser- en admin-accounts worden apart gelogd en gecontroleerd.
-
Logs worden minimaal 6 maanden bewaard en periodiek herzien.
-
In noodgevallen geldt een strikt “Breaking Glass”-protocol met CvB-toestemming.
Rollen, taken en verantwoordelijkheden
Hieronder zie je wie wat doet bij de uitvoering van dit onderdeel. Klik op de rol om deze open te klappen.
Applicatiebeheerder
Verantwoordelijkheden.
-
Beheert accounts en rechten conform de autorisatiematrix.
Taken
-
Houdt registraties van bijzondere rechten en superuser-accounts bij.
-
Voert (op vraag) controles uit en meldt afwijkingen aan Domeinbeheerder en PSO.
ICT- en facilitaire dienstverlening
Verantwoordelijkheden
-
Faciliteert logging en bewaartermijnen (6 maanden loginlogs).
-
Zorgt voor de technische werking en beschikbaarheid van systemen.
Taken
-
Beheert infrastructuur en logbestanden.
-
Ondersteunt bij incidenten en het toepassen van de Breaking Glass-procedure.
- Voert (op vraag) controles uit en meldt afwijkingen aan Domeinbeheerder en PSO.
Privacy- en Security Officer
Verantwoordelijkheden
-
Toezicht op naleving en controle van logboeken (hoog-risicosystemen).
-
Adviseert over uitzonderingen en noodprocedures.
Taken
-
Voert halfjaarlijkse controles op logboeken uit.
-
Registreert en behandelt beveiligingsincidenten.
-
Escaleert naar CvB bij ernstige of structurele afwijkingen
College van bestuur
Verantwoordelijkheden
-
Eindverantwoordelijk voor het beleid en de naleving.
-
Autoriseert uitzonderingen en Breaking Glass-procedures.
Taken
-
Stelt beleid vast en herziet dit minimaal tweejaarlijks.
-
Beslist bij escalaties en noodsituaties.
Documentatie
Klik op hieronder voor toegang tot het materiaal:
- IBP beleidstuk Logische toegangsbeveiliging
- IBP (Excel) Risicoinventarisatie Optimus Onderwijs
Deze documenten hebben een informatieclassificatie intern of vertrouwelijk. Toegang wordt gegeven op aanvraag.