Wat is toegangsbeheer?
Toegangsbeheer is het geheel aan beleid, processen en maatregelen waarmee een organisatie bepaalt, vastlegt en bewaakt wie onder welke voorwaarden toegang krijgt tot welke informatie, systemen en fysieke ruimtes, gedurende de hele levensduur van een account of toegangspas. Het omvat het aanvragen, goedkeuren, toekennen, controleren en intrekken van rechten. Toegangsbeheer beschermt zo de vertrouwelijkheid, integriteit en beschikbaarheid uit de CIA-triade en maakt handelingen herleidbaar tot een persoon. In OT-omgevingen bepaalt het bovendien wie een installatie mag bedienen, aanpassen of op afstand mag benaderen.
🧠 Wat is het verschil tussen toegangsbeheer en access control?
De termen worden vaak door elkaar gebruikt, maar ze beschrijven verschillende lagen:
| Begrip | Vraag | Voorbeeld |
|---|---|---|
| Identiteitsbeheer | Wie is deze persoon of dit systeem? | Account aanmaken in Active Directory bij indiensttreding |
| Toegangsbeheer | Welke rechten krijgt die identiteit, wie keurt dat goed en klopt het nog? | Rol Operator lijn 3 toekennen en jaarlijks herbeoordelen |
| Access Control | Wordt de toegang op dit moment toegestaan of geweigerd? | De HMI weigert een setpointwijziging zonder engineerrol |
Toegangsbeheer is dus de beheerkant: beleid, processen en verantwoording. Access control is de technische handhaving in systemen, netwerken en deuren. Beide hebben elkaar nodig. Een perfect ingericht rechtenmodel helpt niet als een PLC geen login kent, en een sterke technische controle verliest waarde als niemand vertrekkende medewerkers afmeldt.
🎯 Waarom is toegangsbeheer belangrijk?
| Reden | Toelichting |
|---|---|
| Beveiliging van systemen | Voorkomt dat onbevoegden gevoelige of kritieke gegevens inzien of wijzigen |
| Verantwoording | Koppelt acties aan personen of systemen via identiteitsbeheer en logging |
| Naleving van normen | Vereist door onder meer BIO, ISO 27001, AVG, IEC 62443 en NIS2 |
| Schade beperken | Minder rechten betekent minder impact van een gestolen account of ransomware |
| Security by Design | Toegang wordt vanaf het ontwerp geborgd in plaats van achteraf |
Twee bekende incidenten laten zien wat er misgaat zonder goed beheer. Bij Colonial Pipeline kwamen aanvallers in mei 2021 binnen via een oud VPN-account zonder MFA dat niet meer werd gebruikt, maar nooit was uitgeschakeld. In november 2023 kregen aanvallers van de groep Cyber Av3ngers toegang tot een Unitronics-PLC van een waterbedrijf in Aliquippa (Verenigde Staten), omdat het apparaat via internet bereikbaar was en het standaardwachtwoord nog actief was.
🔧 Welke onderdelen heeft toegangsbeheer?
| Onderdeel | Beschrijving |
|---|---|
| Authenticatie | Bevestigen van identiteit met wachtwoord, token, certificaat of biometrie, liefst als MFA |
| Autorisatie | Bepalen wat iemand mag doen: lezen, wijzigen, verwijderen, downloaden |
| RBAC | Rechten via een rol die past bij de functie, zoals operator of engineer |
| ABAC | Rechten op basis van kenmerken van gebruiker, object en omgeving, zoals tijd, locatie, apparaat of installatiestatus |
| PAM | Extra controle op beheer- en engineeringaccounts met kluis, sessie-opname en tijdelijke toegang |
| Logging en audit | Vastleggen van aanmeldingen, wijzigingen en toegangsverzoeken voor audits en onderzoek |
| Fysieke toegang | Badgesystemen, sleutelbeheer, bezoekersregistratie en cameratoezicht |
🔄 Hoe verloopt de levenscyclus van toegang?
Toegangsbeheer volgt elke identiteit van begin tot eind. In de praktijk heet dat de joiner-mover-leaver-cyclus:
- Aanvraag - een leidinggevende vraagt rechten aan op basis van de functie, niet op basis van de rechten van een collega.
- Goedkeuring - de eigenaar van het systeem of de data keurt goed. Voor OT is dat bij voorkeur de verantwoordelijke voor de installatie, niet alleen IT.
- Toekenning - rechten worden via rollen ingericht, met least privilege als uitgangspunt.
- Wijziging (mover) - bij een functiewissel vervallen de oude rechten. Anders stapelen rechten zich op, een bekend risico bij langdienende medewerkers.
- Herbeoordeling - eigenaren controleren periodiek of alle rechten nog nodig zijn (recertificatie).
- Intrekking (leaver) - bij vertrek of einde contract worden accounts, tokens, badges en VPN-toegang direct geblokkeerd.
Gangbare termijnen in de praktijk (geen wettelijke eisen):
| Activiteit | Typische termijn |
|---|---|
| Blokkeren bij vertrek | Uiterlijk op de laatste werkdag, bij ontslag op staande voet direct |
| Herbeoordeling bevoorrechte accounts | Elk kwartaal |
| Herbeoordeling gewone accounts | Halfjaarlijks of jaarlijks |
| Toegang externe leverancier | Per sessie of per opdracht, met einddatum |
| Controle op slapende accounts | Maandelijks, bijvoorbeeld blokkeren na 90 dagen inactiviteit |
🔐 Welke best practices gelden voor toegangsbeheer?
- Least Privilege - alleen toegang tot wat strikt nodig is voor de taak
- Functiescheiding - voorkom belangenconflicten, bijvoorbeeld door beheer- en auditrechten niet bij dezelfde persoon te leggen
- Multifactor authenticatie (MFA) - verplicht voor beheer en voor elke toegang van buitenaf
- Persoonlijke accounts - geen gedeelde accounts voor beheer of engineering, zodat acties herleidbaar zijn
- Aparte beheeraccounts - beheerders werken dagelijks met een gewoon account en gebruiken een apart account voor beheertaken
- Standaardwachtwoorden vervangen - direct bij ingebruikname van elk apparaat, ook van PLC’s, switches en camera’s
- Periodieke herbeoordeling - rechten herzien en het resultaat vastleggen
Het Amerikaanse CISA neemt veel hiervan op in de Cross-Sector Cybersecurity Performance Goals: standaardwachtwoorden wijzigen, unieke inloggegevens, intrekken bij vertrek, MFA en gescheiden gebruikers- en beheeraccounts.
🏭 Hoe werkt toegangsbeheer in een OT-omgeving?
In OT is toegangsbeheer historisch minder streng geregeld. Veel apparaten kennen geen persoonlijke accounts, en in de controlekamer moet een operator bij een storing direct kunnen ingrijpen. IEC 62443-3-3 stelt daarom als uitgangspunt dat beveiligingsmaatregelen essentiële functies zoals bediening en veiligheid niet mogen blokkeren.
| Toepassing | Aandachtspunt |
|---|---|
| SCADA en HMI | Persoonlijke logins voor wijzigingen; gedeelde stationsaccounts alleen voor bekijken en bedienen, gecompenseerd met fysieke toegangscontrole tot de controlekamer |
| PLC-programmeerrechten | Scheiding tussen bediening en engineering; programmeren alleen vanaf een beheerd Engineering Station |
| Toegang op afstand | Via VPN en een jump server, met MFA, goedkeuring per sessie en sessie-opname |
| Leveranciers | Tijdelijke, persoonlijke accounts; afspraken vastleggen in leveranciersbeveiliging |
| Fysieke toegang tot veldapparatuur | Badgecontrole, afgesloten kasten, sleutelbeheer en cameratoezicht |
| OT-IT-koppelingen | Netwerksegmentatie en toegangscontrole op elke overgang tussen zones |
IEC 62443-3-3 legt dit vast in twee van de zeven fundamentele eisen. FR 1 Identification and authentication control bevat onder meer SR 1.1 (identificatie en authenticatie van gebruikers), SR 1.3 (accountbeheer), SR 1.7 (sterkte van wachtwoordauthenticatie) en SR 1.13 (toegang via onvertrouwde netwerken). FR 2 Use control begint met SR 2.1 (handhaving van autorisatie), met uitbreidingen zoals het koppelen van rechten aan rollen. Hoe streng de eisen zijn, hangt af van het security level dat per zone wordt nagestreefd.
📜 Welke wet- en regelgeving vraagt om toegangsbeheer?
- ISO 27001:2022 - Annex A bevat onder meer 5.15 (toegangsbeveiliging), 5.16 (identiteitsbeheer), 5.17 (authenticatie-informatie), 5.18 (toegangsrechten), 8.2 (speciale toegangsrechten), 8.5 (beveiligde authenticatie) en 7.2 (fysieke toegang). De uitwerking staat in ISO 27002.
- NIS2 - artikel 21, lid 2, onder i noemt beleid voor toegangscontrole en onder j het gebruik van multifactor- of continue authenticatie. In Nederland is dit omgezet in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. Voor digitale dienstverleners zoals cloud- en datacenteraanbieders werkt Uitvoeringsverordening (EU) 2024/2690 dit verder uit, inclusief periodieke herbeoordeling van beheeraccounts.
- BIO - de Baseline Informatiebeveiliging Overheid bouwt op ISO 27002 en geldt voor Rijk, provincies, gemeenten en waterschappen.
- AVG - passende maatregelen omvatten dat alleen bevoegden persoonsgegevens kunnen inzien.
- NIST SP 800-53 - de controlfamilies AC (Access Control) en IA (Identification and Authentication), met onder meer AC-2 (accountbeheer), AC-5 (functiescheiding) en AC-6 (least privilege). NIST SP 800-82 vertaalt dit naar OT.
🧭 Hoe richt u toegangsbeheer stap voor stap in?
- Inventariseer systemen, accounts en toegangsroutes, ook vergeten VPN-profielen, modems en lokale PLC-accounts.
- Wijs eigenaren aan per systeem of zone, die rechten goedkeuren en herbeoordelen.
- Ontwerp rollen zoals operator, onderhoudsmonteur, procesengineer en leverancier, met per rol de minimale rechten.
- Koppel aan HR zodat indiensttreding, functiewissel en vertrek automatisch een actie in het toegangsbeheer starten.
- Versterk beheertoegang met PAM, MFA en een centrale toegangsroute via een jump server.
- Log en controleer aanmeldingen en wijzigingen, en stuur afwijkingen door naar een SIEM.
- Leg vast in het beveiligingsbeleid en toets periodiek met een interne audit.
🔗 Hoe hangt toegangsbeheer samen met andere domeinen?
| Onderwerp | Relatie met toegangsbeheer |
|---|---|
| Identiteitsbeheer | Levert de identiteit: wie is wie? |
| Beveiligingsbeleid | Definieert regels voor toegang en de rechtenstructuur |
| Incident Response Plan | Toegangslogs zijn essentieel bij incidentonderzoek; accounts blokkeren is vaak een eerste stap |
| Governance | Bepaalt wie rechten mag toekennen, wijzigen of intrekken |
| Zero Trust | Elk toegangsverzoek wordt opnieuw gevalideerd, ook binnen het netwerk |
| Insider Threat | Te ruime of vergeten rechten maken misbruik door insiders mogelijk |
| Compliance | Herbeoordelingen en logs vormen het bewijs richting toezichthouder en auditor |
❓ Veelgestelde vragen
Wat is het verschil tussen toegangsbeheer en identiteitsbeheer?
Identiteitsbeheer stelt vast wie een gebruiker of systeem is en beheert het account. Toegangsbeheer bepaalt welke rechten die identiteit krijgt, wie dat goedkeurt en of die rechten nog kloppen. Samen worden ze vaak Identity and Access Management (IAM) genoemd.
Hoe vaak moet u toegangsrechten herbeoordelen?
ISO 27001 en NIS2 noemen geen vaste termijn, maar vragen wel om herbeoordeling van toegangsrechten met geplande tussenpozen. In de praktijk worden bevoorrechte accounts elk kwartaal en gewone accounts halfjaarlijks of jaarlijks herbeoordeeld. Leg het resultaat van elke herbeoordeling vast als bewijs voor audits.
Is MFA verplicht onder NIS2?
NIS2 noemt in artikel 21 het gebruik van multifactor- of continue authenticatie als een van de maatregelen, waar dat passend is. Voor toegang op afstand en beheeraccounts is MFA daarmee de verwachte norm. In Nederland geldt dit via de Cyberbeveiligingswet voor essentiële en belangrijke entiteiten.
Mogen operators in een controlekamer een gedeeld account gebruiken?
Een gedeeld stationsaccount voor bekijken en bedienen komt in OT veel voor, omdat ingrijpen bij een storing niet mag wachten op een login. Voor wijzigingen aan setpoints, recepten of PLC-programma’s zijn persoonlijke accounts wel nodig, zodat acties herleidbaar zijn. Goed toegangsbeheer compenseert gedeelde accounts met fysieke toegangscontrole tot de controlekamer en logging.
Wat is het verschil tussen toegangsbeheer en PAM?
Toegangsbeheer geldt voor alle gebruikers en alle rechten in de organisatie. Privileged Access Management (PAM) is een specialisatie voor accounts met verhoogde rechten, zoals beheerders en engineers, met extra maatregelen als wachtwoordkluis, sessie-opname en tijdelijke toegang.
Hoe regelt u toegang voor externe leveranciers in OT?
Geef leveranciers persoonlijke, tijdelijke accounts met een einddatum en laat elke sessie vooraf goedkeuren. Laat de toegang via een jump server met MFA en sessie-opname lopen, nooit via een permanente VPN of een eigen modem. Leg de afspraken contractueel vast en trek de toegang in zodra de opdracht klaar is.
📌 Samengevat
Toegangsbeheer bepaalt en bewaakt wie onder welke voorwaarden toegang krijgt tot informatie, systemen en ruimtes, van aanvraag tot intrekking. Met rollen, least privilege, MFA, periodieke herbeoordeling en een strak vertrekproces voorkomt u vergeten accounts en standaardwachtwoorden, de ingangen van veel incidenten. In OT vraagt dat extra aandacht voor gedeelde stations, engineeringrechten en leveranciers, zoals vastgelegd in IEC 62443, ISO 27001 en NIS2.