Om effectieve toegangscontrole tot vertrouwelijke en privacygevoelige informatie te kunnen implementeren en onderhouden is er een gemeentebreed toegangsbeleid. Naast dit gemeentebrede toegangsbeleid heeft ieder informatiesysteem nog een specifiek gedefinieerd toegangsbeleid, dat is afgestemd op de classificatie van de informatie.
Het toegangsbeleid is vastgesteld en bekend gemaakt aan de organisatie. In het beleid komen de volgende aspecten aan de orde:
Aanvragen voor toegang worden geautoriseerd door de procesverantwoordelijke (eigenaar van de data/applicatie);
Er worden in de regel geen ‘algemene’ identiteiten gebruikt. Voor herleidbaarheid en transparantie is het namelijk nodig om te weten wie een bepaalde actie heeft uitgevoerd. Indien dit geen (wettelijke) eis is kan worden gewerkt met functionele accounts;
De gemeente maakt, waar mogelijk, gebruik van bestaande (landelijke) voorzieningen voor authenticatie, autorisatie en informatieveiligheid (zoals: DigiD en eHerkenning);
Alle toegekende bevoegdheden worden geregistreerd en beheerd, bijvoorbeeld in een autorisatiematrix;
Het gebruik van speciale bevoegdheden wordt beperkt en beheerd.
De procesverantwoordelijke draagt zorg voor de toetsing of de door de uitvoeringsorganisatie GRIT of applicatiebeheer geïmplementeerde bevoegdheden zijn toegekend of verwijderd conform de aanvraag.
Hoofdstuk 4.
Artikel 4.1
beleid voor logische toegangsbeveiliging
Onderdeel van Tactisch gemeentebreed informatieveiligheidsbeleid