Voor privileged access management onder DORA liggen de regels verrassend vast. De technische standaard bij DORA beschrijft hoe een bank beheer-, nood- en adminaccounts toekent, controleert en intrekt. Daar heb je een PAM-specialist voor nodig die het proces inricht, naast iemand die de tool bouwt.
DORA is sinds 17 januari 2025 van toepassing. Klaar was lang niet iedereen. Bij een sectorbrede uitvraag van DNB in mei 2025 verwachtten veel instellingen tot eind 2025 of later nodig te hebben om de implementatie af te ronden. Ik verwacht dat toegangsbeheer bij audits snel op tafel komt, juist omdat de eisen zo concreet zijn.
Wat zegt DORA over privileged access management?
De concrete eisen staan in Gedelegeerde Verordening (EU) 2024/1774 van 13 maart 2024, de technische standaard voor ICT-risicobeheer onder DORA. Artikel 21 gaat over toegangsbeheer. Voor PAM zijn dit de punten die tellen:
- Je kent toegang toe op basis van need-to-know, need-to-use en least privilege.
- Generieke en gedeelde accounts beperk je zoveel als mogelijk is.
- Geprivilegieerde toegang, noodtoegang en admintoegang ken je alleen toe als het werk erom vraagt, of per keer. Dat geldt voor alle ICT-systemen, dus niet alleen de kritieke.
- Toegangsrechten werk je minstens één keer per jaar bij, en minstens elke zes maanden voor systemen die kritieke of belangrijke functies ondersteunen.
- Gaat iemand uit dienst, dan trek je zijn toegang zonder onnodige vertraging in.
- Voor geprivilegieerde toegang en voor toegang op afstand tot het netwerk gebruik je sterke authenticatie.
Lees het punt over noodtoegang goed. Zoals ik het lees, past een break-glass-account dat altijd openstaat daar niet bij. Een beheerder die permanent domain admin is omdat dat handig is, ook niet.
Waar het in de praktijk knelt
Een herziening elke zes maanden klinkt overzichtelijk. Dan moet je wel weten welke systemen kritieke of belangrijke functies ondersteunen, en welke accounts op die systemen geprivilegieerd zijn. Dat overzicht maken is het eigenlijke werk. Denk aan serviceaccounts die een projectteam ooit heeft aangemaakt, lokale adminaccounts op servers en de beheeraccounts van een externe partij die al jaren met dezelfde inlog werkt.
Let extra op die externe partijen. Een beheerpartij die op afstand inlogt op je netwerk, valt onder dezelfde eis van sterke authenticatie. Wie bij jullie het ICT-derdepartijenrisico beheert, moet dus met de PAM-specialist om tafel. Waar je een TPRM-specialist op toetst, lees je in interviewvragen voor een TPRM-specialist onder DORA.
Dan de generieke accounts. De standaard vraagt om ze zoveel mogelijk te beperken. Een verbod is het niet. Mijn advies: zorg dat je van elk gedeeld account dat overblijft kunt laten zien wie het wanneer gebruikte. Daar zijn een wachtwoordkluis en sessielogging in een PAM-oplossing voor.
Welke PAM-profielen heb je nodig?
PAM bij een bank is werk voor meer dan één persoon. Ik onderscheid drie rollen. Bij een kleinere instelling kan één ervaren specialist er twee combineren, maar dan moet je eerlijk zijn over wat langzamer gaat.
De PAM-architect of PAM-lead bepaalt welke accounts onder PAM vallen en ontwerpt de processen voor aanvragen, goedkeuren, noodtoegang en intrekken. Hij vertaalt artikel 21 naar beleid dat een auditor kan toetsen, en praat daarvoor met de CISO, internal audit en de systeemeigenaren.
De PAM-engineer richt de oplossing technisch in: de wachtwoordkluis, sessiebeheer, just-in-time-toegang, de koppeling met de directory en het SIEM, en het aansluiten van systemen. Vraag naar ervaring met het platform dat jullie gebruiken of gaan kiezen. Kennis van een ander product helpt, maar reken op een inwerkperiode.
De access-governancespecialist organiseert de periodieke herzieningen. Hij zorgt dat managers en systeemeigenaren hun rechten echt nalopen en dat een uitdiensttreding automatisch leidt tot het intrekken van toegang. Deze rol overlapt met IAM. Welk IAM-profiel bij je organisatie past, lees je in IAM of CIAM: welk profiel heb je nodig?
Begin met het proces, daarna de tool
Mijn advies: huur niet als eerste een PAM-engineer in. Begin met iemand die de inventarisatie doet en het proces ontwerpt. Rol je een PAM-tool uit voordat je weet welke accounts je hebt, dan vul je de kluis met wat je toevallig tegenkomt. De engineer werkt daarna een stuk sneller, omdat hij weet wat erin moet en wie wat mag.
Het omgekeerde risico bestaat ook: een keurig beleidsdocument waarna technisch niets verandert. Laat de engineer daarom kort na de architect starten, zodra de eerste groep accounts in kaart is. Begin bij de systemen die kritieke of belangrijke functies ondersteunen. Daar geldt de strengste termijn voor herziening, en daar kijkt een auditor als eerste.
Interim, detachering of vast?
De inrichting van PAM is projectwerk met een begin en een eind. Daar past een interim of freelance PAM-specialist goed bij: iemand die het eerder bij een financiële instelling heeft gedaan en niet hoeft te leren wat een auditor wil zien. Na de oplevering lopen de herzieningen, de aansluiting van nieuwe systemen en het beheer van de kluis gewoon door. Dat beleg je bij eigen mensen, via detachering of met een vaste kracht.
Laat vanaf de eerste week iemand van het eigen team meelopen met de interim specialist. Anders vertrekt de kennis aan het eind van de opdracht met hem mee.
Wij leveren freelance en interim PAM-specialisten vanuit een netwerk van 7.000+ vetted professionals en presenteren de eerste kandidaat binnen 4 uur. Kijk bij onze PAM-expertise, lees wat er speelt in bankwezen en financiën, of bel of mail me als je wilt sparren over welk profiel je als eerste nodig hebt.
