Access control: Hoe beheer en beheers je toegang tot gegevens binnen een organisatie?

‍In deze blog wordt aandacht besteed aan het onderdeel access control in het kader van Privacy by Design. Access control gaat over het beheren van toegang tot persoonsgegevens. Dus wie heeft toegang tot welke gegevens, maar ook het beheersen van die toegang door effectief beleid verdient aandacht.

Fysieke en logische toegangscontrole

Toegangscontrole kan op twee manieren plaatsvinden.

1. De eerste vorm is fysieke toegangscontrole. Dit betekent dat er controle is op wie er fysiek bijvoorbeeld bij de servers kan waarop persoonsgegevens zijn opgeslagen of wie een opslagmedium in handen kan krijgen.
2. De tweede vorm is logische toegangscontrole. Hiermee kan iemand alleen bij een geautomatiseerde functie, zoals persoonsgegevens verwerken, indien hij daarvoor rechten heeft gekregen via een aanvraagproces. Dit werkt op basis van identificatie (wie wil toegang), authenticatie (is degene wie hij zegt te zijn) en autorisatie (welke handelingen mag deze persoon verrichten). Logische toegangscontrole is dus een maatregel om te beheren wie toegang heeft tot gegevens en wat hij ermee mag doen. De inrichting hiervan is een onderdeel van informatiebeveiliging. Ter ondersteuning van dit proces wordt vaak gebruik gemaakt van logging. In de logs wordt vastgelegd wat er in de praktijk gebeurt.

Van beheren naar beheersen

Logische toegangscontrole gaat dus over het technisch beheren van toegang tot gegevens. Naast het systeem van informatiebeveiliging dat hiervoor nodig is zijn ook organisatorische maatregelen nodig om de toegang te beheersen. Binnen de organisatie moet beleid zijn vastgesteld voor het verlenen van toegang. Het uitgangspunt dat hierbij geldt is dat toegang alleen plaatsvindt op basis van need to know en need to access. Alleen degenen die daadwerkelijk bij gegevens moeten kunnen voor het uitvoeren van hun werkzaamheden dienen toegangsrechten te verkrijgen. Vanzelfsprekend kan onderscheid gemaakt worden tussen verschillende datasets waar toegang toe verkregen kan worden. De noodzaak om bijvoorbeeld een lijst met e-mailadressen van klanten te benaderen betekent immers niet dat meteen ook toegang verkregen moet worden tot alle woonadressen. Hoe beter deze onderscheiden zijn geregeld, hoe beter de privacy is gewaarborgd.

De autorisatiematrix

De uitwerking van het beleid op toegangsrechten is een zogeheten autorisatiematrix. Hierin staan rechten beschreven en welke medewerkers welke rechten hebben en waarom. Het is van belang dat deze matrix goed bijgehouden wordt. Wanneer bijvoorbeeld iemand een andere functie krijgt kan dat betekenen dat voor hem of haar toegang tot persoonsgegevens niet meer noodzakelijk is. Hetzelfde geldt uiteraard als iemand uit dienst gaat. Een vast moment van controle op de matrix is daarom aan te bevelen. Afhankelijk van de organisatie kan dat bijvoorbeeld wekelijks gebeuren. Bij grote organisaties kan de toets op actualiteit plaatsvinden via de afdelingshoofden. Zij weten immers het beste wie er binnen hun afdeling werken, wat zij doen en dus ook welke toegangsrechten zij nodig hebben.

Als het in de praktijk niet mogelijk is om toegangscontrole goed te regelen kan als alternatief gebruik gemaakt worden van access logs. Daarmee kan achteraf getoetst worden of verkregen toegang rechtmatig was en kunnen eventuele fouten of misbruiken gevonden worden.

Bekijk en download het Privacy by Design Framework en gebruik het in jouw organisatie.