Beleid voor IAA: Principes voor Authenticatie

Deze blog is de derde in de reeks over beleid, uitgangspunten en principes voor identificatie, authenticatie en autorisatie. De tweede is hier te vinden.

Proportionaliteit

Hoe gevoeliger de gegevens zijn hoe meer we ons er van willen overtuigen dat de persoon werkelijk is wie hij zegt dat hij is. De laagste vorm van authenticatie gebruikt een sterk wachtwoord (conform de richtlijn voor wachtwoorden). Gevoelige (persoons)gegevens worden met een extra maatregel beveiligd (meervoudige authenticatie). Het gebruik van een wachtwoord is dan gecombineerd met bijvoorbeeld een pas, token, sms of een vingerafdruk. Ook bij het gebruik van accounts voor beheer en risicovolle rollen in applicaties met een score “Hoog” op het onderdeel ‘Vertrouwelijkheid’ van de BIV classificatie, wordt gebruikt gemaakt van meervoudige authenticatie.

Voor applicaties in het huidige applicatielandschap die geen meervoudige authenticatie ondersteunen maar dat wel nodig hebben wordt een alternatief gezocht of er worden aanvullende maatregelen getroffen om een gewenst beveiligingsniveau te bereiken.

Gebruiker is de bron

Het wachtwoord is verbonden aan de gebruiker zelf. Wij slaan deze niet zelf op noch mogen onze leveranciers hierover beschikken.

Single sign-on: 1x inloggen

Personen loggen niet apart in op onderdelen van de ICT infrastructuur van de onderwijsinstelling. Na inloggen op de ICT infrastructuur vindt authenticatie op het applicatielandschap verder zoveel mogelijk op de achtergrond plaats ter bevordering van het gebruiksgemak en productiviteit.

Single sign-on brengt een beveiligingsrisico met zich mee, maar weegt niet op tegen het bevorderd gebruiksgemak. Om het beveiligingsrisico te mitigeren worden maatregelen geformuleerd in de “Richtlijn voor wachtwoorden”. Verder worden in het BYOD-beleid en Reglement Verantwoord ICT-gebruik gebruik- en beveiligingsrichtlijnen opgenomen om het risico van gebruikersgedrag te minimaliseren.

Single-Sign-On vereist dat externe systemen koppelbaar zijn. Als dat niet het geval is, geldt het “Comply, or explain” principe. Er wordt dus aan de leverancier gevraagd te voldoen aan onze principes en zijn systeem koppelbaar te maken of anders uitleg te geven. Ons Architectenplatform adviseert in deze, om erna met belanghebbenden een afgewogen besluit mogelijk te maken.

Verantwoord gedrag

Elke gebruiker is verantwoordelijk voor het adequaat afschermen/beveiligen van zijn authenticatiemiddelen (account/wachtwoord, schoolpas, Yubikey). Een goede beveiliging met technische maatregelen vormt natuurlijk een basis, maar het effect ervan gaat grotendeels verloren als men bijvoorbeeld wachtwoorden doorgeeft.

Handhaving van het wachtwoordbeleid

De “Richtlijn voor wachtwoorden” (separaat, tactisch document) voor accounts binnen de ICT infrastructuur van de onderwijsinstelling wordt technisch afgedwongen.

Beheer van de ICT infrastructuur

Authenticatie voor het beheer en services in de ICT infrastructuur vereist strikte beveiligingsmaatregelen. Deze worden continue geactualiseerd conform de standaarden voor beveiliging van de ICT infrastructuur.

Mijn volgende blog zal gaan over de principes voor Autorisatie.