Need-to-know-Prinzip

Niet iedereen in het bedrijf hoeft alles te weten. Wat in het dagelijks leven vanzelfsprekend klinkt, is in de informatiebeveiliging een vast principe met duidelijke regels. Het geldt voor personeelsdossiers net zo goed als voor gerubriceerde stukken – en voor de oude apparaten waarop deze gegevens nog staan.

Wat betekent need-to-know?

Het principe stamt uit de staatsgeheimhouding. Voor gerubriceerde informatie geldt in Duitsland dat alleen personen kennis mogen krijgen die deze nodig hebben voor de uitvoering van hun taken. Een veiligheidsmachtiging of een hoge functie alleen is niet voldoende.

In bedrijven is need-to-know tegenwoordig een standaardbouwsteen. De norm ISO/IEC 27001 vereist toegangsregels die zijn gebaseerd op de bedrijfsbehoeften. De AVG verlangt met het beginsel van vertrouwelijkheid (art. 5 lid 1 sub f) en met de technische en organisatorische maatregelen op grond van art. 32 bescherming tegen onbevoegde toegang.

Onderscheid met vergelijkbare principes

Principe	Vraag erachter	Voorbeeld
Need-to-know	Welke informatie heeft deze persoon voor zijn taak nodig?	De boekhouding ziet facturen, maar geen ziekmeldingen.
Least privilege (minimale rechten)	Welke technische rechten heeft dit account minimaal nodig?	Een serviceaccount mag alleen lezen, niet schrijven.
Vierogenprincipe	Wie controleert kritieke processen?	Een tweede persoon bevestigt de vrijgave voor vernietiging.
Functiescheiding	Welke taken mogen niet in één hand liggen?	Wie apparaten afboekt, tekent niet zelf voor de overdracht.

Need-to-know bij het uit gebruik nemen van IT

Oude apparaten zijn een vaak over het hoofd geziene zwakke plek. Liggen laptops in een open magazijn, dan heeft elke medewerker erbij toegang, ook als hij de gegevens nooit had mogen zien. Het principe is hier eenvoudig toe te passen:

• Verzamel oude apparaten in een afgesloten ruimte met Toegangscontrole .
• Alleen benoemde personen mogen apparaten verpakken, overdragen en protocollen ondertekenen.
• Bij de dienstverlener hebben alleen medewerkers die verantwoordelijk zijn voor wissing of vernietiging toegang tot gegevensdragers.
• Wis- en vernietigingscertificaten gaan naar een vaste contactpersoon, niet naar een open verzendlijst.

Voor overheden en geheimhoudingsplichtigen gelden bij de afstoting aanvullende voorschriften. Meer hierover in de gids VS-NfD: IT-hardware afstoten.

Een veelgemaakte fout: oude apparaten worden voor de ophaling in een gang gezet, zodat de koerier ze gemakkelijker vindt. Enkele uren lang hebben dan schoonmaakpersoneel, bezoekers en medewerkers van andere afdelingen toegang. Plan de overdracht daarom rechtstreeks vanuit de beveiligde ruimte.

Need-to-know bij Second IT

Second IT verwerkt gegevensdragers in ruimtes met toegangscontrole en camerabewaking. Alle medewerkers zijn verplicht tot gegevensgeheimhouding of vertrouwelijkheid; op verzoek komen er individuele NDA's bij. Verwerking volgens de VS-NfD-voorschriften is mogelijk. Meer over Gegevensgeheimhouding en vertrouwelijkheid.

Veelgestelde vragen over het need-to-know-principe

Is het need-to-know-principe wettelijk voorgeschreven?

Voor gerubriceerde stukken wel, via de Duitse Verschlusssachenanweisung. Voor bedrijven volgt het indirect uit de AVG, die passende bescherming tegen onbevoegde toegang verlangt. Normen zoals ISO/IEC 27001 maken er een eis van.

Geldt need-to-know ook voor leidinggevenden?

Ja. Doorslaggevend is de taak, niet de hiërarchie. Een directeur heeft niet automatisch inzicht nodig in elk personeelsdossier of elke gegevensdrager.

Hoe pas ik het principe technisch toe?

Via rollen- en rechtenconcepten, groepen in de directoryservice, versleuteling en regelmatige controle van de autorisaties. Fysiek helpen afgesloten ruimtes, toegangslogboeken en duidelijke verantwoordelijkheden.

Wat is het verschil tussen need-to-know en least privilege?

Need-to-know vraagt welke informatie een persoon voor zijn taak nodig heeft. Least privilege vraagt welke technische rechten een account minimaal nodig heeft. Het een beperkt de kennissfeer, het ander de systeemrechten. Beide vullen elkaar aan.

Hoe bescherm ik oude apparaten vóór de ophaling volgens het need-to-know-principe?

Verzamel de apparaten in een afgesloten ruimte met toegangscontrole. Alleen benoemde personen verpakken en dragen ze over. Zet oude apparaten nooit voor de ophaling in een gang, want daar hebben bezoekers en andere afdelingen toegang.