Vier-Augen-Prinzip

Fouten gebeuren, en soms ook opzet. Het vierogenprincipe zorgt ervoor dat belangrijke beslissingen niet van één enkele persoon afhangen. In de informatiebeveiliging is het een van de eenvoudigste en meest effectieve controles – ook wanneer gegevensdragers worden gewist, vernietigd of uit de voorraad worden geboekt.

Wat is het vierogenprincipe?

Bij het vierogenprincipe, ook geschreven als 4-ogenprincipe, zijn twee personen bij een handeling betrokken. De een voert uit, de ander controleert of geeft vrij. Beiden documenteren dat, bijvoorbeeld met een handtekening of digitale vrijgave. Het principe is bekend uit het betalingsverkeer: een overboeking vanaf een bepaald bedrag heeft een tweede vrijgave nodig.

Het principe is nauw verwant aan functiescheiding (taakscheiding). Daarbij worden onverenigbare taken permanent over verschillende personen verdeeld, bijvoorbeeld bestellen en betalen. ISO/IEC 27001 noemt taakscheiding als afzonderlijke maatregel in bijlage A. In de banksector eisen de MaRisk van de BaFin een duidelijke functiescheiding.

Waar het vierogenprincipe wordt toegepast

Bereik	Typische toepassing
Financiën	Vrijgave van betalingen, boekingen en contracten
Machtigingen	Toekenning van beheerdersrechten pas na vrijgave
IT-beheer	Wijzigingen aan productiesystemen (change management)
Gegevensbescherming	Vrijgave van wisbehandelingen en gegevensexports
IT-uitfasering	Vrijgave van de apparatenlijst, overdracht aan dienstverleners, afstemming van de wis- en vernietigingsbewijzen

Vierogenprincipe bij IT-uitfasering

Bij de uitfasering zijn drie momenten bijzonder kritiek. Ten eerste de selectie: welke apparaten mogen worden gewist, en staan daarop nog gegevens die moeten worden bewaard? Ten tweede de overdracht: komen aantal en serienummers in het overnameprotocol overeen met de apparatenlijst? Ten derde de afsluiting: ligt er voor elk apparaat een bewijs?

Als hierbij telkens twee personen betrokken zijn, vallen leemtes sneller op. Dat versterkt de Chain of custody en is een bouwsteen van uw technische en organisatorische maatregelen (TOM). Het principe wordt aangevuld door het Need-to-know-principe: alleen wie de apparaten werkelijk moet bewerken, krijgt toegang.

Hoe u dienstverleners voor deze stappen beoordeelt, laat de gids zien: Een ITAD-aanbieder kiezen.

Controles bij Second IT

Bij Second IT zijn de verwerkingsgebieden beschermd door toegangscontrole en camerabewaking. Alleen geautoriseerde medewerkers hebben toegang. Elk apparaat wordt bij de goederenontvangst op serienummer geregistreerd, elke wisbehandeling met Blancco wordt gedocumenteerd en met een digitaal ondertekend wiscertificaat onderbouwd. Meer over de Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over het vierogenprincipe

Is het vierogenprincipe wettelijk verplicht?

In het algemeen niet. In gereguleerde sectoren zoals banken of verzekeraars eisen toezichtsvoorschriften echter functiescheiding en controles. Ook normen zoals ISO/IEC 27001 en de AVG-verplichting om passende organisatorische maatregelen te nemen pleiten voor het principe.

Wat is het verschil tussen het vierogenprincipe en functiescheiding?

Bij het vierogenprincipe controleert een tweede persoon een afzonderlijke handeling. Bij functiescheiding zijn onverenigbare taken permanent aan verschillende personen toegewezen. Beide vullen elkaar aan.

Hoe documenteer ik het vierogenprincipe?

Het eenvoudigst met twee handtekeningen of twee digitale vrijgaven, elk met datum. Bij IT-uitfasering lenen de apparatenlijst, het overnameprotocol en de eindcontrole van de bewijsstukken zich daarvoor.

Wie kan bij het vierogenprincipe de tweede persoon zijn?

Een persoon die onafhankelijk van de uitvoerende persoon controleert en vakinhoudelijk kan beoordelen wat zij vrijgeeft. Zij mag de handeling niet zelf hebben uitgevoerd. Beide betrokkenen documenteren de controle, bijvoorbeeld met een handtekening of digitale vrijgave.

Waarom moet de overdracht van oude apparaten volgens het vierogenprincipe verlopen?

Twee personen stemmen het aantal en de serienummers in het overnameprotocol af met de apparatenlijst. Zo vallen leemtes direct op, voordat de apparaten het pand verlaten. Dat versterkt de chain of custody en is een bouwsteen van uw technische en organisatorische maatregelen.