Toegangsbeheer
Toegangsbeheer is bepalen en afdwingen wie wat mag: nadat authenticatie vaststelt wie je bent, bepaalt autorisatie waar je bij kunt. Gangbare modellen zijn RBAC (rechten via rollen), ABAC (rechten via attributen - precies waar wallet-attestaties inpluggen) en least privilege als leidend principe. Samen met identity-lifecyclebeheer vormt dit IAM.
De bouwstenen eromheen: SSO en de identity provider leveren het wie, machtigingen drukken handelen namens anderen uit, en auditlogging bewijst achteraf wie wat deed. In aanbestedingstaal ("access management" is een terugkerende tenderterm) omvat het meestal deze hele stapel.
Toegangsbeheer is ook een wettelijke en regelgevende eis, niet alleen een goede gewoonte. NIS2 artikel 21(2)(j) verplicht essentiele en belangrijke entiteiten om waar passend multifactorauthenticatie of continue authenticatieoplossingen te gebruiken, als onderdeel van basale toegangshygiene, niet alleen voor systemen die als kritiek zijn aangemerkt. GDPR artikel 32 vereist passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, wat in de praktijk betekent dat toegang wordt beperkt tot wat nodig is. ISO 27001 Annex A stelt eveneens doelstellingen voor toegangscontrole die auditors toetsen, waaronder doorgaans periodieke toegangscontroles en recertificering om te bevestigen dat toegekende rechten nog aansluiten bij de werkelijke behoefte.
Voor QTSP's en andere vertrouwensdienstverleners weegt toegangsbeheer extra zwaar. ETSI EN 319 401 vereist functiescheiding en het vierogenprincipe voor gevoelige handelingen en strikt gecontroleerde geprivilegieerde toegang tot de HSM die ondertekeningssleutels bevat. Sole control - alleen de ondertekenaar kan zijn eigen handtekening activeren - komt ergens anders vandaan: bijlage II van eIDAS voor het handtekeningaanmaakmiddel, voor serverondertekening uitgewerkt in CEN EN 419 241-1 en -2. Onder eIDAS kunnen toegangsbeslissingen ook afhangen van het betrouwbaarheidsniveau (laag, substantieel of hoog) waarop een identiteit is geverifieerd, moet een relying party die op wallets wil vertrouwen zich registreren in de lidstaat van vestiging (artikel 5b, lid 1) en mag zij daarna alleen de opgegeven gegevens vragen, waarbij de wallet haar met een apart toegangscertificaat authenticeert, en legt onder de Nederlandse Wdo een machtigingenregister vast wie namens wie mag handelen.