| Naam | Stelling |
|---|
| Attribuutgebaseerde toegang | Attribuutgebaseerde toegang tot applicaties wordt ondersteund |
| Authenticatie eindgebruikers | Authenticatie vindt plaats op het niveau van eindgebruikers, in de gehele keten |
| Bron bepaalt toegang | De autorisaties van de bronapplicatie zijn leidend |
| Centrale administratie identiteiten | Identiteiten, rollen en grofmazige autorisaties worden centraal geadministreerd |
| Centrale auditlog | Beveiligingsgerelateerde gebeurtenissen worden vastgelegd in een centrale log |
| Centrale authenticatieproxy | Authenticatie vindt plaats via een centrale authenticatieproxy |
| Eigenaarschap accounts | Accounts hebben een eigenaar |
| Eigenaarschap autorisatieobjecten | Autorisatieobjecten hebben een eigenaar |
| Federatieve identiteiten | Applicaties zijn federatief toegankelijk voor gebruikers waarmee de organisatie geen vastgelegde relatie heeft |
| Geauthenticeerde en geautoriseerde toegang | Toegang tot IT systemen wordt geauthenticeerd en geautoriseerd |
| Geen authenticatie in servicebus | Toegang tot koppelvlakken is geauthenticeerd en geautoriseerd en verloopt via het identity- en accessmanagementsysteem |
| Herleidbaarheid van handelingen | Gebruik van IT-systemen is herleidbaar naar gebruikers |
| Inzet provisioningsysteem | Autoritatieve bronnen en doelsystemen worden zoveel mogelijk aangesloten middels een provisioningsysteem en bijbehorende connectoren |
| Laagste toegangsrechten | Toegangsrechten moeten zijn gebaseerd op wat nodig is voor het uitoefenen van de functie |
| Password policy | Wachtwoorden conformeren aan een standaard password policy |
| Risico-analyse is leidend | Beveiligingsmaatregelen zijn gebaseerd op het risicoprofiel |
| Rolgebaseerde autorisatie | Toegang tot autorisatieobjecten is rolgebaseerd |
| Standaard e-mail policy | Er is een standaard policy voor het creëren van accountnamen en e-mailadressen |
| Verminderd inloggen | Gebruikers worden niet geconfronteerd met overbodige authenticaties |
| Wachtwoorden onleesbaar | Wachtwoorden kunnen door niemand gelezen worden |