User-Based Access Control

Wat is User-Based Access Control?

User-Based Access Control (UBAC) is een vorm van toegangscontrole waarbij rechten op systemen, functies en gegevens worden toegekend aan en afgedwongen voor de identiteit van één individuele gebruiker, zodat elke handeling herleidbaar is tot een persoon. In OT-omgevingen betekent dat: geen gedeeld account “operator” of “engineer” meer, maar een persoonlijk account voor iedere medewerker, contractor en leverancier. UBAC is daarmee het fundament onder toegangsbeheer, least privilege en een betrouwbare audittrail.

🧠 Hoe werkt User-Based Access Control?

UBAC doorloopt dezelfde keten als elke vorm van toegangscontrole, maar met de individuele identiteit als spil:

1. Identificatie - iedere persoon krijgt een uniek account, bij voorkeur centraal in Active Directory of een IAM-oplossing.
2. Authenticatie - de gebruiker bewijst wie hij is met wachtwoord, badge, smartcard of MFA.
3. Autorisatie - het systeem zoekt op welke rechten bij dit account horen, bijvoorbeeld in een ACL op een server, map of applicatie.
4. Vastlegging - elke aanmelding en wijziging wordt met de gebruikersnaam gelogd en doorgestuurd naar logging, security monitoring en een SIEM.

UBAC is geen formeel genormeerd model. In de literatuur heet het identity-based access control (IBAC). NIST beschrijft in SP 800-162 (2014) hoe IBAC werkt met access control lists: per object staat vast welke identiteiten welke handelingen (lezen, schrijven, wijzigen, verwijderen) mogen uitvoeren. NIST noemt daarbij ook de keerzijde: die beslissingen liggen vooraf vast, en wie rechten niet actief intrekt, krijgt gebruikers die ongemerkt steeds meer rechten verzamelen.

🔄 Wat is het verschil tussen UBAC, RBAC en ABAC?

Het verschil zit in waar de rechten aan hangen. Volgens NIST werken ACL’s op het kenmerk “identiteit”, RBAC op het kenmerk “rol” en ABAC op een beleidsregel die meerdere kenmerken combineert.

In de praktijk zijn deze modellen geen alternatieven maar lagen. UBAC levert de unieke identiteit, RBAC bundelt rechten zodat beheer behapbaar blijft, en ABAC of Zero Trust voegt contextcontroles toe per verzoek. Rechten die rechtstreeks aan individuen hangen, zijn vooral zinvol voor uitzonderingen: een tijdelijke leverancier, een noodaccount of een specialist met een unieke taak.

🏭 Waar wordt UBAC in OT-netwerken toegepast?

Twee kanttekeningen horen hierbij. 802.1X authenticeert in eerste instantie de netwerkpoort of het apparaat; rechten per gebruiker ontstaan pas als de RADIUS-server bijvoorbeeld een VLAN of filter meestuurt. En gebruikersgebaseerde firewallregels werken niet meer zodra NAT de bron-IP-adressen verbergt.

🔐 Wat eisen IEC 62443 en andere normen van UBAC?

Geen norm gebruikt de term UBAC, maar vrijwel alle normen eisen individuele, herleidbare accounts.

Voor leveranciers en integrators stelt IEC 62443-2-4 vergelijkbare eisen aan accountbeheer, zodat ook service-engineers met een persoonsgebonden account werken. Onweerlegbaarheid (SR 2.12, vanaf SL 3) kan alleen als handelingen aan één persoon te koppelen zijn.

🛠 Hoe voert u UBAC stap voor stap in?

1. Inventariseer gedeelde en standaardaccounts - op HMI’s, SCADA-servers, engineering stations, PLC’s, switches en remote-access-tools. Fabrieksaccounts zoals “admin” horen daar ook bij.
2. Richt een apart OT-identiteitsdomein in - bijvoorbeeld een eigen Active Directory-forest, gescheiden van het kantoordomein, zodat een IT-compromittering niet direct doorwerkt.
3. Geef iedereen een persoonlijk account - ook ploegleiders, contractors en leveranciers. Leveranciersaccounts krijgen een vervaldatum.
4. Ken rechten toe via groepen - maak per systeem een handvol groepen, beheer ze centraal met AD-groepen en GPO’s, en wijs individuele rechten alleen toe voor gedocumenteerde uitzonderingen. Zo blijft het beheer haalbaar.
5. Versterk de authenticatie - MFA voor externe en bevoorrechte toegang, badge- of RFID-aanmelding op HMI’s in de controlekamer zodat een wissel van dienst seconden kost.
6. Regel een noodprocedure - een break-glass-account in een verzegelde envelop of kluis, waarvan elk gebruik wordt gelogd en achteraf beoordeeld.
7. Automatiseer in-, door- en uitstroom - koppel accounts aan HR-gegevens, zodat vertrek of functiewissel direct doorwerkt.
8. Herzie periodiek - gangbaar is eens per kwartaal voor bevoorrechte accounts en jaarlijks voor overige accounts; leg dit vast voor de audit.

Een herkenbaar voorbeeld is het incident bij de waterzuivering in Oldsmar (Florida, februari 2021), waar iemand op afstand de natronloogdosering van 100 naar 11.100 ppm verhoogde. Volgens een advies van de staat Massachusetts deelden alle computers met TeamViewer daar één wachtwoord. In 2023 verklaarde de voormalige stadsmanager dat een medewerker zich had vergist en dat er geen hack was; de FBI heeft dat nooit bevestigd. Met persoonlijke, gelogde accounts was snel vast te stellen geweest wie de wijziging deed.

⚖️ Wat zijn de voordelen en valkuilen van UBAC?

Voordelen

• Herleidbaarheid - elke wijziging is te koppelen aan één persoon, wat incident response en forensisch onderzoek versnelt.
• Least privilege per persoon - rechten kunnen precies passen bij wat iemand doet.
• Snelle intrekking - bij vertrek of misbruik blokkeert u één account zonder anderen te hinderen.
• Compliance - individuele accounts zijn een kerneis van IEC 62443, ISO 27001 en 21 CFR Part 11.

Valkuilen

• Beheerslast - rechten per individu en per object schalen slecht; zonder groepen of rollen wordt het onoverzichtelijk.
• Rechtenophoping - wie van functie wisselt, houdt oude rechten als niemand ze intrekt.
• Weerstand op de werkvloer - in een 24/7-controlekamer voelt een persoonlijke login als vertraging; snelle aanmelding met badge voorkomt dat het account op de achtergrond gedeeld blijft.
• Legacy-systemen - oudere PLC’s en HMI’s kennen soms maar één wachtwoord; compenseer met een jump server of PAM ervoor, plus defense in depth.
• Misconfiguratie - te ruime uitzonderingen laten systemen onderbeveiligd, te krappe rechten leiden tot workarounds die de beveiliging omzeilen.

❓ Veelgestelde vragen

Is User-Based Access Control hetzelfde als RBAC?

Nee. Bij User-Based Access Control hangen rechten aan een individuele gebruiker, bij RBAC aan een functierol waar gebruikers lid van zijn. In OT worden ze gecombineerd: UBAC zorgt voor een persoonlijk account, RBAC voor beheersbare rechten.

Waarom zijn gedeelde accounts in OT een probleem?

Met een gedeeld account is niet vast te stellen wie een setpoint wijzigde of PLC-code downloadde. Dat ondermijnt incidentonderzoek en botst met IEC 62443-3-3 SR 1.1 RE 1, ISO 27001 maatregel 5.16 en 21 CFR Part 11. Bovendien moet bij vertrek van één medewerker het wachtwoord voor iedereen veranderen.

Vanaf welk security level eist IEC 62443 persoonlijke accounts?

IEC 62443-3-3 eist unieke identificatie en authenticatie van alle menselijke gebruikers vanaf security level 2, via SR 1.1 RE 1. Op SL 1 mag identificatie nog per groep of rol plaatsvinden. Omdat SL 2 in de praktijk vaak het uitgangspunt is, zijn persoonlijke accounts in OT de norm.

Kan UBAC werken op een HMI die 24 uur per dag bemand is?

Ja, als de aanmelding snel is. Veel organisaties gebruiken een badge, RFID-kaart of snelle gebruikerswissel, zodat een nieuwe operator in enkele seconden onder eigen naam werkt. Kijkfuncties blijven vaak zonder login beschikbaar, terwijl bediening een persoonlijke aanmelding vraagt.

Hoe beheert u UBAC voor externe leveranciers?

Geef elke service-engineer van de leverancier een persoonlijk, tijdelijk account met MFA en toegang tot alleen de eigen installatie, via een jump server of PAM-oplossing. Laat het account automatisch verlopen en neem sessies op. Zo blijft remote access herleidbaar zonder dat de leverancier een permanente ingang heeft.

Is UBAC genoeg voor Zero Trust?

Nee. Zero Trust vraagt een beslissing per verzoek op basis van identiteit, apparaat en context, wat dichter bij ABAC ligt. UBAC levert wel de onmisbare basis: zonder unieke identiteit kan geen enkel Zero Trust-beleid bepalen wie toegang vraagt.

📌 Samengevat

User-Based Access Control koppelt rechten en handelingen aan individuele gebruikers. In OT is dat de basis voor herleidbaarheid, least privilege en naleving van IEC 62443, ISO 27001 en NIS2. Combineer het met rollen voor beheersbaarheid en met context voor Zero Trust.

User-Based Access Control betekent in OT: één persoon, één account, herleidbare handelingen. Ken rechten via groepen of rollen toe en houd individuele uitzonderingen kort, gedocumenteerd en periodiek herzien.