ISOR:BIO Thema Serverplatform Beleid: verschil tussen versies

Huidige versie van 25 okt 2021 om 10:16

Versie 2.0 van 5 maart 2021 van de BIO Thema-uitwerking Serverplatform is vervangen door versie 2.1 van 25 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Deze informatie is onderdeel van BIO Thema-uitwerking Serverplatform.

Normenkader-aspect
ID:	SVP_B
Versie:	2.1
Status:	Actueel
Publicatiedatum:	25-10-2021
Redactionele wijzigingsdatum:	25-10-2021
Indeling
Beveiligingsaspect:	Beleid
Invalshoek:

Meer lezen

→ BIO Thema-uitwerking Serverplatform

→ Alle normenkaders

→ Beveiligingsaspecten

→ Invalshoeken

→ ISOR (Information Security Object Repository)

Doelstelling[bewerken]

De doelstelling van het beleidsdomein is de conditionele elementen te identificeren die randvoorwaardelijk zijn voor het inrichten, beveiligen en beheersen van de serverplatforms. De hiervoor van belang zijnde beveiligingsobjecten en de daaraan gerelateerde maatregel zijn opgenomen.

Risico's[bewerken]

Als de juiste beleidsaspecten voor de inrichting en het onderhoud van het serverplatform ontbreken, bestaat de kans dat onvoldoende sturing wordt gegeven aan een veilige inrichting en exploitatie van deze systemen. Daardoor komt de informatievoorziening van de organisatie als geheel in gevaar en bestaat er een kans dat er datalekken optreden.

Objecten, controls en maatregelen

De onderwerpen die specifiek voor serverplatforms een rol spelen, zijn in onderstaande afbeelding vermeld. Binnen de kolom functies behoren objecten te worden opgenomen die voor serverplatforms gerelateerd zijn aan beveiligingsfuncties en beheerprocessen. Deze objecten hebben, in dit geval, echter meer een operationeel karakter. Daarom zijn functie-gerelateerde objecten in het uitvoeringsdomein opgenomen. De noodzakelijke beveiligingseisen voor functies op dit niveau zijn vermeld in B.01 Beleid voor beveiligde inrichting en onderhoud.

Binnen de gedragskolom zou een beleid voor configuratie, parametrisering en toegangsbeleid tot serverplatform opgenomen kunnen worden. Echter, dit soort beleidselementen komen, in dit geval, ook voor in B.01 Beleid voor beveiligde inrichting en onderhoud. Vandaar dat ook in deze kolom geen objecten zijn vermeld.

Overzicht objecten voor serverplatform in het beleidsdomein

Principes uit de BIO Thema Serverplatform binnen dit aspect[bewerken]

ID	Principe	Criterium
SVP_B.01	Beleid voor beveiligde inrichting en onderhoud	Voor het beveiligd inrichten en onderhouden van het serverplatform behoren regels te worden vastgesteld en binnen de organisatie te worden toegepast.
SVP_B.02	Inrichtingsprincipes voor serverplatform	Principes voor het inrichten van beveiligde servers behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle verrichtingen betreffende het inrichten van servers.
SVP_B.03	Serverplatform-architectuur	De functionele eisen, beveiligingseisen en architectuurvoorschriften van het serverplatform zijn in samenhang in een architectuurdocument vastgelegd.

Normen uit de BIO Thema Serverplatform binnen dit aspect[bewerken]

ID	Stelling	Norm
SVP_B.01.01	De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor het onderhouden van servers.	Gangbare principes rondom security by design zijn uitgangspunt voor het onderhouden van server
SVP_B.01.02	In het beleid voor beveiligd inrichten en onderhouden zijn de volgende aspecten in overweging genomen: het toepassen van richtlijnen/standaarden voor de configuratie van servers en besturingssystemen; het gebruik van hardeningsrichtlijnen; het toepassen van standaard images; het beperken van toegang tot krachtige faciliteiten en instellingen voor hostparameter; het beschermen tegen ongeautoriseerde toegang.	Overwegingen betreffende het beleid voor beveiligd inrichting en onderhoud
SVP_B.02.01	De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor het inrichten van servers.	Gangbare principes rondom Security by design zijn uitgangspunt voor het inrichten van servers
SVP_B.02.02	Voor het beveiligd inrichten van servers zijn de volgende beveiligingsprincipes van belang: defence in depth (beveiliging op verschillende lagen); secure by default; least privilege (minimaal toegangsniveau); fail secure, waarbij informatie door een systeemfout niet toegankelijk is voor onbevoegde personen en niet kan worden gemanipuleerd of gewijzigd; eenduidige naamgevingsconventie; minimalisatie van single points of failure.	Beveiligingsprincipes voor het beveiligd inrichten van servers
SVP_B.03.01	Van het in te richten serverplatform is een actueel architectuurdocument opgesteld. Dit document: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd; wordt actief onderhouden.	Eisen aan het architectuurdocument van het in te richten van het serverplatform
SVP_B.03.02	In het architectuurdocument is vastgelegd welke uitgangspunten, principes, beveiligingsvoorschriften, eisen en overwegingen gelden voor het inrichten van serverplatforms.	In het architectuurdocument voor servers platforms vastgelegde inrichtings eisen

@@ Regel 1: / Regel 1: @@
-{{#Element:
+{{#element:
 |Elementtype=Normenkader-aspect
-|ID=SERV_B
+|ID=SVP_B
 |Titel=Serverplatform Beleid
 |Kent element met zelfde titel=Nee
-|Versieaanduiding=1.0
+|Versieaanduiding=2.1
 |Status actualiteit=Actueel
-|Redactionele wijzigingsdatum=2019/02/01
+|Publicatiedatum=2021/10/25
-|Beschrijving=Binnen het Beleiddomein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Serverplatform beschreven en per object zijn conformiteitsindicatoren uitgewerkt. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen).
+|Redactionele wijzigingsdatum=2021/10/25
+|Beschrijving===Objecten, controls en maatregelen==
+De onderwerpen die specifiek voor serverplatforms een rol spelen, zijn in onderstaande afbeelding vermeld. Binnen de kolom functies behoren objecten te worden opgenomen die voor serverplatforms gerelateerd zijn aan beveiligingsfuncties en beheerprocessen. Deze objecten hebben, in dit geval, echter meer een operationeel karakter. Daarom zijn functie-gerelateerde objecten in het uitvoeringsdomein opgenomen. De noodzakelijke beveiligingseisen voor functies op dit niveau zijn vermeld in [[ISOR:Beleid voor beveiligde inrichting en onderhoud|B.01 Beleid voor beveiligde inrichting en onderhoud]].
-Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Serverplatform De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen.
-Binnen de kolom functies behoren objecten te worden opgenomen die ten aanzien van het Serverplatform gerelateerd zijn aan beveiligingsfuncties en beheerprocessen. Deze objecten hebben in dit geval echter meer een operationele karakter, daarom zijn functiegerelateerde objecten in het Uitvoeringsdomein opgenomen. De noodzakelijke beveiligingseisen t.a.v. functies op dit niveau zijn vermeld in het beleid voor ‘Serverplatform’ (B.01).
+Binnen de gedragskolom zou een beleid voor configuratie, parametrisering en toegangsbeleid tot serverplatform opgenomen kunnen worden. Echter, dit soort beleidselementen komen, in dit geval, ook voor in [[ISOR:Beleid voor beveiligde inrichting en onderhoud|B.01 Beleid voor beveiligde inrichting en onderhoud]]. Vandaar dat ook in deze kolom geen objecten zijn vermeld.
-Binnen de gedrag kolom zouden we een beleid ten aanzien van configuratie, parametrisering en toegangsbeleid tot serverplatform kunnen opnemen; dit soort beleidselementen komen echter in dit geval ook voor in het beleid voor ‘Serverplatform’ (B.01) en vandaar dat ook in deze kolom geen objecten zijn vermeld.
-[[Afbeelding:Thema Serverplatform - Onderwerpen die binnen het Beleiddomein een rol spelen.png|thumb|left|500px|Onderwerpen die binnen het Beleid domein een rol spelen|alt=”Onderwerpen die binnen het Beleid domein een rol spelen”]]
-{{:ISOR:Serverplatform - Voor het Beleiddomein uitgewerkte Beveiligingsobjecten}}
+[[Bestand:Thema Serverplatform - Onderwerpen die binnen het Beleiddomein een rol spelen.png|thumb|none|500px|Overzicht objecten voor serverplatform in het beleidsdomein|alt=”Onderwerpen die binnen het Beleid domein een rol spelen”]]
 |Doelstelling=De doelstelling van het beleidsdomein is de conditionele elementen te identificeren die randvoorwaardelijk zijn voor het inrichten, beveiligen en beheersen van de serverplatforms. De hiervoor van belang zijnde beveiligingsobjecten en de daaraan gerelateerde maatregel zijn opgenomen.
-|Risico=Als de juiste beleidsaspecten voor de inrichting en het onderhoud van het serverplatform ontbreken, bestaat het risico dat onvoldoende sturing wordt gegeven aan een veilige inrichting en exploitatie van de systemen die op dit serverplatform draaien. Daardoor komt de informatievoorziening van de organisatie als geheel in gevaar en bestaat er een grote kans op datalekken.
+|Risico=Als de juiste beleidsaspecten voor de inrichting en het onderhoud van het serverplatform ontbreken, bestaat de kans dat onvoldoende sturing wordt gegeven aan een veilige inrichting en exploitatie van deze systemen. Daardoor komt de informatievoorziening van de organisatie als geheel in gevaar en bestaat er een kans dat er datalekken optreden.
 |Beveiligingsaspect=Beleid
 |Px=300
 |Heeft bron=BIO Thema Serverplatform
 }}