Toezicht, taakverdeling en beproeving

IAM-beheer is eindverantwoordelijk voor de identiteitsketen en het rollenmodel, platformbeheer voor de voorzieningen en de beheerwerkplek. Directorybeheer en de eigenaar van RWS-HR leveren de bronnen.

Het ontwikkelteam werkt met persoonlijke accounts en meerfactoraanmelding vanaf de beheerwerkplek. Bij de overdracht krijgt het beheer verse rechten; de rechten uit de bouw worden na de nazorgperiode ingetrokken en per doelsysteem gecontroleerd, en uiterlijk 1 uur na de nazorgperiode werkt geen recht uit de bouw meer.

Gebeurtenissen van de toegangsvoorziening, het identiteitsbeheer, de gateway en de beheerservers gaan rechtstreeks naar het SOC, met bevestigde ontvangst en zonder geheimen.

Per voorziening ligt vast welke gebeurtenissen naar de SIEM van het SOC gaan.

Een SOC-analist beoordeelt wekelijks de verhogingen, het gebruik van noodaccounts en de noodwijzigingen.

Voor identiteit en toegang gelden vaste meetwaarden, drempels en acties.

Clientgeheimen, bronaccounts, database-inloggegevens en de keystore van midPoint komen uit het geheimenbeheer van de cel, via de geheimenkoppeling, en worden in productie iedere 30 dagen vervangen, uiterlijk na 90 dagen. Een afgeschermde kopie van de keystore ligt in de kluis.

Authenticatiegegevens, zoals toegangsbewijzen, wachtwoorden en kubeconfigs, hebben een vervangingsbeleid en worden veilig opgeslagen.

De realmsleutels van Keycloak worden jaarlijks en na een incident vervangen, met een passieve overlap van de oude sleutel.

Na een incident, of na het vertrek van iemand die ze kende, worden de clientgeheimen, de realmsleutels, de noodtoegang en de SSH-sleutels vervangen.

Alle verbindingen van de identiteitsvoorzieningen zijn versleuteld: TLS 1.3 waar het product dat kan, anders TLS 1.2 volgens de cryptografietabel van RWS, ook voor databaseverbindingen, LDAPS en de verbinding tussen de webtoepassing en guacd. De certificaten komen uit de tussen-CA van de cel. Het cryptografieoverzicht legt per pad algoritme en sleutellengte vast, ook voor Keycloak, midPoint en Guacamole.

Cryptografische authenticatiemiddelen, zoals certificaten en sleutelparen, worden uitgegeven via een gecontroleerd PKI- of KMS-proces.

Voor identiteit en toegang zijn deze draaiboeken vereist, elk beproefd vóór productie. Afwijkingen van de baseline zijn uitzonderingen met een einddatum van ten hoogste zes maanden.

Negatieve proeven tonen aan dat een lokaal account, een aanmelding zonder tweede factor, een platformrol zonder WebAuthn, een vlootbrede rol zonder hardwaresleutel, een zelfgoedgekeurde of verlopen verhoging, een sessie zonder opname en een teamsessie naar het apparatuurbeheernetwerk worden geweigerd.

De acceptatie toont per doelsysteem aan: de aanmelding; de intrekking van een testidentiteit binnen 1 uur, via de noodprocedure binnen 15 minuten; dat een verhoging pas werkt na goedkeuring door een ander, op de einddatum ook op de doelsystemen vervalt en een opname heeft; dat een teamlid zonder actieve verhoging via de teamingang geen verbinding krijgt en dat vanuit de teampool het apparatuurbeheer en de platformclusters onbereikbaar zijn; dat iedere noodroute met twee personen werkt, binnen 5 minuten wordt gemeld en daarna is vervangen; en dat een applicatie-identiteit uit een andere naamruimte of een ander cluster geen geheimen of brongegevens van een ander krijgt.

Identiteit en toegang komen in fasen, ieder met een voorwaarde.