Leer hoe SOC 2 en GDPR juridisch identiteitsverificatie, MFA, toegangscontroles en auditlogboeken vereisen, met directe verwijzingen naar officiële standaarden.
In het moderne regelgevingslandschap is Identity and Access Management (IAM) niet langer slechts een operationele IT-taak; het is een juridische en compliance-noodzaak. Twee van de belangrijkste raamwerken die deze ruimte reguleren zijn SOC 2 (System and Organization Controls 2) en GDPR (General Data Protection Regulation).
Hoewel SOC 2 zich richt op vertrouwen met betrekking tot dienstlevering, en GDPR zich focust op de privacyrechten van individuen, komen beide uiteen op één waarheid: Je kunt data niet beveiligen als je de identiteit van de persoon die toegang krijgt niet kunt verifiëren.
Hieronder volgt een strikte analyse van de specifieke clausules en criteria in beide kaders die sterke identiteitsauthenticatie vereisen, inclusief directe links naar de officiële standaarden.
SOC 2-audits zijn gebaseerd op de 2017 Trust Services Criteria (TSC) van de AICPA. Voor identiteitsauthenticatie is de Common Criteria (CC) 6.0 Serie (Logisch en Fysiek Toegangsbeheer) het gezaghebbende onderdeel.
Het Criterium:
"De entiteit implementeert logische toegangsbeveiligingssoftware, infrastructuur en architecturen over beschermde informatie-assets om deze te beschermen tegen beveiligingsincidenten om de doelstellingen van de entiteit te behalen."
Analyse:
Dit is het brede mandaat voor een IAM-systeem. Om te voldoen aan CC6.1 moet een organisatie bewijzen dat zij een gecentraliseerd mechanisme hebben (zoals een Identity Provider - IdP) om identiteiten te beheren. Ad-hoc- of gedeelde accounts leiden hier doorgaans tot afkeur, omdat ze "logische toegangsbeveiliging" niet verifieerbaar maken.
Het Criterium:
"Voordat system credentials worden verstrekt en toegang wordt verleend, registreert en autoriseert de entiteit nieuwe interne en externe gebruikers waarvan de toegang wordt beheerd door de entiteit."
Analyse:
Dit vereist een strikt Joiner/Mover/Leaver (JML)-proces.
Het Criterium:
"De entiteit autoriseert, wijzigt of verwijdert toegang tot data, software, functies en andere beschermde assets gebaseerd op rollen, verantwoordelijkheden of het systeemontwerp..."
Analyse:
Hoewel in de tekst expliciet wordt verwezen naar "rollen" (RBAC), benadrukken de "Points of Focus" van AICPA voor CC6.3 specifiek de noodzaak van Multi-Factor Authentication (MFA).
Het Criterium:
"De entiteit beperkt fysieke toegang tot faciliteiten en beschermde informatie-assets tot geautoriseerd personeel om aan de doelstellingen van de entiteit te voldoen."
Analyse:
Toegepast op logische toegang, vereist dit User Access Reviews (UAR). Je mag een gebruiker niet slechts één keer authenticeren; je moet periodiek (doorgaans elk kwartaal) opnieuw valideren dat de identiteit nog geldig is en de juiste rechten heeft.
In tegenstelling tot SOC 2 is GDPR EU-wetgeving. Het specificeert geen technologieën (zoals "gebruik OTP-apps"), maar vereist wel uitkomsten die sterke authenticatie juridisch noodzakelijk maken.
De Clausule: Artikel 5(1)(f)
"Persoonsgegevens moeten worden verwerkt op een wijze die een passende beveiliging van de persoonsgegevens waarborgt, met inbegrip van bescherming tegen onbevoegde of onrechtmatige verwerking..."
Analyse:
"Onbevoegde verwerking" is het belangrijkste begrip. Als een aanvaller een zwak wachtwoord raadt en toegang krijgt tot persoonsgegevens, faalt de organisatie op Artikel 5.
De Clausule: Artikel 32(1)
"Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van verwerking... dienen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen te treffen..."
Analyse:
Dit is de "stand van de techniek"-clausule.
De Clausule: Artikel 25(2)
"De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat, als standaard, alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek verwerkingsdoel."
Analyse:
Dit verplicht het principe van minste privilege.
De volgende tabel vat samen hoe je beide standaarden tegelijk naleeft:
| Functie | SOC 2 Vereiste (Criterium) | GDPR Vereiste (Artikel) | Strikte implementatiestandaard |
|---|---|---|---|
| Inlogbeveiliging | CC6.3 (Toegangscontrole) | Art. 32 (Beveiliging van verwerking) | MFA is verplicht voor alle medewerkers met toegang tot klantgegevens of productiesystemen. |
| Toegangscope | CC6.2 (Autorisatie) | Art. 25 (Privacy by Design) | RBAC (Role-Based Access Control). Standaard weigeren; expliciet toestaan op basis van functie. |
| Offboarding | CC6.2 (Verwijdering) | Art. 5 (Integriteit) | Automatische deprovisioning. Toegang moet direct worden ingetrokken bij einde dienstverband. |
| Auditing | CC6.1 (Security Architecture) | Art. 30 (Register van verwerkingsactiviteiten) | Gecentraliseerd loggen. Wie logde in, wanneer, en vanaf waar (IP-adres)? |
Om te voldoen aan de strikte interpretatie van beide standaarden:
Naleving van SOC 2 en GDPR vereist meer dan alleen wachtwoordbeheer. Organisaties moeten een gecentraliseerde Identity Provider (IdP) implementeren die Multi-Factor Authentication (MFA), strikte Role-Based Access Control (RBAC) en geautomatiseerde provisioning-logs afdwingt. Als dat niet gebeurt, leidt het tot een mislukte SOC 2-audit (Uitzondering in CC6.x) en mogelijke GDPR-boetes wegens het niet nemen van "passende technische maatregelen" onder Artikel 32.