1. Masterclass eHerkenning
Beheer
Veilig en betrouwbaar
17 j
anuari 201 2
Mirj Gerritsen
am
mirj
am.gerritsen@ ictu.nl

2. Aanvallen..
Met eHerkenning realiseert men een betrouwbare en veilige manier
van identificatie, authenticatie en autorisatie aan de voordeur.
Is eHerkenning zelf wel veilig?

3. Betrouwbaar
Het merk eHerkenning is betrouwbaar
Hoe doen we dat?
4. Gebruikelij beheermaatregelen
ke
5. Ontwerp
6. Informatiebeveiliging
7. Beheerst veranderen

4. Wat beheren we?
• Een verzameling documenten
• Relaties
• Een IT netwerk
• Digitale S leutels
• Communicatie
• Toetreding
• Wensen en wijzigingen
… we beheren het merk eHerkenning!

5. Gebruikelij beheermaatregelen
ke
• Beschikbaarheid
• Besturing en Toezicht
• Goede processen ( volgen)
- incidentmanagement

6. Wat is eHerkenning?

7. Beheermaatregelen eHerkenning
• Beschikbaarheid – 2 marktpartijen
• Besturing en Toezicht
- Beheerorganisatie
- Marktpartijen en ( eind-) gebruikers
• Goede processen ( volgen)
- incidentmanagement

8. Ontwerp eHerkenning

9. Ontwerp privacy
• S TORK betrouwbaarheidsniveaus
• Pseudoniemen

10. Ontwerp technisch
• Intern vertrouwde certificaten ( niet
alleen PKI) – ‘white listing’
• Hoge mate van standaardisatie van de
koppelvlakken

11. Ontwerp eHerkenning
Meerdere marktpartijen samen dwingt tot naleven standaarden

12. Informatiebeveiliging
DEELNEMERS en BEHEERORGA TIE
NISA STELSEL eHERKENNING
Risicoanalyse
Uitvoeren risicoanalyse stelsel
input
Gemeenschappelij k
Normenkader
Inform atiebeveiliging
eHerkenning
Selecteren
beheersmaatregelen uit
ISO27001
V deelnemers
oor
verplichte
beheersmaatregelen
V erklaring van
Toepasselij kheid (VvT)
Norm enkader voor audit
eHerkenning AUDIT A op opzet, bestaan
udit
deelnemer
= ORGA TIE
NISA en werking van de
Norm enkader voor audit
m aatregelen uit de
deelnemer ISMS deelnemer V eHerkenning van
vT
het ISMS van de deelnemer

13. Informatiebeveiliging
Scope stelselaudit
Certificaat
Deelnemer ISO27001 Audit-
+ rapport
V vT +
BO + TPM
TPM rapport
Afsprakenstelsel
eHerkenning
TPM
+ Stelsel
Gemeenschappelijk
eHerkenning
Normenkader IB A op Stelsel
udit
eHerkenning eHerkenning

14. Informatiebeveiliging
• ( stelsel) Audit
• Peer to peer ( bijeenkomsten)
• Pentesten
 S teeds de 2 niveaus:
partij zelf en het stelsel

15. Hoe borgen we dit alles bij veranderingen?
Beheerst veranderen
• RFC's / release  risicoanalyse
• Bij implementatie release marktpartij
:
- Geteste software in acceptatie-omgeving
- Zelfverklaring (voldoet aan nieuw A fsprakenstelsel en test
uitgevoerd)
• Beheerorganisatie toetst en voert regie ketentest
 Ook hier marktpartijen en stelsel

16. Dus..
eHerkenning is veilig en betrouwbaar:
• In ontwerp
• Door control als (stelsel-)audit en pentesten
• Door gereguleerd wij zigingenproces
 Het heeft permanent onze aandacht
Zo hoort het als je een betrouwbaar
merk wil zijn en blijven!

17. En toch..
Het is aan de orde van de dag...
Als het dan toch echt gebeurt..wat dan?

18. Wat hebben we geleerd van DigiNotar?
• Wanneer een marktpartij uit het netwerk wordt verwij
derd blij
ft
het resterende netwerk functioneren
• Een gebruiker kan snel (binnen een dag) overstappen naar
een andere marktpartij mits het standaard dienstverlening
betreft
• De eindgebruiker kan op elk gewenst moment een
nieuw middel verkrij gen

19. Ons doel is het Afsprakenstelsel eHerkenning, met daarin o.a.
het normenkader,
de besturing en toezicht en
de beheerprocessen
… steeds beter te maken
Dit doen we samen met de
marktpartijen en de gebruikers!
Zo kunnen we een sterk en
betrouwbaar merk zijn en blijven!

20. Vragen?
?