vragenlijst wil weten hoe wij toegang tot systemen regelen, wat antwoord ik

Toegangsbeheer draait om autorisatie, verificatie en logging

Deze vraag valt onder toegangscontrolebeleid, en de meeste vragenlijsten splitsen hem in drie delen: hoe wordt toegang toegekend en ingetrokken (autorisatie), hoe wordt de identiteit van de gebruiker gecontroleerd (authenticatie), en wordt bijgehouden wie wanneer bij welk systeem is geweest (logging). Een compleet antwoord noemt alle drie. Voor autorisatie is het gangbare antwoord dat toegang wordt toegekend op basis van functie of rol, dat rechten worden herzien bij functiewijziging of uitdiensttreding, en dat er een periodieke controle is op openstaande accounts. Als er geen vast proces is maar toegang wel handmatig en beperkt wordt toegekend, is een reëel antwoord "deels" met een korte toelichting, niet "ja".

Voor authenticatie wordt vaak apart gevraagd of meerfactorauthenticatie wordt gebruikt voor toegang tot bedrijfssystemen — dat is een op zichzelf staand antwoord, ook als het toegangsbeleid verder op orde is. Voor logging is het bewijsstuk meestal een export uit het identity- en accessmanagementsysteem, of een screenshot van de rollenstructuur; een beleidsdocument zonder onderliggend systeem overtuigt zelden. Ontbreekt dat bewijs, dan is "nee, nog niet geformaliseerd" een houdbaar antwoord — het risico zit in "ja" zonder stuk erachter.

Herleidbaar tot artikel 21 lid 2 en Annex A

Toegangsbeheer staat als losse maatregel genoemd in artikel 21 lid 2 van de NIS2-richtlijn, naast de bredere eis dat het toegangsbeleid inclusief het beheer van bedrijfsmiddelen is vastgelegd. In ISO/IEC 27001 komt dezelfde eis terug in Annex A, onder de beheersmaatregelen voor toegangscontrole; wie voor dat onderwerp al gecertificeerd is, kan dat certificaat als bewijsstuk aandragen in plaats van losse documenten te verzamelen.