Rechten verlenen, herzien en intrekken

Hoe StandardOS dit controleert

Alleen-lezen verbonden, volgens een schema. Een geslaagde controle houdt een bewijsregel vers; een mislukte laat hem verlopen, zodat een achteruitgang aan het licht komt in plaats van op de audit te wachten. Elke integratie, en wat elke set toegangsgegevens kan zien.

• Personio · StandardOS leest wie volgens het HR-systeem is vertrokken maar nog een actieve regel in het personeelsregister heeft, de uitschrijfkloof op het moment dat ze ontstaat.
• Microsoft Entra ID · StandardOS leest hoeveel accounts globale beheerder zijn, en of de gasten bekend zijn.
• Google Workspace · StandardOS leest wie superbeheerder is, en of die personen verificatie in twee stappen gebruiken.
• Okta · StandardOS leest accounts die halverwege het instapproces vastzitten, en accounts die zijn opgeschort en vergeten.
• AWS · StandardOS leest de negentig dagen ongebruikte referenties, de toegangsrechten die niemand beoordeelt.
• Google Cloud · StandardOS leest welke gebruikers- of groepsbindingen Owner of Editor op een project verlenen.
• Microsoft Entra ID · StandardOS leest de ingeschakelde accounts die niemand negentig dagen heeft gebruikt.
• Okta · StandardOS leest de actieve accounts die niemand negentig dagen heeft gebruikt, en hoeveel accounts een beheerdersrol van welke aard ook hebben.
• Google Workspace · StandardOS leest de actieve accounts die niemand negentig dagen heeft gebruikt, en hoeveel accounts een super- of gedelegeerde beheerdersrol hebben.
• Personio · StandardOS leest welke vertrekkers zonder vastgelegde datum zijn vertrokken, wiens contract is verlopen terwijl ze actief blijven, en wie geen leidinggevende heeft om goed te keuren waartoe de persoon toegang mag hebben.

Risico's die deze maatregel behandelt

Uit het startrisicoregister dat StandardOS bij het inrichten voorstelt. U behoudt, bewerkt of verwijdert elk ervan; dit zijn de risico's die A.5.18 als behandeling noemen.

• Vertrekkende medewerker behoudt toegangAccounts

Wat het in uw agenda zet

Een maatregel is niet één keer ingevoerd. Deze worden vanaf de dag van inrichting ingepland, met een eigenaar en een vervaldatum, zodat het bewijs bestaat voordat iemand ernaar vraagt.

• Beoordeling van gebruikerstoegangelk kwartaal

Wat klanten over deze maatregel vragen

Beveiligingsvragenlijsten gebruiken geen maatregelnummers. Dit zijn de vragen, zoals klanten ze stellen, die uitkomen bij A.5.18. Elke vraag wordt beantwoord uit dezelfde vier registraties: de VvT-status, het goedgekeurde beleid, gedateerd bewijs en een live controle. De volledige kaart van dertig onderwerpen.

• Hoe wordt gebruikerstoegang toegekend, beoordeeld en ingetrokken wanneer iemand vertrekt?

  Toegangsbeheer, minimale rechten, in- en uitdiensttreding, beheerderstoegang · ook A.5.15, A.8.2

Waar dit onder NIS2 valt

A.5.18 is onderdeel van wat artikel 21, lid 2, onder j), Access control, vraagt. Het één keer invoeren telt voor beide, en dat is precies waarom de NIS2-mapping bestaat.