GRC en Assuring >  Authenticatie-, autorisatiemiddelen en digitaal ondertekenen

Automatisch op de hoogte blijven?
Schrijf u in voor onze gratis nieuwsbrief.
 

Rapport over cybersecurity met authenticatie- en autorisatiemiddelen

Met als subtitel “Ondertekenen, wachtwoordmanagers, single sign-on en beveiligd berichtenverkeer”.

Dit rapport is primair gericht op authenticatie- en autorisatiemiddelen voor de eindgebruiker in zowel het bedrijfsleven, bij de overheid als binnen de accountancysector. Aan de orde komen begrippen als authenticatie, autorisatie, 2FA, MFA, Single sign-on, Elektroniche handtekening, eID, eIDAS en OAuth 2.0.

Naast inzicht in de gehanteerde begrippen is het rapport opgebouwd rondom de volgende 3 thema’s:

1. (Digitaal) Ondertekenen van documenten;
2. Wachtwoordmanagers en Single sign-on tools;
3. Beveiligd berichtenverkeer; voorkomen dat een document gelezen wordt door iemand voor wie het document niet bestemd is.

Opvragen en meer informatie over het rapport "Cybersecurity met authenticatie- en autorisatiemiddelen".
   

Authenticatie en autorisatie

Authenticatie is het proces om de identiteit van een gebruiker of van een systeem te verifiëren (= controleren en vast te stellen). Wettelijke term: authentificatie. Ook wel uitgelegd als: is degene ook degene die hij of zij zegt te zijn.

Autorisatie heeft betrekking op personen die binnen of namens een organisatie bevoegd en/of gemachtigd zijn bepaalde handelingen (of transacties) te verrichten.
 

Digitaal ondertekenen

Dit staat in relatie tot de “Elektronische handtekening”. Een gekwalificeerde elektronische handtekening wordt dan juridisch gelijkgesteld aan een gewone ‘natte’ handtekening. Een voorbeeld van een gekwalificeerde elektronische handtekening is het PKIoverheid Persoonsgebonden certificaat (zie hierna). 
Meer uitleg over de elektronische handtekening...
 

Wachtwoordmanager en Single sign-on

Is single sign-on het zelfde als een wachtwoordmanager?
Een (traditionele) wachtwoordmanager geeft de gebruiker de mogelijkheid meerdere wachtwoorden met verschillend gebruik op te slaan in één online omgeving. Als de gebruiker inlogt in deze laatste omgeving is er daarmee toegang tot andere applicaties, met behulp van het door de gebruiker toegekende wachtwoord. Een gebruiker bepaalt vooraf zelf verschillende wachtwoorden voor bijvoorbeeld LinkediN, Google en een online boekhoudpakket. In plaats van deze wachtwoorden uit het hoofd te onthouden of op te schrijven op een lijstje worden deze wachtwoorden centraal opgeslagen via een wachtwoordmanager. Het risico dat een gebruiker een zwak (en dus eenvoudig te hacken) wachtwoord heeft gekozen blijft hiermee het zelfde. Een extra risico is dat de wachtwoordmanager wordt gehacked, dan liggen alle wachtwoorden op straat. 

Van Single sign-on (SSO) is sprake als een gebruiker inlogt in een applicatie en daarmee automatisch toegang heeft tot andere applicaties, ongeacht platform en technologie. Zonder dat de gebruiker per applicatie een apart wachtwoord hoeft op te geven. Single sign-on betekent niet per definitie dat er geen wachtwoorden opgeslagen worden bij de Single sign-on toepassing. Dit laatste is sterk afhankelijk van de techniek, zoals OAuth 2.0, die gebruikt wordt om de Single sign-on toepassing te koppelen aan andere applicaties zonder de opslag van wachtwoorden. Dit laatste willen we u zeker als aandachtspunt meegeven.
 

Beveiligd berichtenverkeer

In de basis kan een meegezonden document beveiligd worden met een wachtwoord. In kantoortoepassingen als PDF, Word en Excel is het genereren van een wachtwoord standaard beschikbaar. Het wachtwoord moet dan wel vooraf en apart aan de beoogde ontvanger van het document toegekomen worden. Om (vertrouwelijke) documenten uit te wisselen maken accountants- en administratiekantoor ook wel gebruik van een portaal. Dit laatste al dan niet in combinatie met Multi factor authenticatie (MFA). Er zijn ook aparte tools om berichtenverkeer met behulp van email (bijlagen) te beveiligen.  
 

eHerkenning 

Regelt digitale identificatie door bedrijven. Wordt ingezet door de overheid en andere organisaties. Centraal staat de gedachte dat bedrijven met één herkenningsmiddel elektronisch diensten kunnen afnemen bij verschillende overheidsdienstverleners en eventueel andere organisaties.
Meer uitleg over eHerkenning...
 

PKIoverheid (certificaten)

PKIoverheid staat voor een normenkader PKI certificaten met aanvullende eisen vanuit de overheid en waarmee de certificaten goed gebruikt kunnen worden voor elektronische communicatie met de overheid.

PKIoverheid maakt onderscheid tussen services- en persoonsgebonden certificaten. Een handtekening die is geplaatst met een PKIoverheid persoonsgebonden certificaat is een ‘gekwalificeerde elektronische handtekening’ met dezelfde rechtsgeldigheid als een handgeschreven handtekening.
Meer uitleg over PKIoverheid...
 

- Cybersecurity
- GRC en Assuring