Overig · Overheid
Wat vraagt de Baseline Informatiebeveiliging Overheid op het gebied van toegangsbeheer voor medewerkers?
De Baseline Informatiebeveiliging Overheid vraagt dat toegang voor medewerkers gecontroleerd wordt verleend, beperkt blijft tot wat nodig is voor de functie, periodiek wordt beoordeeld en bij vertrek direct wordt ingetrokken. Kort gezegd: rolgebaseerde toegang, least privilege, logging en een sluitende levenscyclus van accounts. Door het personeelssysteem te koppelen aan de werkomgeving automatiseer je precies die eisen.
Marcel van Beek · IAM Specialist · 3 min read
Wat is de Baseline Informatiebeveiliging Overheid?
De Baseline Informatiebeveiliging Overheid is het verplichte normenkader voor informatiebeveiliging bij het Rijk, gemeenten, provincies en waterschappen. Het kader beschrijft welke maatregelen een overheidsorganisatie moet nemen om informatie en systemen te beveiligen. De opvolger, de BIO2, sluit aan op de internationale normen voor informatiebeveiliging, NEN-EN-ISO/IEC 27001:2023 en 27002:2022, en hanteert een meer risicogerichte aanpak dan de eerdere indeling in drie basisbeveiligingsniveaus. Voor gemeenten blijft de BIO 1.04 formeel gelden als verplichte zelfregulering totdat de Cyberbeveiligingswet in werking treedt.
Toegangsbeheer, oftewel identity en accessmanagement, is binnen die baseline een vast en zwaarwegend onderdeel. De gedachte is simpel: wie geen toegang nodig heeft, hoort die ook niet te hebben, en elke toegang die wel bestaat moet herleidbaar en verantwoord zijn.
Welke eisen stelt de baseline aan toegang van medewerkers?
De baseline vertaalt zich in de praktijk naar een aantal concrete principes voor het beheer van medewerkers. Toegang wordt verleend op basis van de rol of functie, niet per individu, zodat duidelijk is waarom iemand bepaalde rechten heeft. Die rechten blijven beperkt tot wat de functie vereist, het principe van least privilege. Toegang wordt formeel toegekend en weer ingetrokken volgens een vastgelegd proces, en het management beoordeelt periodiek of de feitelijke toegang nog klopt met de bedoelde toegang. Onjuiste of overbodige rechten worden daarbij direct verwijderd.
Daarnaast vraagt de baseline dat handelingen worden vastgelegd. Wie kreeg wanneer welke toegang, en wie trok die weer in, moet achteraf te reconstrueren zijn. Die logging is niet alleen nodig voor incidentonderzoek, maar ook voor de jaarlijkse verantwoording via ENSIA en straks voor het toezicht onder de Cyberbeveiligingswet.
Hoe automatiseer je deze eisen in de praktijk?
Handmatig voldoen aan deze eisen is bij een overheidsorganisatie lastig, omdat er veel afdelingen, applicaties en ingehuurde krachten zijn en de instroom en uitstroom doorlopen. De praktische oplossing is om het personeelssysteem de bron van waarheid te maken en een orchestratielaag die gegevens te laten vertalen naar accounts en rechten in Microsoft Entra ID of Google Workspace.
Joinly van KoppelHet werkt als zo'n laag: de stroom loopt van bron, het personeelssysteem, via de orchestratielaag naar de werkomgeving. Een nieuwe medewerker krijgt automatisch de rechten die bij de rol horen, een functiewijziging leidt automatisch tot de juiste aanpassing, en bij vertrek wordt de toegang direct ingetrokken. Omdat alles op rollen is gebaseerd en elke wijziging wordt gelogd, sluit deze werkwijze rechtstreeks aan op wat de baseline vraagt: rolgebaseerde toegang, least privilege en aantoonbaarheid. Dit betreft uitsluitend medewerkers; identiteiten van burgers in de dienstverlening vallen buiten deze opzet.
Veelgestelde vragen
Geldt de BIO voor alle gemeenten? Ja. De Baseline Informatiebeveiliging Overheid geldt voor het Rijk, gemeenten, provincies en waterschappen. Voor gemeenten geldt de BIO 1.04 formeel tot de Cyberbeveiligingswet in werking treedt; de overgang naar de BIO2 loopt.
Wat is het verschil tussen de BIO en ISO 27001? De BIO2 is gebaseerd op ISO 27001:2023 en ISO 27002:2022 en sluit daar inhoudelijk sterk op aan. Voor veel organisaties is ISO 27001 een praktische basis om de BIO2 in te richten.
Helpt automatisering ook bij de ENSIA-verantwoording? Ja. Doordat het toekennen, wijzigen en intrekken van toegang automatisch wordt gelogd, is toegangsbeheer eenvoudiger te onderbouwen in de jaarlijkse zelfevaluatie.
Explore more blogs
Segregation of Duties (SoD): wat het is en hoe je het afdwingt
Wat is segregation of duties (functiescheiding)? Uitleg, voorbeelden en waarom het vaak misgaat. Plus hoe je SoD-conflicten automatisch tegenhoudt.
Marcel van Beek · 4 min read
How do you apply AGDLP in a hybrid Entra/AD environment? (And why you shouldn't want to anymore)
Short answer: preferably not. AGDLP (Accounts → Global groups → Domain Local groups → Permissions) is a concept from the era of manual management. The entire nesting construction exists for one reason: to allow a human to assign permissions with as few mouse clicks as possible. As soon as an agent assigns group memberships directly based on HR data, this reason disappears and only the complexity remains. Moreover, in a hybrid environment, this complexity actively works against you, because Entra ID completely ignores nesting for licences and app assignment. In this article, you can read how AGDLP works and why it was once smart, where it breaks down in a hybrid environment, and what the modern alternative looks like: direct memberships, managed by automation.
Marcel van Beek · 5 min read
How do I set up role-based access control (RBAC) and least privilege for a municipality?
Start with the roles in your HR system and map them to roles, not to individual permissions per person. Group each role with precisely the access required for the job, adhering to the principle of least privilege. Manage these roles centrally and let an orchestration layer automatically assign and revoke them. This keeps access predictable, limited and demonstrable.
Mike Fraanje · 4 min read
See what Joinly can do for your organisation?
Start a free trial today or get in touch for advice on your HR and Microsoft environment.