ISO 27001 en toegangsbeheer: de maatregelen die bij je klanten terugkomen

In de versie van 2022 staan de maatregelen voor toegang vooral in hoofdstuk 5 van bijlage A. Toegangsbeveiliging gaat over de regels: wie krijgt waar toegang toe. Identiteitsbeheer gaat over de hele levenscyclus van een identiteit. Authenticatie-informatie gaat over hoe inloggegevens worden uitgegeven en beheerd. Toegangsrechten gaat over toekennen, beoordelen en intrekken.

Daarnaast vraagt maatregel 6.5 dat verantwoordelijkheden en toegang worden aangepast als iemand vertrekt of van functie wisselt, en vraagt 8.15 om vast te leggen wat er gebeurt.

Een beleidsdocument is het begin. Daarna wil een auditor bewijs dat het beleid wordt uitgevoerd: dat een nieuwe medewerker de toegang kreeg die bij zijn functie hoort, dat iemand die van functie wisselde zijn oude toegang kwijtraakte, dat een vertrokken medewerker op zijn laatste dag nergens meer bij kon, en dat de toegangsrechten periodiek zijn bekeken.

Zit dat verspreid over tickets en losse scripts, dan is dat bewijs lastig te leveren. Zeker bij meerdere klanten.

Met Joinly is het HR-systeem van je klant de bron. Rollen op basis van functie, afdeling en locatie bepalen wie wat krijgt. Instroom, doorstroom en uitstroom lopen automatisch, de toegangsevaluatie laat per persoon zien waar de toegang afwijkt van wat bij de functie hoort, en elke wijziging komt in het auditlog van die klant, met wie, wat, wanneer en waarom.

Joinly is zelf ISO 27001-gecertificeerd, en de gegevens staan in Amsterdam, binnen de EU. Voor je eigen certificering of die van je klant is Joinly daarmee een leverancier die je in je leveranciersbeoordeling kunt verantwoorden. De documenten daarvoor vind je in het trust center.