Administratie Organisatie en Interne Beheersing ... - Scripties UMCG

5.2. Autorisaties
De opzet van de AO/IC is getoetst aan het normenkader.
NORM (a): De autorisatiestructuur van TOREN is ingericht conform het UMCGbevoegdhedenbeleid;
onderdeel van het onderzoek is het vaststellen van
dit beleid (mogelijk vastgelegd, danwel impliciet).
BEVINDINGEN: Op de Intranetsite van de afdeling ICT-beleid is vermeld dat voor de
informatiebeveiliging de standaardnorm NEN 7510 als richtlijn binnen het
UMCG wordt gehanteerd. De belangrijkste eisen tav toegangsbeveiliging
zijn:
1. Gebruikers moeten alleen toegang krijgen tot gegevens waarvoor
zij zijn geautoriseerd.
2. De instelling moet procedures en regels vaststellen voor de
toekenning en intrekking van bevoegdheden.
3. Om de toegang tot gegevens effectief te beheersen, moet de
verantwoordelijke op gezette tijden een procedure uitvoeren om
de uitgegeven toegangsrechten te controleren.
Vervolgens is beoordeeld of deze eisen binnen het UMCG worden
gehanteerd. Hiervoor is het document “ZIS standaard bevoegdheden,
implementatie, beheer en procedures” uit 2003 gebruikt. Uit dit document
blijkt dat de hierboven genoemde eisen in opzet zijn geregeld.
NORM (b): Aanvragen en intrekken van autorisaties geschiedt conform vastgestelde
procedures.
BEVINDINGEN: Dit is in opzet geregeld (zie onderdeel a). Verder is er op Intranet
informatie beschikbaar hoe een ZIS-bevoegdhedenprofiel voor een nieuwe
medewerker aangevraagd moet worden en wie dit mogen doen
(tekenbevoegden).
NORM (c): Periodiek vindt er een controle plaats op de juistheid van de afgegeven
autorisaties.
BEVINDINGEN: In opzet is voldaan aan deze norm. Volgens het ontvangen document
beschikt de coördinator bevoegdheden van een afdeling over allerlei
middelen (ZIS-Balie en gebruikersdocumentatie op een centrale server)
waarmee hij in staat is een overzicht te maken met de toegekende ZISbevoegdhedenprofielen.
Of dit periodiek gebeurt is zeer twijfelachtig. Zo is
er geconstateerd dat een aantal medewerkers die vanuit centraal zijn
overgeplaatst naar een sector nog in het bezit zijn van de “oude” Zisbevoegdhedenprofielen.
Toelichting
De omschrijvingen en benamingen van de profielen dateren nog van voor
de reorganisatie(s). Duidelijk is dat op dit onderdeel geen onderhoud is
gepleegd (voorbeeld: TOR 600 FMZ PGV leiding). Voor de medische
administratie van afdelingen waar effecten van reorganisaties beperkt zijn,
is het risico ten aanzien van ongeautoriseerd gebruik beperkt. In andere
situaties is het evident dat medewerkers (nog) bevoegdheden hebben die
verder gaan dan functioneel noodzakelijk.
124