Toegangscertificering

Toegangscertificering is een proces binnen informatiebeveiliging waarbij de toegangsrechten van gebruikers tot systemen, applicaties en fysieke ruimten periodiek worden beoordeeld en goedgekeurd door aangewezen eigenaren. Doel is te voorkomen dat gebruikers meer rechten hebben dan nodig voor hun functie, en om ongeautoriseerde toegang tijdig te herkennen en te verwijderen. Het proces geldt voor digitale toegang tot data en systemen, maar kan ook fysieke toegang tot gebouwen of ruimten bestrijken.

Tijdens een recertificatie- of attestatiecyclus inventariseert men welke rechten iemand heeft, wie eigenaar is van die rechten en of deze rechten nog gerechtvaardigd zijn. Beheerders leveren lijsten aan de eigenaren, die vervolgens attesteren of de rechten moeten blijven, aangepast of ingetrokken. De uitkomsten worden vastgelegd in attestaties en, waar nodig, worden remediatiemaatregelen opgezet om ongewenste toegangsrechten in te trekken. Rollen die betrokken zijn zijn onder meer data-eigenaren, approvers (faculteitsmanagers), IAM-beheerders en auditors. De frequentie varieert, meestal jaarlijks of halfjaarlijks, maar kan ook event-driven plaatsvinden bij functiewijzigingen, beëindigingen of security-incidenten.

Toegangscertificering heeft zowel betrekking op digitale als op fysieke toegang en ondersteunt naleving van normen en regelgeving, zoals ISO/IEC 27001 en relevante sectorale vereisten. Voordelen zijn onder meer verminderd risico op misbruik, beter overzicht over toegangsrechten en versterkte audit- en bewijsvoering. Uitdagingen zijn onder meer de inspanning die het proces vergt, de behoefte aan duidelijke rolbevoegdheden en de vaak noodzakelijke inzet van tooling voor automatisering en continue verificatie.

---