Security Professionals - ipfw add deny all from eindgebruikers to any

Least privilege en CISO's

Reageer met quote
17-09-2026, 17:58 door Vincye, 17 reacties
Hoeveel toegang zouden jullie CISO's of andere security/compliance officers geven die intern auditen? Toegang tot alleen de auditscope of echt alle kritieke/gevoelige informatiesystemen?
Reacties (17)
Reageer met quote
17-09-2026, 22:12 door Anoniem
Als ze toegang tot alles accepteren zijn het geen volwassen CISO's of andere security/compliance officers. Alleen de auditscope voor de duur van de audit. (dat verwacht een goeie CISO ook). De tijd 'ik wil alles kunnen zien en doen', hoort thuis in de jaren '90, omdat mensen nu weten dat te grote toegang met te grote verantwoordelijkheden komt....
Reageer met quote
18-09-2026, 05:29 door Anoniem
Door Vincye: Hoeveel toegang zouden jullie CISO's of andere security/compliance officers geven die intern auditen? Toegang tot alleen de auditscope of echt alle kritieke/gevoelige informatiesystemen?
Ik denk dat ik dit met de CISO of security/compliance officers zou overleggen.
Reageer met quote
18-09-2026, 08:07 door Anoniem
Toegang moet je altijd beperken, vindt deze CISO. Dus alleen wat in de scope past. Niemand zou altijd toegang tot alle kritieke of gevoelige systemen mogen hebben.
Reageer met quote
18-09-2026, 08:37 door Anoniem
Ik ben CISO en jouw vraag is lastig te beantwoorden zo. Het hangt namelijk af van de scope van de interne audit. De scope bepaalt wat iemand moet kunnen zien.

Maar ook hier geldt het principe van least privilege. Iemand die een audit doet, hoeft geen toegang te hebben tot systemen als een export of screenshot hetzelfde inzicht oplevert. Iemand die een audit doet, kan ook meekijken met een beheerder die toegang heeft en dan vragen "laat me dit eens zien" of "hoe hebben jullie deze instelling staan?"

Daarom als vuistregel: least privilege en geen toegang als compliance op een andere manier kan worden aangetoond.
Reageer met quote
18-09-2026, 09:29 door Anoniem
BINNEN de gestelde scope, en dat hoeft absoluut niet alles van jan en alleman te zijn. Ja, het is handig als de CISO en zijn team wel dusdanig informatie kunnen opdoen om een maturity niveau te bepalen, maar daarvoor hoef je zeker geen toegang tot elk systeem.
Reageer met quote
18-09-2026, 11:54 door Anoniem
Sowieso geef je geen toegang tot informatie die buiten de auditscope valt. Die heb je niet nodig voor de audit, dus ook geen toegang.

Voor informatie die wel binnen de scope valt, heb ik als CISO altijd gehanteerd: ik heb voor een audit (of wat voor andere reden dan ook) géén toegang nodig tot informatiebronnen met informatie classificatie Gevoelig. Dergelijke toegang heeft niets te maken met mijn functie als CISO. Als ik tijdens een audit iets moet aantonen over dergelijke systemen, kan ik iemand uitnodigen die wél geautoriseerd is om daar toegang tot te hebben.
Reageer met quote
18-09-2026, 13:11 door User2048
Ik ben het eens met de stelling dat een CISO of compliance officer geen zelfstandige toegang nodig heeft. Meekijken met een beheerder is voldoende.
Reageer met quote
18-09-2026, 16:40 door Anoniem
Geen, waarom intern audit de CISO hun eigen management systeem?
De CISO moet iemand anders extern of intern aanwijzen die hun systeem audit wanneer de CISO het ISMS beheerd.
Reageer met quote
21-09-2026, 09:17 door Anoniem
Ik, als CISO wil (en heb) zelf geen rechten. Ik vraag bewijslast op, en als die niet duidelijk is vraag ik beheerder (of persoon met de juiste rechten) het te laten zien. Ik wil, en zal, niet zelf in systemen gaan graven.
Reageer met quote
21-09-2026, 15:11 door Anoniem
ik, als ciso wil in principe niet eens bewijslast zien laat staan toegang, ik wil horen van de externe auditor, of onafhankelijke interne auditor, welke risico's er zijn.

Als een ISO/security engineer bijvoorbeeld dagelijks betrokken is bij een afdeling dan snap ik dat diegene vaak bepaalde rechten krijgt (vaak lees / audit rol) voor dagelijkse taken, maar niet meer en al helemaal niet voor een audit (die door een ander gedaan moet worden).
Reageer met quote
21-09-2026, 16:46 door _R0N_
Door Vincye: Hoeveel toegang zouden jullie CISO's of andere security/compliance officers geven die intern auditen? Toegang tot alleen de auditscope of echt alle kritieke/gevoelige informatiesystemen?

Zo min mogelijk, een goede CISO vraagt de informatie op bij mensen die er wel bij kunnen.
Reageer met quote
22-09-2026, 10:14 door Anoniem
de security officer heeft geen toegang nodig. Ik wilde dat niet eens toen ik die rol had. Ik vroeg anderen om me eea te laten zien als dat nodig was, of er werd een audit door iemand anders gedaan (andere afdeling of extern) en dan had ik sowieso geen toegang nodig.
Reageer met quote
28-09-2026, 12:01 door Anoniem
Niemand heeft voor toetsing/audits toegang tot systemen nodig.
De toetser/auditor vraag om bewijsstukken, die worden hem opgeleverd (documenten, screenprints, meekijken oid).
De CISO/Auditor krijgt dus een laptop met een account en kan daarmee office gebruiken ;)
Reageer met quote
28-09-2026, 16:12 door Anoniem
Door Vincye: Hoeveel toegang zouden jullie CISO's of andere security/compliance officers geven die intern auditen? Toegang tot alleen de auditscope of echt alle kritieke/gevoelige informatiesystemen?

Ik ben zelf een ISO en ik werk altijd met de minst mogelijke toegangsrechten. Dit is ook wat adviseer naar anderen toe omdat een gebruiker met teveel toegang een verhoogd risico vormt binnen de werkomgeving.
Als ik audits moet doen dan doe ik dat in fases en heb ik voor de duur van die audit tijdelijk een extra pakketje rechten als dat nodig is. In andere gevallen is het misschien zelfs niet eens nodig omdat je prima audits kan doen naast iemand die wel de rechten al heeft.
Op die manier heb ik dan niets extra's nodig en anders beperk ik de tijd altijd naar zo kort mogelijk.
Reageer met quote
28-09-2026, 19:09 door Anoniem
Pfoe kennis bij de ciso van de (geïntegreerde en complexe) infrastructuur (waarbij meerdere partijen diensten leveren), verantwoordelijkheden en navenante risico's is vereist. Een onafhankelijke plaats in de organisatie is vereist. Echt geen sinecure. Afgaan op contractuele afspraken is een valkuil. Papier is geduldig.
Bij een interne audit geeft de doelstelling aan wat de autorisaties van de ciso/ complicaties officier zou moeten zijn, mits uiteraard kennis van zaken.
Het zich laten verlaten op kennis van derden is een risico op zich.
Reageer met quote
30-09-2026, 13:01 door Ism Majhool - Bijgewerkt: 30-09-2026, 13:02
Ik denk dat het belangrijk is om te denken in de "three lines" die veel organisaties gebruiken.

De eerste lijn werkt in de systemen en hebben passende rechten. Zij leveren bewijs aan de tweede lijn over de naleving van het IB&P beleid. De tweede lijn (ISO / CISO / PO) controleren het bewijs en beoordelen opzet, bestaan en werking van security maatregelen. De derde lijn (interne auditor) controleert de tweede lijn, of zij de controles inderdaad uitvoeren, er voldoende diepgang is en dat en continu verbeterd wordt. Zij geven een oordeel over de werking van het ISMS / PIMS (aan de directie).

Er hoeft dus alleen toegang te zijn tot het 'bewijs'. Dit kunnen screenshots zijn, tickets, of documentatie. Soms ook rapportages uit monitoring tools. Bij gevoelige kwesties kan de tweede lijn ook meekijken met iemand van de eerste lijn, zonder het bewijs nog een keer vast te leggen.
Reageer met quote
02-10-2026, 10:29 door Anoniem
iets met zero trust policies
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure GenAI Deep Dive Security Training
Security Awareness Ransomware Edition