Access Control

Wat is Access Control?

Access Control is het geheel aan technieken, processen en regels waarmee een organisatie bepaalt wie toegang krijgt tot welke systemen, gegevens of fysieke ruimtes, welke handelingen die persoon daar mag uitvoeren en onder welke voorwaarden. Het beschermt tegen ongeautoriseerde toegang tot data, netwerken en machines, en legt vast wie wat heeft gedaan. Access Control is het uitvoerende deel van toegangsbeheer en identiteitsbeheer, en een kernonderdeel van ISMS, ISO 27001, IEC 62443, Zero Trust en OT-beveiliging.

🎯 Waarom is Access Control nodig?

Zonder toegangscontrole kan iedereen met een netwerkverbinding of een sleutel alles. Goede Access Control dient vijf doelen:

• Vertrouwelijkheid - alleen bevoegde gebruikers zien gevoelige data, recepturen of procesinstellingen
• Integriteit - alleen wie daartoe bevoegd is, mag een PLC-programma, setpoint of record wijzigen
• Beperkte schade - door least privilege blijft de impact van een gestolen account, malware of menselijke fout klein
• Verantwoording - Logging legt vast wie wanneer welke actie uitvoerde, nodig voor onderzoek en audits
• Compliance - NIS2, ISO 27001, IEC 62443, GMP en GxP eisen aantoonbaar toegangsbeheer

Daarnaast ondersteunt Access Control de segmentatie tussen IT en OT: het bepaalt niet alleen welke netwerken met elkaar praten, maar ook welke personen en systemen een grens mogen passeren.

🧠 Hoe werkt Access Control in vier stappen?

Elke toegangsbeslissing doorloopt dezelfde keten, vaak afgekort als IAAA:

Authenticatie en autorisatie worden vaak verward. Authenticatie stelt de identiteit vast; autorisatie bepaalt de rechten die bij die identiteit horen. Een operator die correct inlogt, mag daarmee nog geen PLC-logica aanpassen. In netwerkomgevingen heet dezelfde keten ook AAA (authentication, authorization, accounting), bijvoorbeeld bij RADIUS en 802.1X.

Access Control bestaat in twee vormen die elkaar aanvullen:

• Fysieke toegangscontrole - wie mag een controlekamer, serverruimte, besturingskast of fabrieksterrein betreden? Middelen zijn sleutels, badgelezers, biometrie, slagbomen en bezoekersregistratie.
• Logische toegangscontrole - wie mag inloggen op systemen, netwerken, bestanden en applicaties, en wat mag hij daar? Middelen zijn accounts, rollen, ACL’s, firewalls en NAC.

In OT zijn beide even belangrijk: wie fysiek bij een PLC of engineering station kan, omzeilt vaak elke logische maatregel via een USB-poort of een programmeerkabel.

🔧 Welke Access Control-modellen zijn er?

Een toegangsmodel bepaalt wie de regels vastlegt en waarop ze zijn gebaseerd. De vier klassieke modellen:

DAC en MAC zijn formeel beschreven in het Amerikaanse Orange Book (TCSEC, 1983; in 1985 vastgesteld als DoD-standaard 5200.28-STD), waarbij MAC voortbouwt op het Bell-LaPadula-model voor gerubriceerde informatie. RBAC gaat terug op een model van Ferraiolo en Kuhn (NIST, 1992) en is in 2004 genormeerd als ANSI INCITS 359. ABAC is in 2014 door NIST beschreven in SP 800-162: toegang volgt uit een beleidsregel die attributen combineert, bijvoorbeeld “engineer, eigen installatie, tijdens een goedgekeurde wijziging, vanaf de jump server”.

In de praktijk worden modellen gecombineerd. De meeste OT-systemen gebruiken RBAC als basis, aangevuld met contextregels zoals tijdvensters of locatie. Zie ook User-Based Access Control voor toegang die per individuele gebruiker wordt ingericht.

🔐 Hoe werkt Access Control in OT-omgevingen?

PLC’s, SCADA-servers, HMI’s en engineering stations zijn kwetsbaar voor ongeautoriseerde toegang, terwijl beschikbaarheid en veiligheid voorop staan. Dat geeft OT-specifieke spanningsvelden:

• Gedeelde accounts - veel HMI’s draaien onder één operatoraccount dat altijd ingelogd blijft. Dat is snel, maar maakt verantwoording onmogelijk. NIST SP 800-82 beveelt persoonlijke accounts aan; waar dat niet kan, zijn compenserende maatregelen nodig zoals fysieke toegangsbeperking van de controlekamer en logging.
• Geen lock-out op kritieke stations - een operator die bij een storing buitengesloten raakt door te veel foute inlogpogingen, is een veiligheidsrisico. IEC 62443-3-3 eist dat beveiligingsmaatregelen essentiële functies niet blokkeren.
• Noodtoegang - er moet een gedocumenteerde, gelogde “break glass”-procedure zijn voor als het normale pad faalt, bijvoorbeeld een red envelope-procedure.
• Legacy-apparatuur - veel besturingen en protocollen als Modbus kennen geen authenticatie. Toegang moet dan op netwerkniveau worden afgedwongen met firewalls, VLAN’s en NAC.
• Leveranciers - toegang op afstand loopt via VPN, een jump server of bastion host, met MFA, tijdelijke accounts en sessie-opname.

Wat eist IEC 62443?

IEC 62443-3-3 verdeelt systeemeisen over zeven foundational requirements. Twee daarvan gaan direct over Access Control:

Welke uitbreidingen gelden, hangt af van het doel-security level (SL 1–4) van de zone. De indeling in zones en conduits zelf komt uit IEC 62443-3-2; per zone en conduit bepaalt u welk niveau van toegangscontrole nodig is.

🛠 Hoe richt u Access Control in de praktijk in?

Een werkbare aanpak voor een gemengde IT/OT-omgeving:

1. Inventariseer systemen, accounts en toegangspaden, inclusief gedeelde en standaardaccounts van leveranciers.
2. Definieer rollen (operator, shiftleider, procesengineer, onderhoud, leverancier) en leg per rol vast welke handelingen zijn toegestaan.
3. Centraliseer identiteiten in een apart OT-domein in Active Directory of een IAM-oplossing, gescheiden van het kantoordomein.
4. Beveilig bevoorrechte toegang met PAM: aparte beheeraccounts, wachtwoordkluis, just-in-time-rechten en sessie-opname.
5. Dwing af op netwerkniveau met segmentatie, firewallregels per conduit, 802.1X en NAC.
6. Regel joiners, movers en leavers: rechten direct aanpassen bij functiewissel of vertrek, ook voor contractors.
7. Review periodiek - gangbaar is elk kwartaal voor beheeraccounts en jaarlijks of halfjaarlijks voor gewone accounts.

Welke wet- en regelgeving speelt in Nederland en de EU?

• NIS2 noemt in artikel 21 lid 2 onder (i) uitdrukkelijk access control policies en onder (j) multifactorauthenticatie. In Nederland worden deze verplichtingen ingevuld via de Cyberbeveiligingswet.
• ISO 27001:2022 behandelt toegang in Annex A-maatregelen 5.15 tot en met 5.18 (toegangsbeleid, identiteitsbeheer, authenticatie-informatie, toegangsrechten), 8.2 tot en met 8.5 (bevoorrechte toegangsrechten, beperking van toegang tot informatie, toegang tot broncode en veilige authenticatie) en 7.2 (fysieke toegang); ISO 27002 geeft de uitwerking.
• GMP en GxP - de Amerikaanse 21 CFR Part 11 (§11.10(d) en (g)) en EU GMP Annex 11 eisen dat alleen bevoegde personen een gecomputeriseerd systeem gebruiken en records wijzigen.

🔄 Hoe verhoudt Access Control zich tot andere concepten?

• IAM beheert de levenscyclus van identiteiten en rechten; Access Control is het moment waarop die rechten worden afgedwongen.
• Least Privilege is het ontwerpprincipe; Access Control is het mechanisme dat het uitvoert.
• Zero Trust vervangt vertrouwen op basis van netwerklocatie door een toegangsbeslissing per verzoek, vaak met ABAC en continue verificatie.
• Defense in Depth gebruikt Access Control als laag naast segmentatie, hardening en monitoring.

✅ Wat levert goede Access Control op?

• Sterkere cybersecurity - aanvallers en malware komen minder ver met een gecompromitteerd account
• Betere compliance met NIS2, ISO 27001, IEC 62443, GMP en GxP
• Beperkte impact bij incidenten dankzij least privilege
• Traceerbaarheid van gebruikersacties voor forensisch onderzoek en kwaliteitsonderzoek
• Veilig samenwerken met externe partijen via tijdelijke, gecontroleerde toegang

❓ Veelgestelde vragen

Wat is het verschil tussen authenticatie en autorisatie?

Authenticatie controleert of iemand werkelijk is wie hij zegt te zijn, bijvoorbeeld met een wachtwoord en MFA. Autorisatie bepaalt daarna welke handelingen die geauthenticeerde gebruiker mag uitvoeren. Access Control omvat beide, plus identificatie en het vastleggen van acties.

Welk Access Control-model is het meest gebruikt?

RBAC is het meest gebruikte Access Control-model in bedrijven en industriële systemen, omdat rollen goed aansluiten op functies zoals operator en engineer. ABAC wint terrein in cloud- en Zero Trust-omgevingen, waar toegang ook afhangt van context zoals tijd, locatie en apparaatstatus. Veel organisaties combineren beide.

Mag een HMI een gedeeld operatoraccount gebruiken?

Een gedeeld operatoraccount op een HMI komt veel voor, maar maakt niet herleidbaar wie welke actie uitvoerde. IEC 62443-3-3 vraagt vanaf security level 2 om unieke identificatie per persoon. Waar een gedeeld account onvermijdelijk is, compenseert u met fysieke toegangscontrole tot de controlekamer, logging en persoonlijke accounts voor kritieke handelingen.

Hoe vaak moeten toegangsrechten worden gecontroleerd?

Toegangsrechten worden gangbaar elk kwartaal gecontroleerd voor beheer- en leveranciersaccounts en minstens jaarlijks voor gewone gebruikers. Daarnaast moeten rechten direct worden aangepast bij een functiewissel of vertrek. ISO 27001 vraagt in maatregel 5.18 om periodieke review, en onder NIS2 moet u kunnen aantonen dat uw toegangsbeleid werkt.

Wat is noodtoegang in OT?

Noodtoegang, ook break-glass-toegang genoemd, is een vooraf vastgelegde manier om bij een storing of calamiteit toch op een OT-systeem in te loggen als het normale toegangspad niet werkt. Het account is verzegeld of in een kluis opgeslagen, elk gebruik wordt gelogd en achteraf beoordeeld, en het wachtwoord wordt daarna vervangen.

Is fysieke toegangscontrole onderdeel van cybersecurity?

Fysieke toegangscontrole is een wezenlijk onderdeel van cybersecurity, zeker in OT. Wie fysiek bij een PLC, switch of engineering station kan, kan via USB of een programmeerkabel logische maatregelen omzeilen. ISO 27001 neemt daarom naast logische ook fysieke toegangsmaatregelen op, zoals maatregel 7.2 voor fysieke toegang.

📌 Samengevat

Access Control zorgt dat alleen de juiste mensen en systemen, onder de juiste voorwaarden, toegang krijgen tot uw systemen, gegevens en ruimtes, en legt vast wat ze daar doen. In OT betekent dat rollen per functie, persoonlijke accounts waar mogelijk, beveiligde toegang op afstand en noodprocedures die de beschikbaarheid van het proces nooit in gevaar brengen.