ISOR/totaaltabel

Tabel met alle elementen in het normenkader BIO Thema-uitwerking Serverplatform.
Een element kan zijn: Beveiligingsprincipe, Hoofdstuk normenkader, Norm, Normenkader, Normenkader-aspect, Privacyprincipe
Tip: klik op het pijltje naast 'ID' voor een logische volgorde.

ID

ElementtypeDeze speciale eigenschap maakt deel uit van SmartCore. Gebruik deze eigenschap niet voor andere doeleinden.

Versieaanduiding

Status actualiteit

Redactionele wijzigingsdatum

Publicatiedatum

Beschrijving

Toelichting

Conformiteitsindicator

Grondslag opmerkingen

Wijzigingsdatum“Wijzigingsdatum <span style="font-size:small;">(Modification date)</span>” is een voorgedefinieerde eigenschap die overeenkomt met de datum van de laatste wijziging van een onderwerp. Deze eigenschap wordt geleverd door Semantic MediaWiki.

SVP_U.14

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een document waarin de relatie tussen servers en instellingen van configuraties zijn vastgelegd.

Objecttoelichting

De relatie tussen servers en de instellingen van configuraties moet zijn vastgelegd in een ontwerpdocument.

Ontwerp

Het ontwerp van een serverplatform behoort te zijn gedocumenteerd.

Het hebben van een middel waarmee de vereiste acties genomen kunnen worden in de volgende fase, de inrichting van de server en het serverplatform. Inzichtelijk is waar wel en niet rekening mee is gehouden in het ontwerp.

De inrichting van de server en het serverplatform wijkt af van wat vooraf nodig is geacht.

Uitvoering

Structuur

The Standard of Good Practice for Information Security 2018: SY1.1.1

26 oktober 2021 09:27:06

Ontwerpdocument

SVP_C.01

Beveiligingsprincipe

2.1

Actueel

2 november 2021

25 oktober 2021

==Objectdefinitie==

Betreft systematisch ontwikkelde aanbevelingen voor het achteraf beoordelen van ontwikkelactiviteiten.

Objecttoelichting

Binnen de infrastructuur bevinden zich verschillende servers en besturingssystemen die het fundament vormen voor applicaties. Deze servers en besturingssystemen moeten daarom continu worden onderhouden, gehardend en op een veilige wijze geconfigureerd. Het is van groot belang dat deze servers en besturingssystemen vanwege risicomanagement, periodiek geëvalueerd worden. De evaluatie-activiteiten dienen ondersteund te worden met evaluatierichtlijnen, procedures en instructies. Anders bestaat het risico dat de resultaten van deze controle-activiteiten niet voldoen aan de verwachte eisen. De beheerorganisatiestructuur geeft de samenhang van de ingerichte processen weer.

Richtlijnen

Richtlijnen behoren te worden vastgesteld om de implementatie en beveiliging van servers en besturingssystemen te controleren waarbij de bevindingen tijdig aan het management worden gerapporteerd.

Het adequaat controle-activiteiten en rapportages opstellen gericht op de implementatie en beveiliging van servers en besturingssystemen.

De resultaten van de controle-activiteiten voldoen niet aan de verwachte eisen. Het management stuurt niet op afwijkingen.

Control

Intentie

ISO 27002 2017: 10.10.2

300

2 november 2021 12:14:13

Richtlijn evaluatie ontwikkelactiviteiten

SVP_U.11

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een of meer gescheiden logische omgevingen op één fysieke server of serverplatform.

Objecttoelichting

Servervirtualisatie stelt een organisatie in staat om een of meer gescheiden logische omgevingen te creëren op één fysieke server. Bij virtualisatie zijn drie soorten componenten betrokken: een fysieke server, een hypervisor en een of meerdere virtuele servers.

De hypervisor alloceert resources van de fysieke server naar elke onderliggende virtuele server, inclusief Central Processing Unit (CPU), geheugen, harddisk of netwerk. Hiermee zijn de virtuele servers in staat simultaan of geïsoleerd van elkaar te opereren. Deze drie componenten moeten voldoen aan specifieke eisen.

Virtuele servers, Fysieke servers, Hypervisors

Virtuele servers behoren goedgekeurd te zijn en toegepast te worden op robuuste en veilige fysieke servers (bestaande uit hypervisors en virtuele servers) en behoren zodanig te zijn geconfigureerd dat gevoelige informatie in voldoende mate is beveiligd.

Het in voldoende mate beveiligen van gevoelige informatie op een virtueel serverplatform.

Dat onbevoegden inzicht krijgen in gevoelige informatie.

Uitvoering

Gedrag

The Standard of Good Practice for Information Security 2018: SY1.3

26 oktober 2021 08:53:18

Virtualisatie serverplatform

SVP_U.01

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een vastgelegde manier van handelen voor het beheren van serverplatforms.

Objecttoelichting

De taken/activiteiten kunnen gerelateerd zijn aan het starten en afsluiten van de computer, back-up en onderhoud van servers.

Bedieningsprocedures

Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben.

Het waarborgen van een correcte en veilige bediening van serverplatforms.

Het optreden van beveiligingsincidenten en/of datalekken en verlies van kennis voor het bedienen van serverplatforms.

Uitvoering

Intentie

BIO (Baseline Informatiebeveiliging Overheid): 12.1.1

26 oktober 2021 10:07:18

Bedieningsprocedure

SVP_U.07

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft activiteiten voor de instandhouding van de adequate werking en het beveiligingsniveau van een serverplatform.

Objecttoelichting

In deze BIO Thema-uitwerking wordt apparatuur vanuit de ISO 27002 2017 opgevat als het infrastructuurcomponent ‘server’ die periodiek onderhouden dient te worden. Het onderhoud behoort plaats te vinden binnen een tijdsinterval. Servers worden correct onderhouden door bevoegd personeel om te zorgen dat de beschikbaarheid van de dienstverlening en de integriteit hiervan gegarandeerd is.

Onderhouden

Servers behoren correct te worden onderhouden om de continue beschikbaarheid en integriteit te waarborgen.

Het waarborgen van continue beschikbare en integere servers.

Aantasting van de beschikbaarheid en integriteit van servers

Uitvoering

Functie

BIO (Baseline Informatiebeveiliging Overheid): 11.2.4

300

26 oktober 2021 08:30:35

Server-onderhoud

SVP_B.03

Beveiligingsprincipe

2.1

Actueel

25 oktober 2021

==Objectdefinitie==

Betreft een modelmatige beschrijving van de wijze waarop serverplatforms zijn ingericht, samenhangen, zijn beveiligd en worden beheerst.

Objecttoelichting

De architectuur van een serverplatform geeft overzicht en inzicht in de wijze waarop de gebieden en objecten behoren te worden beveiligd. Architectuur geeft ook inzicht in de samenhang en samenwerking van beveiligingsmaatregelen. In de architectuur zijn gemaakte ontwerp- en inrichtingskeuzen gedocumenteerd, verantwoord en zijn de gemaakte keuzen onderbouwd.

Documentatie speelt ook een belangrijke rol bij het bepalen van de impact van wijzigingen en het voorkomen van ontwerpfouten. Documentatie moet dan ook na elke wijziging worden bijgewerkt en oude documentatie moet worden gearchiveerd.

architectuurdocument

De functionele eisen, beveiligingseisen en architectuurvoorschriften van het serverplatform zijn in samenhang in een architectuurdocument vastgelegd.

Een landschap bieden voor een serverplatform dat in samenhang beveiligd is en inzicht geeft in de inrichting van het serverplatform.

Onvoldoende sturing hebben op de inrichting van het serverplatform. Bedreigingen worden over het hoofd gezien.

Beleid

Structuur

NIST SP 800-53 Rev. 5 2020 (Security and Privacy Controls for Information Systems and Organizations): PL-8

25 oktober 2021 08:40:37

Serverplatform-architectuur

SVP_U.04

Beveiligingsprincipe

2.1

Actueel

25 november 2021

25 oktober 2021

==Objectdefinitie==

Betreft een instandhoudingsproces voor het onderzoek naar en het oplossen van technische kwetsbaarheden.

Objecttoelichting

Kwaadwillenden maken gebruik van kwetsbaarheden en zwakheden in software die op de servers zijn geïnstalleerd. Kwetsbaarhedenbeheer is een proactieve benadering van beveiliging door de kans te verminderen dat gebreken in software de beveiliging van een server in gevaar brengt.

Zonder inzicht in de huidige stand van zaken, tast de beheerder in het duister en kan hij niet goed anticiperen op nieuwe ontwikkelingen. Vragen die hierbij een rol spelen:

Hoe is de serveromgeving opgebouwd en geconfigureerd?
Wat zijn bekende kwetsbaarheden en zwakheden?

Gerelateerd aan kwetsbaarhedenbeheer is het patchmanagementproces. Het ISO 27002-onderwerp ‘Beheer van technische kwetsbaarheden’ (in paragraaf 12.6.1) behandelt wat betreft de maatregelen twee onderwerpen:

Kwetsbaarhedenbeheer (vulnerability-management);
Patchmanagement (zie U.05 Patchmanagement).

In deze BIO Thema-uitwerking worden deze twee onderwerpen apart beschreven.

Technische serverkwetsbaarheden, Geëvalueerd

Informatie over technische serverkwetsbaarheden¹ behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden dient te worden geëvalueerd en passende maatregelen moeten worden genomen om het risico dat ermee samenhangt aan te pakken.

Het voorkomen van misbruik van technische kwetsbaarheden en bij blootstelling ervan tijdig passende maatregelen treffen.

Kwetsbaarheden in servers worden niet opgemerkt, waardoor er misbruik van gemaakt kan worden.

Uitvoering

Functie

BIO (Baseline Informatiebeveiliging Overheid): 12.6.1

300

25 november 2021 15:51:53

Technische kwetsbaarhedenbeheer serverplatform

SVP_U.12

Beveiligingsprincipe

2.1

Actueel

19 november 2021

25 oktober 2021

==Objectdefinitie==

Betreft systematisch ontwikkelde aanbevelingen, bedoeld om het installeren van programmatuur door eindgebruikers te beperken.

Objecttoelichting

Voor het gebruik van software (door een beheerder) op een server zijn regels opgesteld.

Regels

Voor het door gebruikers (beheerders) installeren van software behoren regels te worden vastgesteld en te worden geïmplementeerd.

Het voorkomen dat er software wordt geïnstalleerd die schade kan veroorzaken, zoals het weglekken van informatie, verlies van integriteit, andere informatiebeveiligingsincidenten of het schenden van intellectuele-eigendomsrechten.

Het introduceren van kwetsbaarheden.

Uitvoering

Gedrag

BIO (Baseline Informatiebeveiliging Overheid): 12.6.2

19 november 2021 11:10:49

Beperking software-installatie serverplatform

SVP_U.13

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft het synchroon instellen van systeemklokken op verschillende servers.

Objecttoelichting

Om gebeurtenissen uit verschillende componenten te correleren, worden de klokken van de verschillende systemen gelijkgericht en waarmee de timestamps van gebeurtenissen zijn gesynchroniseerd. Dit synchroniseren is het effect van de juiste instelling van tijd op betreffende componenten.

Met het Network Time Protocol (NTP) wordt bereikt dat de tijd op alle servers en andere componenten overeenkomt (zie paragraaf 10.10.6 ‘Synchronisatie van systeemklokken’ in de ISO 27002 2007).

Gedocumenteerd, Gesynchroniseerd

De klokken van alle relevante informatieverwerkende systemen binnen een organisatie of beveiligingsdomein behoren te worden gedocumenteerd en gesynchroniseerd met één referentietijdbron.

Om de correlatie en analyse van beveiligingsgerelateerde gebeurtenissen en andere geregistreerde gegevens mogelijk te maken en om onderzoeken naar informatiebeveiligingsincidenten te ondersteunen.

Onnauwkeurige auditlogbestanden niet kunnen onderzoeken of als bewijs in juridische of disciplinaire zaken belemmeren en de geloofwaardigheid van dat bewijsmateriaal schaden.

Uitvoering

Gedrag

BIO (Baseline Informatiebeveiliging Overheid): 12.4.4

300

26 oktober 2021 09:19:22

Kloksynchronisatie

SVP_U.09

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft het proces van het uitschakelen van overbodige functies van een server.

Objecttoelichting

De standaardconfiguratie van de meeste besturingssystemen is niet ontworpen met beveiliging als de primaire focus. In plaats daarvan zijn standaardinstellingen meer gericht op bruikbaarheid, communicatie en functionaliteit.

Hardening is het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee de beveiliging wordt verbeterd. Ook servers behoren te worden gehardend. Alle overbodige en niet gebruikte functies, services en accounts behoren van de server(s) te worden verwijderd of te worden uitgeschakeld.

Functies, Toegang

Voor het beveiligen van een server worden overbodige functies en ongeoorloofde toegang uitgeschakeld.

Het verbeteren van de beveiliging van een server.

Misbruik van overbodige en/of niet gebruikte functies, services en accounts.

Uitvoering

Gedrag

The Standard of Good Practice for Information Security 2018: SY1.2.5 en SY1.2.8

26 oktober 2021 13:52:46

Hardenen server

SVP_U.03

Beveiligingsprincipe

2.1

Actueel

25 november 2021

25 oktober 2021

==Objectdefinitie==

Omvat het continu beschermen van serverplatforms tegen schadelijke software.

Objecttoelichting

De organisatie maakt gebruik van malwareprotectie bij ingangs- en uitgangspunten van kritieke informatiesystemen (zoals firewalls, e-mailservers, webservers, proxyservers, servers met externe toegang) en op werkstations, servers of mobiele computerapparatuur op het netwerk.

De organisatie gebruikt deze beschermingsmechanismen om haar servers te beschermen tegen schadelijke code en om schadelijke code te detecteren en te neutraliseren.

Preventie, Detectie,Herstel

Ter bescherming tegen malware behoren beheersmaatregelen voor preventie, detectie en herstel te worden geïmplementeerd, in combinatie met het stimuleren van een passend bewustzijn van gebruikers.

Het zorgen dat informatie op servers wordt beschermd tegen malware.

Malware wordt niet opgespoord en aangetroffen malware wordt niet of onvoldoende hersteld.

Uitvoering

Functie

BIO (Baseline Informatiebeveiliging Overheid): 12.2.1

25 november 2021 15:36:52

Malwareprotectie serverplatform

SVP_C.06

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een doelgerichte bundeling van kennis en vaardigheden tussen personen met taken, verantwoordlijkheden en bevoegdheden voor de beheersing van de serverplatformomgevingen.

Objectoelichting

Voor het adequaat beheersen en beheren van servers en serverplatforms zou een beheersorganisatiestructuur moeten zijn vastgesteld, waarin de verantwoordelijkheden voor de beheersprocessen met toereikende bevoegdheden zijn uitgedrukt en op het juiste niveau zijn gepositioneerd.

Beveiligingsfunctionaris, Beveiligingsbeleid

Binnen de beheerorganisatie is een beveiligingsfunctionaris benoemd die de organisatie ondersteunt in de vorm van het bewaken van beveiligingsbeleid en die inzicht verschaft in de inrichting van de servers en het serverplatform.

Het invullen, coördineren en borgen van de beheersing van servers en serverplatforms.

De beheersorganisatie is niet effectief ingericht waardoor servers en serverplatforms onvoldoende zijn beveiligd.

Control

Structuur

CIP-netwerk

26 oktober 2021 09:32:05

Beheersorganisatie servers en serverplatforms

SVP_U.06

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een instandhoudingsproces van servers vanuit een externe niet-vertrouwde omgeving.

Objecttoelichting

Toegang tot de servers is beperkt tot geautoriseerde personen en informatiesystemen.

Onder bepaalde voorwaarden is het beheerders ‘van buiten’ de door de organisatie beheerde netwerken, toegestaan servers te benaderen.

Richtlijnen

Richtlijnen en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van beheer op afstand van servers.

Voorkomen van verlies, schade, diefstal of in gevaar brengen van informatie en andere bijbehorende assets en onderbreking van de activiteiten van de organisatie.

De server is onbetrouwbaar en functioneert niet naar behoren.

Uitvoering

Functie

BIO (Baseline Informatiebeveiliging Overheid): 6.2.2

300

26 oktober 2021 10:34:56

Beheer op afstand

SVP_C.05

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Omvat het bewaken en onderkennen van afwijkingen op beleidsregels.

Objecttoelichting

Onder monitoren wordt verstaan: reviewen, analyseren en rapporteren. Het monitoren van gebruikers- en beheerdersactiviteiten heeft tot doel ongeautoriseerde toegangspogingen tot servers en serverplatforms tijdig te signaleren en met de ernst van de signalering acties te ondernemen. De monitoringsfunctie moet voorbehouden zijn aan een daartoe verantwoordelijke functionaris. Monitoring vindt mede plaats met geregistreerde gegevens (logging). De geregistreerde gegevens dienen te worden geanalyseerd en te worden gerapporteerd (alerting). Alerting kan ook geautomatiseerd plaats vinden op basis van vastgestelde overschrijding van drempelwaarden.

Reviewt/analyseert, rapporteren

De organisatie reviewt/analyseert regelmatig de logbestanden om onjuist gebruik en verdachte activiteiten op servers en besturingssystemen vast te stellen en bevindingen aan het management te rapporteren.

Het vaststellen van onjuist gebruik en verdachte activiteiten op servers en besturingssystemen waarmee het management tijdig kan bijsturen.

Onvoldoende mogelijkheden om tijdig bij te sturen om organisatorisch en technisch te (blijven) voldoen aan de doelstellingen.

Control

Gedrag

ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen: C.07

26 oktober 2021 11:05:27

Monitoring

SVP_C.04

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Omvat het vastleggen van informatiebeveiligingsgerelateerde gebeurtenissen.

Objecttoelichting

Op de servers en besturingssystemen vinden automatische en handmatige activiteiten plaats. Vanuit beveiligingsoptiek is het van belang om deze activiteiten te registreren in logboeken en te controleren.

Logbestanden

Logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld.

Het verzamelen van bewijs om achteraf te kunnen beoordelen of er ongeoorloofde acties hebben plaatsgevonden op servers en besturingssystemen.

Ongeoorloofde acties op servers en besturingssystemen worden niet opgemerkt. Bij wel opmerken, is er geen bewijs voorhanden.

Control

Gedrag

BIO (Baseline Informatiebeveiliging Overheid): 12.4.1

300

26 oktober 2021 09:55:48

Logging

SVP_C.03

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft in bestanden vastgelegde beheeractiviteiten.

Objecttoelichting

Logging is het proces voor het registreren van technische activiteiten en gebeurtenissen. Hiermee kunnen achteraf fouten of onrechtmatigheden in het gebruik van waaronder ongeautoriseerde toegangspogingen tot technische componenten vroegtijdig worden gesignaleerd. Het loggen van activiteiten spitst zich toe tot de bewaking van rechtmatigheid van toegekende rechten en het gebruik hiervan.

Logbestanden

Activiteiten van systeembeheerders en -operators behoren te worden vastgelegd en de logbestanden behoren te worden beschermd en regelmatig te worden beoordeeld.

Achteraf kunnen fouten en/of onrechtmatigheden in het gebruik van waaronder ongeautoriseerde toegangspogingen tot technische componenten vroegtijdig worden gesignaleerd.

Schade door het niet opmerkingen van fouten en/of onrechtmatigheden in het gebruik van waaronder ongeautoriseerde toegangspogingen tot technische componenten.

Control

Gedrag

BIO (Baseline Informatiebeveiliging Overheid): 12.4.3

26 oktober 2021 09:51:47

Logbestanden beheerders

SVP_U.02

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft een set aan documenten met erkende afspraken, specificaties of criteria over configuraties en parametrisering van serverinstellingen.

Objecttoelichting

Standaarden voor de configuratie van servers representeren documenten waarin afspraken, specificaties of criteria zijn vastgelegd voor configuraties en parametrisering van serverinstellingen.

Standaarden

Het serverplatform is geconfigureerd volgens gedocumenteerde standaarden.

Dat een serverplatform correct werkt met de vereiste beveiligingsinstellingen, dat de configuratie niet wordt gewijzigd door ongeautoriseerden en het voorkomen van onjuiste wijzigingen.

De server is niet of onvoldoende geconfigureerd voor de functionaliteit binnen de IT-omgeving.

Uitvoering

Intentie

The Standard of Good Practice for Information Security 2018: SY1.2

26 oktober 2021 10:11:57

Standaarden voor serverconfiguratie

SVP_B.02

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft fundamentele uitgangspunten voor het veilig inrichten van een serverplatform.

Objecttoelichting

Bij het inrichten van een beveiligde server behoren beveiligingsprincipes in acht te worden genomen. In de standaard ISO 27002 2017 zijn twee principes expliciet genoemd: ‘security by design’ en ‘defence in depth’. In andere baselines (zoals de The Standard of Good Practice for Information Security 2018 (SoGP)) zijn verschillende andere van belang zijnde inrichtingsprincipes te vinden.

Principes

Principes voor het inrichten van beveiligde servers behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle verrichtingen betreffende het inrichten van servers.

Het zorgen dat servers betrouwbaar zijn gedurende alle inrichtingsverrichtingen van servers.

Bij de inrichting van servers zijn niet alle vereiste beveiligingsprincipes meegenomen.

Beleid

Intentie

BIO (Baseline Informatiebeveiliging Overheid): 14.2.5

26 oktober 2021 11:01:59

Inrichtingsprincipes voor serverplatform

SVP_B.01

Beveiligingsprincipe

2.1

Actueel

2 november 2021

25 oktober 2021

==Objectdefinitie==

Betreft het resultaat van een besluitvorming over het onderhouden van een serverplatform.

Objecttoelichting

De ISO 27002 2017 formuleert ‘beveiligd ontwikkelen’ in paragraaf 14.2.1 ‘Beleid voor beveiligd ontwikkelen’ als een eis voor het opbouwen van een beveiligde dienstverlening, software, systemen en architectuur.

In deze BIO Thema-uitwerking wordt bij het object ‘Beleid voor beveiligde inrichting en onderhoud’ inrichtings- en onderhoudsaspecten van serverplatform benadrukt. In het beleid worden onder andere standaarden en procedures beschreven voor het beveiligd inrichten en onderhouden van servers.

Regels

Voor het beveiligd inrichten en onderhouden van het serverplatform behoren regels te worden vastgesteld en binnen de organisatie te worden toegepast.

Het beheersen van de beveiligde inrichting en onderhoud van het serverplatform.

Onvoldoende mogelijkheden om sturing te geven aan de effectieve en betrouwbare inrichting van een serverplatform en hierover een verantwoordingsrapportage te laten afgeven.

Beleid

Intentie

BIO (Baseline Informatiebeveiliging Overheid): 14.2.1

300

2 november 2021 10:01:13

Beleid voor beveiligde inrichting en onderhoud

SVP_U.08

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft het veilig verwijderen of hergebruiken van serverapparatuur.

Objecttoelichting

Opslagmedia van apparatuur bevat vaak vertrouwelijke informatie. Wanneer servers buiten gebruik worden gesteld of opnieuw worden ingezet, moet deze informatie veilig verwijderd zijn of worden.

Opslagmedia, Geverifieerd

Alle onderdelen van servers die opslagmedia bevatten, behoren te worden geverifieerd om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven.

Het waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven.

Informatie met een vertrouwelijk karakter komt in handen van onbevoegden.

Uitvoering

Functie

BIO (Baseline Informatiebeveiliging Overheid): 11.2.7

26 oktober 2021 08:38:33

Verwijderen of hergebruiken serverapparatuur

SVP_U.10

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Betreft het instellen van systeemfuncties van een serverplatform.

Objecttoelichting

Serverplatforms hebben verschillende features en bieden een veelheid van functies om services te kunnen leveren. Om serverplatforms veilig te laten functioneren, behoort elk serverplatform conform bepaalde standaarden en procedures te zijn geconfigureerd.

Geconfigureerd, Ongeautoriseerd

Serverplatforms behoren zo geconfigureerd te zijn, dat zij functioneren zoals het vereist is en zijn beschermd tegen ongeautoriseerd en incorrecte updates.

Het veilig laten functioneren van serverplatforms.

Serverplatforms functioneren niet zoals vereist en zijn niet/onvoldoende beschermd tegen ongeautoriseerd en incorrecte updates.

Uitvoering

Gedrag

The Standard of Good Practice for Information Security 2018: SY1.2

300

26 oktober 2021 08:49:18

Serverconfiguratie

SVP_U.05

Beveiligingsprincipe

2.1

Actueel

25 november 2021

25 oktober 2021

==Objectdefinitie==

Betreft een besturingsproces voor het verwerven, testen en installeren van patches op een computersysteem.

Objecttoelichting

Patchmanagement is het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem. Een solide updatemechanisme is essentieel om voldoende beschermd te zijn tegen bekende beveiligingsproblemen in software.

De noodzaak van het patchen staat vaak niet ter discussie. Vaak ontstaat echter wel discussie over de urgentie waarmee patches moeten worden uitgevoerd. De ernst van de kwetsbaarheid bepaalt de noodzaak om de tijdsduur tussen het uitkomen van een patch en het implementeren van een patch zo kort mogelijk te houden. Daarom is het van belang vast te stellen welke doelstelling en prioriteit met patchmanagement worden nagestreefd. Het kan voorkomen dat systemen die niet meer ondersteund worden, (tijdelijk) operationeel gehouden moeten worden. In dat geval is het van belang om te weten welke systemen dat zijn en welke aanvullende maatregelen getroffen zijn om deze systemen voor het uitbuiten van kwetsbaarheden te behoeden, zodat inzicht bestaat over het al of niet uitvoeren van de patch op deze systemen.

Procesmatig, Procedureel, Richtlijnen

Patchmanagement is procesmatig en procedureel opgezet en wordt ondersteund door richtlijnen zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd.

Het zekerstellen dat kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd.

De stabiliteit en betrouwbaarheid van servers komt in gevaar.

Uitvoering

Functie

ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen: C.09

25 november 2021 15:55:44

Patchmanagement serverplatform

SVP_C.02

Beveiligingsprincipe

2.1

Actueel

26 oktober 2021

25 oktober 2021

==Objectdefinitie==

Omvat de evaluatie van de mate waarin de serveromgeving voldoet aan de vooraf gestelde technische eisen.

Objecttoelichting

Het is noodzakelijk om de technische omgeving regelmatig te beoordelen om de beveiliging doeltreffend te kunnen beheersen. Hiertoe dienen periodiek zowel de organisatorische als technische aspecten beoordeeld te worden, zoals: de toepassing van het geformuleerd inrichtingsbeleid voor servers, serverplatformarchitectuur, taken en verantwoordelijkheden, gebruik van technische middelen, frequentie, controle aanpak en inschakelen van externe specialisten. Als resultaat dient een rapportage van bevindingen aan het management te worden uitgebracht.

Naleving

Technische serveromgevingen behoren regelmatig te worden beoordeeld op naleving van de beleidsregels en normen van de organisatie voor servers en besturingssystemen.

Het vaststellen of de technische serveromgevingen voor servers en besturingssystemen afdoende zijn beveiligd.

Kwetsbaarheden in technische serveromgevingen voor servers en besturingssystemen worden niet opgemerkt.

Control

Functie

BIO (Baseline Informatiebeveiliging Overheid): 18.2.3

300

26 oktober 2021 09:46:54

Beoordeling technische serveromgeving

SVP_INL

Hoofdstuk normenkader

2.0

Actueel

2 november 2021

25 oktober 2021

Dit document bevat een referentiekader voor het thema Serverplatform. Het is geënt op de controls uit de Baseline Informatiebeveiliging Overheid (BIO), die gebaseerd is op de NEN-EN-ISO/IEC 27002: 2017 (hierna genoemd ISO 27002). Er wordt ook gebruik gemaakt van andere best practices zoals: The Standard of Good Practice for Information Security (SoGP) 2018 en van de National Institute of Standards and Technology (NIST).

Dit kader dient evenals andere BIO Thema-uitwerkingen als een toetsinstrument voor interne en externe leveranciers, om inzicht te geven over het beveiligings- en beheersingsniveau van haar ontwikkel- en onderhoudsorganisatie. Dit thema geeft tevens inzicht in de kwaliteitszorg die de leverancier dient toe te passen bij het opleveren van nieuwe infrastructuur.

Opzet BIO Thema-uitwerking

De BIO Thema-uitwerking Serverplatform wordt achtereenvolgens uitgewerkt langs twee onderdelen: structuur en objecten. De structuur van deze BIO Thema-uitwerkingdocument bestaat uit een indeling op basis van Beleid, Uitvoering en Control (BUC). De objecten vormen de inhoudelijke onderwerpen die in de vorm van controls en onderliggende maatregelen zullen worden behandeld. De objecten en de bijbehorende maatregelen worden gestructureerd met een (BUC-)lagenstructuur.

Deze thema-uitwerking volgt de standaard opzet voor BIO Thema-uitwerkingen:

scope en begrenzing van het thema (zie Scope en begrenzing serverplatform);
context van het thema (zie Context Serverplatform);
beveiligingsobjecten en uitwerking van deze objecten op de BUC-lagen (zie Vaststellen beveiligingsobjecten voor serverplatform);
globale relaties van de geïdentificeerd beveiligingsobjecten (zie Globale relaties tussen de geïdentificeerde beveiligingsobjecten).

Scope en begrenzing serverplatform

In deze BIO Thema-uitwerking is de scope van het begrip serverplatform beperkt tot de basisfunctionaliteit en algemene onderwerpen die gerelateerd zijn aan serverplatforms. Enkele componenten van dit thema zijn: server-hardware, virtualisatietechnologie en besturingssysteem. Organisaties zullen met deze informatie hun eigen servers in hun omgeving moeten beoordelen en nagaan welke risico’s aanvullend gemitigeerd moeten worden.

De thema-uitwerking beschrijft niet de kenmerken van specifieke typen servers, zoals: bestandserver, applicatieserver, webserver, mailserver of databaseserver.

De objecten voor serverplatform komen direct of indirect uit de BIO of andere best practices. Bijvoorbeeld de vertaling van de BIO-titel Beleid voor beveiligd ontwikkelen (zie Beleid voor beveiligde inrichting en onderhoud) naar het object voor serverplatforms wordt Beleid voor beveiligde inrichting en onderhoud. De BIO-titel Principes voor engineering van beveiligde systemen wordt het object Inrichtingsprincipes voor serverplatform (zie Inrichtingsprincipes voor serverplatform).

De begrenzing van dit document is in onderstaande afbeelding weergegeven.

Relatie BIO Thema-uitwerking met aanpalende documenten

Context serverplatform

Servers zijn computers, die via werkstations (clients), een of meerdere diensten aan eindgebruikers of aan andere computersystemen beschikbaar stellen. Voorbeelden van servers zijn: fileserver, database-server, mailserver, webserver en File Transfer Protocol (FTP)-server. Het kan ook gerelateerd zijn aan software die deze dienst mogelijk maakt: accepteert verzoeken van gebruikers en verwerkt deze. Aan een server hangt een of meerdere clients. Onderstaande afbeelding geeft een globale context van enkele typen servers en hoe ze in relatie staan met beleids- en beheersingsaspecten.

Context van het thema Serverplatform

Een externe gebruiker logt bijvoorbeeld aan op een webserver vanuit het internet. Dit type server geeft de relevante gebruikersgegevens door aan een portal-toegangsserver, die op zijn beurt applicatieve diensten vanuit backoffice-servers beschikbaar stelt. De onderste gebruiker in de afbeelding is een medewerker van een vertrouwde partij en zoekt via een semi-vertrouwd kanaal informatie op een webserver van de partnerorganisatie. De interne gebruiker logt aan op z’n werkstation via het lokale netwerk. In veel gevallen is er ook sprake van ‘middleware’, oftewel applicatiecode die bepaalde functies vervult tussen de gebruikersapplicatie en het besturingssysteem.

29 november 2021 14:04:40

BIO Thema Serverplatform - Inleiding

SVP_INL BS

Hoofdstuk normenkader

2.1

Actueel

26 oktober 2021

25 oktober 2021

Objecten worden geïdentificeerd met onderzoeksvragen en risicogebieden. De objecten zijn afgeleid vanuit de optiek van de kwaliteitscriteria: Beschikbaarheid, Integriteit, Vertrouwelijkheid en Controleerbaarheid (BIVC), die vervolgens zijn ingedeeld in drie domein: beleid, uitvoering en control.

De vragen die hierbij een rol spelen, zijn:

Welke randvoorwaardelijke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
Welke elementen spelen een rol bij de inrichting van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?
Welke elementen spelen een rol bij de beheersing van het serverplatform vanuit de optiek van BIVC en wat is de consequentie bij afwezigheid?

Onderstaande afbeelding geeft de positionering weer van servers binnen de lagenstructuur binnen het uitvoeringsdomein. Die functieblokken bevatten op hun beurt beveiligingsmaatregelen, die vanuit de normatiek geduid worden als beveiligingsobjecten.

Gelaagdheid serverplatform met enkele beveiligingsobjecten

Vaststellen beveiligingsobjecten voor serverplatform

De afbeeldingen uit het Beleidsdomein, Uitvoeringsdomein en Control-domein geven een overzicht van alle relevante beveiligingsobjecten voor het thema Serverplatform, afkomstig uit de Baseline Informatiebeveiliging Overheid (BIO) die gebaseerd is op de ISO 27002. De BIO volgt dezelfde hoofdstukindeling en controlteksten.

Uit de contextuele analyse blijkt dat er enkele onderwerpen bestaan die niet in de BIO voorkomen. Voor deze onderwerpen, waarvoor de BIO geen control heeft geformuleerd, worden controls uit andere baselines geadopteerd, zoals: SoGP, NIST en ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen van het Nationaal Cyber Security Centrum (NCSC).

Globale relaties tussen geïdentificeerde beveiligingsobjecten

Het thema Serverplatform omvat het geheel van beleid, richtlijnen, procedures, processen, mensen (actoren), middelen en registraties voor het betrouwbaar functioneren van serverplatforms die het fundament vormen voor informatiesystemen. De essentiële objecten voor serverplatforms worden ingedeeld naar de domeinen: beleid, uitvoering en control. Deze objecten worden in Beleidsdomein, Uitvoeringsdomein en Control-domein verder toegelicht en uitgewerkt. Moderne, gevirtualiseerde systeemomgevingen zien er mogelijk qua systeemtopologie geheel anders uit, maar de basiselementen die het fundament vormen voor informatiesystemen zijn niet anders.

Beleiddomein

Dit domein geeft de randvoorwaarden, conditionele aspecten en contraints waar de inrichting van het serverplatform aan moet voldoen.

Uitvoeringsdomein

De keuze van objecten uit de ISO 27002 voor het thema Serverplatform vloeit voort uit enkele uitgangspunten die gerelateerd zijn aan serverplatform:

Initiële installatie, De initiële installatie wordt uitgevoerd met richtlijnen en procedures, bijvoorbeeld: bedieningsprocedure (ISO 27002-terminologie).
Beveiligings- en beheerfuncties, De beveiligingsfunctie is gerelateerd aan protectiemechanismen die de beveiliging van de server moeten bevorderen, zoals malwareprotectie en hardenen van features. De beheerfunctie is gerelateerd aan enkele processen, zoals: server-onderhoud en beheer van kwetsbaarheden.
Feature-configuratie, Servers hebben verschillende features. Deze features moeten adequaat zijn geconfigureerd om het beveiligingsniveau te kunnen garanderen.
Structuur en ontwerp, De configuraties van servers en de koppelingen en relatie tussen verschillende servers moet in een ontwerpdocument worden vastgelegd.

Control-domein

Er zijn beoordelingsrichtlijnen vastgesteld voor het evalueren van de vastgestelde randvoorwaarden en de uitvoeringscomponenten.

26 oktober 2021 13:35:33

BIO Thema Serverplatform - Beveiligingsobjecten serverplatform

SVP_TOEL DOB

Hoofdstuk normenkader

1.0

Actueel

8 april 2021

1 februari 2019

.

Serverplatform, Definiëring/omschrijving van beveiligingsobjecten
ID	Relevante beveiligingsobjecten	Omschrijving
B.01	Beleid voor(beveiligd) onderhouden van serverplatforms	Het resultaat van de besluitvorming ten aanzien van het onderhoud van serverplatforms die het verantwoordelijk management van een organisatie heeft vastgelegd.
B.02	Principes serverplatform beveiliging	Principiële uitgangspunten voor het inrichten van serverplatforms, zoals: “Security by design” en “Defense in depth".
B.03	Serverplatform Architectuur	Raamwerk en/of blauwdrukken waarmee wordt aangegeven op welke wijze serverplatforms zijn ingericht, samenhangen, beveiligd en beheerst.
U.01	Bedieningsprocedure	Een reeks verbonden taken of activiteiten die noodzakelijk zijn voor het beheren van serverplatforms.
U.02	Standaarden voor configuratie servers	Documenten waarin afspraken zijn vastgelegd ten aanzien van configuraties en parametrisering serverinstellingen.
U.03	Malwareprotectie	Beschermingsmechanismen om servers te beschermen tegen schadelijke code en om schadelijke code te detecteren en te neutraliseren.
U.04	Beheer van server kwetsbaarheden	Proactieve beveiliging van servers door het verwerven van inzicht in de kwetsbaarheden en zwakheden in de software die op de server zijn geïnstalleerd.
U.05	Patch-management	Het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem.
U.06	Beheer op afstand	Het beheer van server door beheerders vanuit een niet-vertrouwde omgeving.
U.07	Onderhoud apparatuur	Het actualiseren van configuraties van een serverplatform binnen een tijdsinterval.
U.08	Veilig verwijderen of hergebruiken van apparatuur	Het opschonen van apparatuur en het veilig stellen van data op de apparatuur.
U.09	Hardenen van servers	Het proces van het uitschakelen of verwijderen van overbodige en/of niet gebruikte functies, services en accounts, waarmee de beveiliging wordt verbeterd.
U.10	Serverconfiguratie	Het conform de vereisten instellen van de verschillende features van serverplatforms.
U.11	Virtueel serverplatform	Het beschikbaar stellen van één of meer gescheiden ‘logische’ omgevingen op één fysieke server.
U.12	Beperking software installatie	Het stellen van regels voor het installeren op servers of serverplatforms.
U.13	Kloksynchronisatie	Het gelijkrichten van klokken op verschillende servers.
U.14	Ontwerpdocumentatie	Een document waarin de relatie tussen servers en de instellingen van configuraties zijn vastgelegd.
C.01	Evaluatierichtlijnen serverplatforms	Richtlijnen die evaluatie activiteiten van servers ondersteunen.
C.02	Beoordeling technische serveromgeving	Het proces van beoordelen op naleving van de beleidsregels en normen van de organisatie voor serverplatforms.
C.03	Logbestandenbeheerders	Het vastleggen van activiteiten van beheerders.
C.04	Registratiegebeurtenissen	Het proces van registreren van gebeurtenissen op een server vanuit beveiligingsoptiek.
C.05	Monitorenservers en besturingssystemen	Het proces van bewaken, reviewen, analyseren van vastgelegde gebeurtenissen en het rapporteren hierover.
C.06	Beheerorganisatieservers en besturingssystemen	De adequaat gepositioneerde organisatorische eenheid die verantwoordelijk is voor de beheersing van de serverplatforms.

8 april 2021 10:32:17

BIO Thema Serverplatform - Definiëring en omschrijving van beveiligingsobjecten

SVP_U.07.01

ISOR/totaaltabel

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objectoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Objecttoelichting

Opzet BIO Thema-uitwerking

Scope en begrenzing serverplatform

Context serverplatform

Vaststellen beveiligingsobjecten voor serverplatform

Globale relaties tussen geïdentificeerde beveiligingsobjecten

Beleiddomein

Uitvoeringsdomein

Control-domein

Considerans

Leeswijzer

Navigatiemenu

Zoeken