BIO Thema-uitwerking Serverplatform

Versie 2.0 van 5 maart 2021 van de BIO Thema-uitwerking Serverplatform is vervangen door versie 2.1 van 25 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Normenkader
ID:	SVP
Versie:	2.1
Status:	Actueel

De BIO Thema-uitwerking Serverplatform, hierna genoemd normenkader, is opgesteld door Wiekram Tewarie (Uitvoeringsinstituut Werknemersverzekeringen (UWV)) en Jaap van der Veen (Centrum Informatiebeveiliging en Privacybescherming (CIP)). De opdrachtgever is de directeur CIP. Professionals uit het CIP-netwerk en het CIP-kernteam hebben versie 1.0 gereviewd. Het CIP-kernteam heeft versie 2.0 en 2.1 gereviewd. Zodoende valt dit normenkader in het regime ‘becommentarieerde praktijk’.

Considerans

CIP-producten steunen op kennis van professionals uit verschillende organisaties actief in het CIP-netwerk, zowel uit de overheid als de markt. Opmerkingen en aanvullingen kun je melden op cip-overheid.nl/contact.

Leeswijzer

Voorafgaand aan het beleidsdomein, uitvoeringsdomein en control-domein, de kern van dit thema, heeft elke BIO Thema-uitwerking een inleiding met een standaard hoofdstukindeling.

De volgende leeswijzer geldt voor dit normenkader:

Voor de aanduiding van personen wordt de mannelijke vorm aangehouden (hij/hem/zijn) ongeacht het geslacht.
De controls en maatregelen vermeld in deze thema-uitwerking zijn in het beleids-, uitvoerings- en control-domein georganiseerd, waarmee ze bij de overeenkomstige functionarissen kunnen worden geadresseerd. Deze functionarissen zijn niet benoemd omdat dit organisatie-afhankelijk is.
Van best practices (open standaarden al dan niet toegankelijk met een licentie) zijn de meest actuele versies afgekort vermeld, tenzij de actuele versie niet toereikend is.
Voor een overzicht van alle gebruikte best practices, afkortingen en begrippen en een generieke toelichting op de opzet van de thema-uitwerkingen, zie de Structuurwijzer BIO Thema-uitwerkingen.

Binnen dit normenkader

Inleidende teksten

BIO Thema Serverplatform - Inleiding (algemene inleiding)
Beveiligingsobjecten serverplatform (specifieke inleiding)

Relatie tussen principes en onderliggende normen

Een themaprincipe is een richtinggevende uitspraak binnen een bepaald thema, zoals beveiliging of privacy. Een themaprincipe is vaak nog vrij breed, maar valt uiteen in een aantal deelonderwerpen, die met trefwoorden zijn aangegeven: de conformiteitsindicatoren. Onder elk trefwoord valt een aantal normen, concrete aanbevelingen die je kunt uitvoeren om dat deel van het principe te realiseren. Conformeer je je aan alle normen, dan conformeer je je aan de indicator en uiteindelijk aan het principe.

Stel dat het thema Gezondheid onderdeel uitmaakte van de NORA. Dan zou een gezondheidsprincipe kunnen zijn: de volwassene eet gezond en in gepaste hoeveelheden. Logischerwijs valt dat uiteen in een aantal trefwoorden, de conformiteitsindicatoren: eet gezond en gepaste hoeveelheden. Iemand kan immers heel gezond eten naar binnen werken, maar veel te veel of juist te weinig. Of de juiste hoeveelheid calorieën binnenkrijgen uit eenzijdige voeding en zo toch niet gezond eten. In de praktijk heb je aan deze kernwoorden nog niets: je hebt normen nodig die uitwerken hoe je dit realiseert en meet. De normen die gepaste hoeveelheid concretiseren zouden bijvoorbeeld betrekking kunnen hebben op de afmeting van de volwassene, de hoeveelheid beweging en de calorische waarde van het eten.

Klik verder voor alle eigenschappen van themaprincipes, conformiteitsindicatoren en normen.

Indelingen binnen BIO Thema-uitwerking Serverplatform

Alle onderdelen van BIO Thema-uitwerking Serverplatform zijn ingedeeld volgens de SIVA-methodiek. Dat betekent dat alle principes en onderliggende normen zijn ingedeeld in één van drie beveiligingsaspecten: Beleid (B), Uitvoering (U) of Control (C). Binnen normenkaders die geheel volgens de SIVA-methodiek zijn opgesteld, herken je bovendien een tweede indeling, in de invalshoeken Intentie (I) of Functie (F) of Gedrag (G) of Structuur (S). Deze indeling heeft binnen SIVA tot doel om lacunes te ontdekken in de objectanalyse die leidt tot normen. Voor De Privacy Baseline en Grip op Secure Software Development geldt een uitzondering. Daar heeft de invalshoek geen rol gespeeld bij de samenstelling van het 'normenkader'.

De principes en onderliggende normen van BIO Thema-uitwerking Serverplatform zijn op basis hiervan in een aantal overzichten gezet:

Serverplatform Beleid

Serverplatform Uitvoering

Serverplatform Control

Principes uit BIO Thema-uitwerking Serverplatform

In deze tabel staan alle principes uit BIO Thema-uitwerking Serverplatform, met het unieke ID, Criterium en de conformiteitsindicatoren die verder zijn uitgewerkt in normen. Gebruik de pijltjes bovenaan de kolommen om de sortering aan te passen en klik op een principe om alle eigenschappen te zien en de onderliggende normen te bekijken. Deze tabellen zijn ook beschikbaar als csv-download (export alle beveiligingsaspecten / beleid / uitvoering / Control) en in uitgebreide versie met alle bestaande eigenschappen.

Beleid (principes)

export principes Beleid als csv

ID	Principe	Criterium
SVP_B.01	Beleid voor beveiligde inrichting en onderhoud	Voor het beveiligd inrichten en onderhouden van het serverplatform behoren regels te worden vastgesteld en binnen de organisatie te worden toegepast.
SVP_B.02	Inrichtingsprincipes voor serverplatform	Principes voor het inrichten van beveiligde servers behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle verrichtingen betreffende het inrichten van servers.
SVP_B.03	Serverplatform-architectuur	De functionele eisen, beveiligingseisen en architectuurvoorschriften van het serverplatform zijn in samenhang in een architectuurdocument vastgelegd.

Uitvoering (principes)

export principes Uitvoering als csv

ID	Principe	Criterium
SVP_U.01	Bedieningsprocedure	Bedieningsprocedures behoren te worden gedocumenteerd en beschikbaar te worden gesteld aan alle gebruikers die ze nodig hebben.
SVP_U.02	Standaarden voor serverconfiguratie	Het serverplatform is geconfigureerd volgens gedocumenteerde standaarden.
SVP_U.03	Malwareprotectie serverplatform	Ter bescherming tegen malware behoren beheersmaatregelen voor preventie, detectie en herstel te worden geïmplementeerd, in combinatie met het stimuleren van een passend bewustzijn van gebruikers.
SVP_U.04	Technische kwetsbaarhedenbeheer serverplatform	Informatie over technische serverkwetsbaarheden behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden dient te worden geëvalueerd en passende maatregelen moeten worden genomen om het risico dat ermee samenhangt aan te pakken.
SVP_U.05	Patchmanagement serverplatform	Patchmanagement is procesmatig en procedureel opgezet en wordt ondersteund door richtlijnen zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd.
SVP_U.06	Beheer op afstand	Richtlijnen en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van beheer op afstand van servers.
SVP_U.07	Server-onderhoud	Servers behoren correct te worden onderhouden om de continue beschikbaarheid en integriteit te waarborgen.
SVP_U.08	Verwijderen of hergebruiken serverapparatuur	Alle onderdelen van servers die opslagmedia bevatten, behoren te worden geverifieerd om te waarborgen dat gevoelige gegevens en in licentie gegeven software voorafgaand aan verwijdering of hergebruik zijn verwijderd of betrouwbaar veilig zijn overschreven.
SVP_U.09	Hardenen server	Voor het beveiligen van een server worden overbodige functies en ongeoorloofde toegang uitgeschakeld.
SVP_U.10	Serverconfiguratie	Serverplatforms behoren zo geconfigureerd te zijn, dat zij functioneren zoals het vereist is en zijn beschermd tegen ongeautoriseerd en incorrecte updates.
SVP_U.11	Virtualisatie serverplatform	Virtuele servers behoren goedgekeurd te zijn en toegepast te worden op robuuste en veilige fysieke servers (bestaande uit hypervisors en virtuele servers) en behoren zodanig te zijn geconfigureerd dat gevoelige informatie in voldoende mate is beveiligd.
SVP_U.12	Beperking software-installatie serverplatform	Er behoren procedures en maatregelen te worden geïmplementeerd om het installeren van software op operationele systemen op beveiligde wijze te beheren.
SVP_U.13	Kloksynchronisatie	De klokken van alle informatieverwerkende systemen binnen een organisatie of beveiligingsdomein behoren te worden gedocumenteerd en gesynchroniseerd met goedgekeurde referentietijdbronnen.
SVP_U.14	Ontwerpdocument	Het ontwerp van een serverplatform behoort te zijn gedocumenteerd.

Control (principes)

export principes Control als csv

ID	Principe	Criterium
SVP_C.01	Richtlijn evaluatie ontwikkelactiviteiten	Richtlijnen behoren te worden vastgesteld om de implementatie en beveiliging van servers en besturingssystemen te controleren waarbij de bevindingen tijdig aan het management worden gerapporteerd.
SVP_C.02	Beoordeling technische serveromgeving	Technische serveromgevingen behoren regelmatig te worden beoordeeld op naleving van de beleidsregels en normen van de organisatie voor servers en besturingssystemen.
SVP_C.03	Logbestanden beheerders	Activiteiten van systeembeheerders en -operators behoren te worden vastgelegd en de logbestanden behoren te worden beschermd en regelmatig te worden beoordeeld.
SVP_C.04	Logging	Er behoren logbestanden waarin activiteiten, uitzonderingen, fouten en andere relevante gebeurtenissen worden geregistreerd, te worden geproduceerd, opgeslagen, beschermd en geanalyseerd.
SVP_C.05	Monitoring	De organisatie analyseert regelmatig de logbestanden om onjuist gebruik en verdachte activiteiten op servers en besturingssystemen vast te stellen en bevindingen aan het management te rapporteren.
SVP_C.06	Beheersorganisatie servers en serverplatforms	Binnen de beheerorganisatie is een beveiligingsfunctionaris benoemd die de organisatie ondersteunt in de vorm van het bewaken van beveiligingsbeleid en die inzicht verschaft in de inrichting van de servers en het serverplatform.

Onderliggende normen

ℹ️Toon uitleg relaties themaprincipe, conformiteitindicator en norm

Een themaprincipe is een richtinggevende uitspraak binnen een bepaald thema, zoals beveiliging of privacy. Een themaprincipe is vaak nog vrij breed, maar valt uiteen in een aantal deelonderwerpen, die met trefwoorden zijn aangegeven: de conformiteitsindicatoren. Onder elk trefwoord valt een aantal normen, concrete aanbevelingen die je kunt uitvoeren om dat deel van het principe te realiseren. Conformeer je je aan alle normen, dan conformeer je je aan de indicator en uiteindelijk aan het principe.

Stel dat het thema Gezondheid onderdeel uitmaakte van de NORA. Dan zou een gezondheidsprincipe kunnen zijn: de volwassene eet gezond en in gepaste hoeveelheden. Logischerwijs valt dat uiteen in een aantal trefwoorden, de conformiteitsindicatoren: eet gezond en gepaste hoeveelheden. Iemand kan immers heel gezond eten naar binnen werken, maar veel te veel of juist te weinig. Of de juiste hoeveelheid calorieën binnenkrijgen uit eenzijdige voeding en zo toch niet gezond eten. In de praktijk heb je aan deze kernwoorden nog niets: je hebt normen nodig die uitwerken hoe je dit realiseert en meet. De normen die gepaste hoeveelheid concretiseren zouden bijvoorbeeld betrekking kunnen hebben op de afmeting van de volwassene, de hoeveelheid beweging en de calorische waarde van het eten.

Klik verder voor alle eigenschappen van themaprincipes, conformiteitsindicatoren en normen.

In deze tabel staan alle normen uit BIO Thema-uitwerking Serverplatform. Van links tot rechts zie je het unieke ID van de norm, welke conformiteitsindicator van het bovenliggende principe de norm realiseert, de tekst van de norm en een link naar de aparte pagina van die norm. Gebruik de pijltjes bovenaan de kolommen om de sortering aan te passen en klik op een principe om alle eigenschappen te zien en de onderliggende normen te bekijken. Deze tabel is ook beschikbaar als csv-export normen en in uitgebreide tabel.

Beleid (normen)

export normen Beleid als csv

ID	trefwoord	Stelling	Norm
SVP_B.01.01	Regels	De gangbare principes rondom ‘security by design’ zijn uitgangspunt voor het onderhouden van servers.	Gangbare principes rondom security by design zijn uitgangspunt voor het onderhouden van server
SVP_B.01.02	Regels	In het beleid voor beveiligd inrichten en onderhouden zijn de volgende aspecten in overweging genomen: het toepassen van richtlijnen/standaarden voor de configuratie van servers en besturingssystemen; het gebruik van hardeningsrichtlijnen; het toepassen van standaard images; het beperken van toegang tot krachtige faciliteiten en instellingen voor hostparameter; het beschermen tegen ongeautoriseerde toegang.	Overwegingen betreffende het beleid voor beveiligd inrichting en onderhoud
SVP_B.02.01	Principes	De gangbare principes rondom ‘security by design’ en ‘secure by default’ zijn uitgangspunt voor het inrichten van servers.	Gangbare principes rondom Security by design zijn uitgangspunt voor het inrichten van servers
SVP_B.02.02	Principes	Voor het beveiligd inrichten van servers zijn de volgende beveiligingsprincipes van belang: defence in depth (beveiliging op verschillende lagen); secure by default; least privilege (minimaal toegangsniveau); fail secure, waarbij informatie door een systeemfout niet toegankelijk is voor onbevoegde personen en niet kan worden gemanipuleerd of gewijzigd; eenduidige naamgevingsconventie; minimalisatie van single points of failure.	Beveiligingsprincipes voor het beveiligd inrichten van servers
SVP_B.03.01	Architectuurdocument	Van het in te richten serverplatform is een actueel architectuurdocument opgesteld. Dit document: heeft een eigenaar; is voorzien van een datum en versienummer; bevat een documenthistorie (wat is wanneer en door wie aangepast); is actueel, juist en volledig; is door het juiste (organisatorische) niveau vastgesteld/geaccordeerd; wordt actief onderhouden.	Eisen aan het architectuurdocument van het in te richten van het serverplatform
SVP_B.03.02	Architectuurdocument	In het architectuurdocument is vastgelegd welke uitgangspunten, principes, beveiligingsvoorschriften, eisen en overwegingen gelden voor het inrichten van serverplatforms.	In het architectuurdocument voor servers platforms vastgelegde inrichtings eisen

Uitvoering (normen)

export normen Uitvoering als csv

ID	trefwoord	Stelling	Norm
SVP_U.01.01	Bedieningsprocedures	Voor bedieningsactiviteiten die samenhangen met informatieverwerking en communicatiefaciliteiten, zoals de procedures voor het starten en afsluiten van de computer, back-up, onderhoud van apparatuur, zijn gedocumenteerde procedures opgesteld.	Gedocumenteerde procedures voor bedieningsactiviteiten
SVP_U.01.02	Bedieningsprocedures	Gedocumenteerde bedieningsprocedures behoren te worden beoordeeld en zo nodig bijgewerkt. Wijzigingen in gedocumenteerde bedieningsprocedures voor systeemactiviteiten worden formeel door het hoger management goedgekeurd.	Formele goedkeuring vereist voor wijzigingen aan bedieningsprocedures voor systeemactiviteiten
SVP_U.01.03	Bedieningsprocedures	In de bedieningsprocedures zijn de bedieningsvoorschriften opgenomen, onder andere voor: verantwoordelijke personen en rollen; beveiligde installatie en configuratie van systemen; verwerking en behandeling van informatie (geautomatiseerd en handmatig); back-up en herstel; planning en onderlinge afhankelijkheden met andere systemen; omgang met fouten en uitzonderlijke omstandigheden; ondersteunings- en escalatiecontacten (inclusief externe partijen); behandeling van opslagmedia; herstart- en herstelprocedures bij storingen; beheer van audit- en logbestanden; monitoring van capaciteit, prestaties en beveiliging; onderhoudsinstructies.	In de bedieningsprocedures opgenomen bedieningsvoorschriften
SVP_U.02.01	Standaarden	De documentatie conform de standaarden omvat: het bieden van gestandaardiseerde firmwareconfiguraties; het gebruik van gestandaardiseerde en vooraf bepaalde server-images voor het bouwen/configureren van servers; het wijzigen van de standaardwaarden van leveranciers- en andere beveiligingsparameters; het uitschakelen of beperken van onnodige functies en services; het beperken van de toegang tot krachtige beheerhulpmiddelen en hostparameter-instellingen (bijvoorbeeld Windows 'Register-editor'); het beschermen tegen ongeoorloofde toegang; het uitvoeren van standaard beveiligingsbeheerpraktijken.	Eisen aan de "gedocumenteerde standaarden"
SVP_U.03.01	Preventie	Het gebruik van niet-geautoriseerde software is formeel verboden in het informatiebeveiligingsbeleid. Er zijn regels en technische maatregelen om ongeautoriseerd gebruik te voorkomen of te detecteren.	In beleid vastgelegd formeel verbod op het ongeautoriseerde gebruik van software
SVP_U.03.02	Preventie	Er zijn maatregelen om toegang tot bekende of verdachte kwaadaardige websites te blokkeren of te detecteren (bijv. blocklisting, web filtering).	Gebruikers zijn voorgelicht over risico’s van surfgedrag en klikken op onbekende links
SVP_U.03.03	Preventie	Gebruikers worden geïnformeerd en getraind over risico's van surfgedrag, klikken op onbekende links, downloads en bijlagen.	Het downloaden van bestanden is beheerst en beperkt
SVP_U.03.04	Preventie	Het downloaden van bestanden en software van externe bronnen is beperkt en gebaseerd op risicoanalyse en het principe 'need-to-use'. De antimalware-software beoordeelt altijd alle downloads.	Servers zijn voorzien van up-to-date anti-malware
SVP_U.03.05	Detectie	Anti-malwaresoftware is geïnstalleerd en up-to-date op alle relevante systemen (servers, endpoints, mail- en webgateways). Reguliere scans worden uitgevoerd op alle binnenkomende data, downloads, bijlagen en webcontent voorafgaand aan executie of opslag.	Voor de bescherming tegen malware zijn procedures beschreven en verantwoordelijkheden benoemd
SVP_U.03.06	Detectie	Anti-malware- en herstelsoftware wordt periodiek geüpdatet en ondersteund door actuele dreigingsinformatie uit betrouwbare bronnen.	Servers en hiervoor gebruikte media worden routinematig gescand op malware
SVP_U.03.07	Herstel	Er is een procedure voor tijdelijke of permanente uitzonderingen op malwarebescherming, inclusief autorisatie, documentatie, onderbouwing en evaluatiedatum.	De malware scan wordt op alle omgevingen uitgevoerd
SVP_U.03.08	Herstel	Er zijn bedrijfscontinuïteitsplannen voorbereid voor herstel na malware-incidenten, inclusief back-up- en herstelprocedures voor data en software.	De anti-malware software wordt regelmatig geüpdate
SVP_U.04.01	Technische serverkwetsbaarheden	Er is een beheersproces voor technische kwetsbaarheden vastgesteld, inclusief rollen, verantwoordelijkheden, middelen en een tijdsbestek voor reactie op kwetsbaarheidsmeldingen.	Eisen aan het installeren van patches en tussentijdse mitigerende maatregelen
SVP_U.04.02	Technische serverkwetsbaarheden	Bij hoge kans op misbruik én hoge verwachte schade (volgens NCSC-Inschalingsmatrix ) worden mitigerende maatregelen zo snel mogelijk, maar uiterlijk binnen 1 week getroffen.	Informatie-eisen voor het uitvoeren van een doeltreffende kwetsbaarhedenanalyse
SVP_U.04.03	Technische serverkwetsbaarheden	Op basis van een expliciete risicoafweging wordt bepaald op welke wijze (patchen, tijdelijke mitigerende maatregelen, compenserende controles) kwetsbaarheden worden aangepakt. Als installatie binnen een week niet mogelijk is, worden op basis van een expliciete risicoafweging mitigerende maatregelen getroffen.	Verantwoordelijkheden, rollen en middelen om technische kwetsbaarheden beheren
SVP_U.04.04	Technische serverkwetsbaarheden	Informatiesystemen (met name internetfacing) worden waar mogelijk continu of minimaal jaarlijks getest op zwakheden en kwetsbaarheden (kwetsbaarheidsanalyse, penetratietesten, red teaming), om de technische naleving van beveiligingsnormen en risico's van de feitelijke veiligheid te waarborgen.	De activiteiten zijn afgestemd op het incident
SVP_U.04.05	Technische serverkwetsbaarheden	Bij nieuwe releases of major updates van internetfacing systemen wordt waar mogelijk een geautomatiseerde penetratietest uitgevoerd. Bij kritieke bevindingen die niet anders gemitigeerd kunnen worden, mag het systeem niet in productie.	Het kwetsbaarheden beheerproces
SVP_U.04.06	Geëvalueerd	Het kwetsbaarhedenbeheersproces wordt periodiek gemonitord en geëvalueerd. Wijzigingen aan patches en mitigerende maatregelen worden getest en geautoriseerd via het wijzigingsbeheerproces.	Het kwetsbaarheden beheerproces wordt regelmatig gemonitord en geëvalueerd
SVP_U.05.01	Procesmatig	Het patchmanagementproces is beschreven, goedgekeurd door het management en toegekend aan een verantwoordelijke functionaris.	Patchmanagement is beschreven, goedgekeurd en toegekend
SVP_U.05.02	Procesmatig	Een technisch mechanisme zorgt voor (semi-)automatische updates.	Een technisch mechanisme zorgt voor (semi-)automatische updates
SVP_U.05.03	Procesmatig	Configuratiebeheer geeft het inzicht waarmee servers worden gepatcht.	Op basis van inzicht vanuit configuratiebeheer worden de servers gepatcht
SVP_U.05.04	Procesmatig	Het patchbeheerproces bevat methoden om: Alleen patches van legitieme en geautoriseerde bronnen worden gebruikt en toegepast; Patches in overeenstemming met het wijzigingsbeheerproces worden geïnstalleerd. Bij hoge urgentie wordt het wijzigingsproces gevolgd of (indien nodig) de incidentresponsprocedure; Voor systemen waar automatische updates beschikbaar zijn, wordt bewust besloten of deze functionaliteit wordt ingeschakeld; Van alle patchactiviteiten (inclusief testresultaten, implementatiedatum en status) wordt een auditbare registratie bijgehouden.	Eisen aan het Patchmanagement
SVP_U.05.05	Procedureel	De patchmanagementprocedure is actueel en beschikbaar.	De Patchmanagement procedure is actueel en beschikbaar
SVP_U.05.06	Procedureel	De rollen en verantwoordelijkheden voor patchmanagement zijn vastgesteld.	De rollen en verantwoordelijkheden voor Patchmanagement zijn vastgesteld
SVP_U.05.07	Procedureel	De volgende aspecten van een patch worden geregistreerd: de beschikbare patches; hun relevantie voor de systemen/bestanden; het besluit tot wel/niet uitvoeren; de testdatum en het resultaat van de patchtest; de datum van implementatie; het patchresultaat.	Registratie van de aspecten van een patch
SVP_U.05.08	Richtlijnen	Ter ondersteuning van de patchactiviteiten is op het juiste (organisatorische) niveau een opgestelde patchrichtlijn vastgesteld en geaccordeerd.	Een patchrichtlijn is opgesteld, vastgesteld en geaccordeerd.
SVP_U.05.09	Richtlijnen	Alleen beschikbare patches van een legitieme (geautoriseerde) bron mogen worden geïmplementeerd.	Alleen beschikbare patches van een legitieme (geautoriseerde) bron worden geïmplementeerd
SVP_U.05.10	Richtlijnen	Patches worden getest en geëvalueerd voordat ze in productie worden geïnstalleerd, waarbij de risico’s van de kwetsbaarheid worden afgewogen tegen de risico’s van de patch zelf.	De risico’s verbonden aan het installeren van de patch worden beoordeeld
SVP_U.05.11	Richtlijnen	Wanneer een patch niet beschikbaar of niet toepasbaar is, worden passende alternatieve maatregelen overwogen en gedocumenteerd (bijv. tijdelijke compenserende controles).	Wanneer een niet patch beschikbaar is, worden andere beheersmaatregelen overwogen
SVP_U.06.01	Richtlijnen	Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd door: het definiëren en overeenkomen van de doelstellingen en reikwijdte van de geplande werkzaamheden; het autoriseren van individuele sessies; het beperken van toegangsrechten (binnen doelstellingen en reikwijdte); het loggen van alle ondernomen activiteiten; het gebruiken van unieke authenticatiereferenties voor elke implementatie; het toewijzen van toegangsreferenties aan individuen in plaats van gedeeld; het intrekken van toegangsrechten en het wijzigen van wachtwoorden onmiddellijk nadat het overeengekomen onderhoud is voltooid; het uitvoeren van een onafhankelijke beoordeling van onderhoudsactiviteiten op afstand.	Toegang tot kritieke systemen voor beheer op afstand door externe personen wordt beheerd
SVP_U.06.02	Richtlijnen	Het op afstand onderhouden van servers wordt strikt beheerd door: het verifiëren van de bron van de verbinding op afstand; het bepalen van de toestemming voordat toegang wordt verleend voor de connectiviteit; het beperken van het aantal gelijktijdige externe verbindingen; het bewaken van activiteiten gedurende de gehele duur van de verbinding; het uitschakelen van de verbinding zodra de geautoriseerde activiteit voltooid is.	Het op afstand onderhouden van servers wordt strikt beheerd
SVP_U.06.03	Richtlijnen	Het serverplatform is zodanig ingericht, dat dit op afstand kan worden geconfigureerd en beheerd en dat automatisch kan worden gecontroleerd of vooraf gedefinieerde parameters en drempelwaarden worden aangetast of overschreden.	Het serverplatform is zodanig ingericht, dat deze op afstand wordt geconfigureerd en beheerd
SVP_U.06.04	Richtlijnen	Handmatige interventie wordt niet toegepast, tenzij geautoriseerd en gedocumenteerd.	Handmatige interventie wordt niet toegepast, tenzij geautoriseerd en gedocumenteerd
SVP_U.06.05	Richtlijnen	Alle externe toegang tot servers vindt versleuteld plaats.	Alle externe toegang tot servers vindt versleuteld plaats
SVP_U.07.01	Onderhouden	Het onderhoud van servers wordt uitgevoerd met richtlijnen die invulling geven aan de volgende eisen: Apparatuur wordt in overeenstemming met de door de leverancier aanbevolen frequentie voor servicebeurten en voorschriften onderhouden; Reparaties en onderhoudsbeurten aan apparatuur worden alleen uitgevoerd door bevoegd onderhoudspersoneel, waarbij toezicht wordt gehouden op onderhoudspersoneel tijdens het uitvoeren van onderhoud ter plaatse; Passende beheersmaatregelen worden geïmplementeerd wanneer onderhoud van apparatuur is gepland, rekening houdend met of dit onderhoud wordt uitgevoerd door personeel ter plaatse of door extern personeel, waarbij het onderhoudspersoneel gehouden is aan een passende geheimhoudingsovereenkomst. De toegang voor onderhoud op afstand wordt op basis van autorisaties toegestaan en beveiligd; Voordat apparatuur na onderhoud weer in bedrijf wordt gesteld, wordt een inspectie uitgevoerd om te waarborgen dat niet met de apparatuur geknoeid is en dat deze naar behoren functioneert.	Het onderhoud van servers wordt uitgevoerd op basis van richtlijnen
SVP_U.08.01	Opslagmedia	Van de server(s): wordt informatie die niet meer nodig is, vernietigd door verwijderen of overschrijven, gebruikmakend van technieken die het onmogelijk maken de oorspronkelijke informatie terug te halen; worden opslagmedia die niet meer nodig zijn en die vertrouwelijke of door auteursrecht beschermde informatie bevatten fysiek vernietigd.	Niet meer benodigde opslagmedia en informatie van servers worden vernietigd
SVP_U.08.02	Geverifieerd	Voorafgaand aan verwijdering of hergebruik van servers wordt gecontroleerd of de server opslagmedia bevat en of de informatie is vernietigd.	Gecontroleerd wordt of te verwijderen servers nog opslagmedia en/of informatie is bevat
SVP_U.09.01	Functies	Een servers is zodanig geconfigureerd dat onderstaande functies zijn verwijderd of uitgeschakeld: niet-essentiële en overbodige (redundant) services; het kunnen uitvoeren van gevoelige transacties en scripts; krachtige beheer-hulpmiddelen; het ‘run’-commando en ‘command’-processors; de ‘auto-run’-functie.	Servers zijn zodanig geconfigureerd dat bepaalde functies zijn verwijderd of uitgeschakeld
SVP_U.09.02	Functies	Een servers is zodanig geconfigureerd dat gebruik van onderstaande functies wordt beperkt: communicatiediensten die inherent vatbaar zijn voor misbruik; communicatieprotocollen die gevoelig zijn voor misbruik.	Servers zijn zodanig geconfigureerd dat gebruik van bepaalde functies wordt beperkt
SVP_U.09.03	Toegang	Servers worden beschermd tegen ongeoorloofde toegang doordat: onnodige of onveilige gebruikersaccounts zijn verwijderd; belangrijke beveiliging gerelateerde parameters zijn gewijzigd; time-out faciliteiten worden gebruikt, die: automatisch na een vooraf bepaalde periode van inactiviteit sessies sluiten en een blanco scherm tonen op de beheerschermen; vereisen dat opnieuw wordt ingelogd voordat een beheerscherm zich herstelt.	Servers worden beschermd tegen ongeoorloofde toegang
SVP_U.10.01	Geconfigureerd	De servers zijn geconfigureerd volgens gedocumenteerde standaarden/procedures die betrekking hebben op: het inrichten van standaard firmware-configuraties; het gebruik van gestandaardiseerde vooraf bepaalde serverimages voor het bouwen/configureren van servers; het wijzigen van de standaardwaarden en andere beveiligingsparameters van de leverancier(s); het verwijderen, uitschakelen en/of beperken van onnodige functies en services; het beperken van de toegang tot krachtige beheerhulpmiddelen en host-parameterinstellingen; het beschermen tegen ongeoorloofde toegang; het uitvoeren van standaard beveiligingsbeheerpraktijken.	De Servers zijn geconfigureerd in overeenstemming met gedocumenteerde standaarden/procedures
SVP_U.10.02	Geconfigureerd	De servers zijn geconfigureerd volgens een gestandaardiseerde en vooraf bepaald serverimage.	De servers zijn geconfigureerd conform een gestandaardiseerde serverimage
SVP_U.10.03	Ongeautoriseerd	Toegang tot serverparameterinstellingen en krachtige beheerinstrumenten zijn: beperkt tot een gelimiteerd aantal geautoriseerde personen; beperkt tot specifiek omschreven situaties; gekoppeld aan specifieke en gespecificeerde autorisatie.	Toegang tot serverparameter en krachtige beheerinstrumenten is beperkt
SVP_U.11.01	Fysieke servers	Fysieke servers die worden gebruikt om virtuele servers te hosten, worden beschermd tegen: onbeheerde en ad hoc-inzet van virtuele servers (zonder juiste procedures aanvraag, creëren en schonen); overbelasting van resources ((CPU), geheugen en harde schijf) door het stellen van een limiet voor het aanmaken van het aantal virtuele servers op een fysieke host server.	Fysieke servers worden gebruikt om virtuele servers te hosten en worden beschermd
SVP_U.11.02	Hypervisors	Hypervisors worden geconfigureerd om: virtuele servers onderling (logisch) te scheiden met vertrouwelijkheidseisen en om te voorkomen dat informatie wordt uitgewisseld tussen discrete omgevingen; de communicatie tussen virtuele servers te coderen; de toegang te beperken tot een beperkt aantal geautoriseerde personen; de rollen van hypervisoradministrators te scheiden.	Hypervisors worden geconfigureerd
SVP_U.11.03	Virtuele servers	Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures, die de bescherming omvat van: fysieke servers die worden gebruikt voor het hosten van virtuele servers; hypervisors die zijn geassocieerd met virtuele servers; virtuele servers die op een fysieke server worden uitgevoerd.	Virtuele servers worden ingezet, geconfigureerd en onderhouden conform standaarden en procedures
SVP_U.11.04	Virtuele servers	Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors, waaronder: het toepassen van standaard beveiligingsrichtlijnen voor fysieke en logische toegang; het hardenen van de fysieke en virtuele servers; het wijzigingsbeheer en de malwareprotectie; het toepassen van monitoring en van netwerk gebaseerde beveiliging.	Virtuele servers worden beschermd met standaard beveiligingsmechanismen op hypervisors
SVP_U.12.01	Regels	Installatie en updates op operationele systemen mogen alleen door opgeleide beheerders met passende rechten worden uitgevoerd. Gebruikers mogen geen niet-geautoriseerde software installeren.	Op de werkomgeving kan niets zelf worden geïnstalleerd, anders dan via de ICT-leverancier wordt aangeboden of toegestaan
SVP_U.12.02	Regels	Uitsluitend goedgekeurde uitvoerbare code mag worden geïnstalleerd. Ontwikkelcode, compilers en andere ontwikkelhulpmiddelen zijn uitgesloten.	De organisatie past een strikt beleid toe ten aanzien van het installeren en gebruiken van software.
SVP_U.12.03	Regels	Software wordt pas geïnstalleerd of geüpdatet na uitgebreide en geslaagde tests. Bijbehorende programmabronbibliotheken worden meegeüpdatet. Een roll-backstrategie wordt vooraf gedefinieerd.	Het principe van least-privilege wordt toegepast
SVP_U.12.04	Regels	Een configuratiebeheersysteem beheert operationele software en documentatie. Van alle wijzigingen wordt een auditlog bijgehouden. Oude versies worden gearchiveerd zolang nodig voor gegevensherstel.	De rechten van beheerders worden verleend op basis van rollen
SVP_U.13.01	Gedocumenteerd	De interne en externe eisen voor weergave, synchronisatie en nauwkeurigheid van tijdsinstellingen, alsmede de aanpak voor het verkrijgen van een referentietijd van een externe bron, alsook de wijze waarop interne klokken betrouwbaar worden gesynchroniseerd, zijn gedocumenteerd.	De systemen zijn met een standaard referentietijd voor gebruik geconfigureerd
SVP_U.13.02	Gesynchroniseerd	De systemen zijn met een standaard referentietijd geconfigureerd, waarbij gebruik wordt gemaakt van een consistente en vertrouwde datum- en tijdbron, zodat gebeurtenislogboeken nauwkeurige tijdstempels gebruiken.	De interne en externe eisen voor weergave, synchronisatie en nauwkeurigheid van tijd zijn gedocumenteerd.
SVP_U.14.01	Ontwerp	Het ontwerp van elk serverplatform en elke server is gedocumenteerd, waarbij onder andere is beschreven hoe rekening gehouden is met: de principes van de beveiligingsarchitectuur en beveiligingsvereisten; de risico’s van voorzienbare ontwikkelingen in het gebruik van IT door de organisatie.	Het ontwerp van elk serverplatform en elke server is gedocumenteerd

Control (normen)

export normen Control als csv

ID	trefwoord	Stelling	Norm
SVP_C.01.01	Richtlijnen	De organisatie beschikt over richtlijnen voor het beoordelen van de technische omgeving van servers en besturingssystemen.	Richtlijnen voor het beoordelen van de technische omgeving van servers en besturingssystemen
SVP_C.01.02	Richtlijnen	De organisatie beschikt over geautomatiseerde middelen voor effectieve ondersteuning van de controle-activiteiten.	De organisatie beschikt over geautomatiseerde middelen voor effectieve ondersteuning van de controle activiteiten
SVP_C.01.03	Richtlijnen	De organisatie beschikt over richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie.	Richtlijnen voor het uitvoeren van registratie, statusmeting, analyse, rapportage en evaluatie
SVP_C.01.04	Richtlijnen	De organisatie heeft de taken, verantwoordelijkheden en bevoegdheden van controle-functionarissen vastgelegd.	De taken, verantwoordelijkheden en bevoegdheden (TVB’s) van controle functionarissen zijn vastgelegd
SVP_C.02.01	Naleving	Voor serverplatforms en servers bepalen managers en eigenaren hoe de naleving van informatiebeveiligingseisen (beleid, regels, normen en technische standaarden) wordt gecontroleerd en beoordeeld.	Eisen aan het vervaardigen en interpreteren van technische naleving
SVP_C.02.02	Naleving	Technische naleving van servers en serverplatforms wordt bij voorkeur beoordeeld met geautomatiseerde instrumenten. Bevindingen worden tijdig gerapporteerd aan het management.	Periodiek uitvoeren van penetratietests of kwetsbaarheidbeoordelingen
SVP_C.02.03	Naleving	Bij geconstateerde niet-naleving worden oorzaken onderzocht, corrigerende maatregelen vastgesteld en uitgevoerd, en de effectiviteit ervan gecontroleerd. Alle stappen worden geregistreerd.	Uitvoering van tests worden gepland en gedocumenteerd en zijn herhaalbaar
SVP_C.02.04	Naleving	Corrigerende maatregelen worden tijdig afgerond op basis van het risico. Niet-afgeronde maatregelen worden meegenomen in de volgende beoordelingsronde.	Eisen aan het beoordelen van technische naleving
SVP_C.03.01	Logbestanden	De logbestanden worden beschermd tegen ongeautoriseerd manipuleren en worden beoordeeld om vast te stellen wie welke activiteit heeft uitgevoerd.	Eisen aan het beschermen van de logbestanden
SVP_C.03.02	Logbestanden	Speciale gebruikers (beheerders/operators) geven rekenschap over de door hun uitgevoerde beheeractiviteiten en kunnen hun eigen activiteiten niet verwijderen of deactiveren.	Speciale gebruikers geven rekenschap over de door hun uitgevoerde beheer activiteiten
SVP_C.04.01	Logbestanden	Logbestanden van gebeurtenissen bevatten, voor zover relevant: Actie: de gebeurtenis of handeling die heeft plaatsgevonden. Object: waarop de gebeurtenis of handeling effect had (bijvoorbeeld welk bestand, proces of server). Resultaat: het resultaat van de gebeurtenis of handeling. Oorsprong: het apparaat of de netwerklocatie van waaruit de gebeurtenis of handeling in gang is gezet. Actor: identificatie van de persoon die of het proces dat de gebeurtenis in gang heeft gezet. Tijdstempel: datum en tijdstip waarop de gebeurtenis of handeling plaatsvond. Nooit gegevens die tot het doorbreken van de beveiliging kunnen leiden.	Eisen aan de inhoud van de logbestanden van gebeurtenissen
SVP_C.05.01	Analyseert	De verantwoordelijke functionaris analyseert periodiek: de gelogde gebruikers- en activiteitengegevens van servers en serverplatforms; het optreden van verdachte gebeurtenissen en mogelijke schendingen van de beveiligingseisen; eventuele ongeautoriseerde toegang tot en wijzigingen/verwijderen van logbestanden.	Eisen aan de periodieke beoordeling van de logbestanden
SVP_C.05.02	Analyseert	De verzamelde log-informatie wordt in samenhang geanalyseerd.	De verzamelde loginformatie wordt in samenhang geanalyseerd
SVP_C.05.03	Analyseert	Periodiek worden de geanalyseerde en beoordeelde gelogde (gesignaleerde) gegevens aan de systeemeigenaren en/of aan het management gerapporteerd.	Eisen aan de periodieke rapportage over de analyse van de logbestanden
SVP_C.05.04	Analyseert	De rapportages uit de beheerdisciplines compliancy-management, vulnerability assessment, penetratietest en logging en monitoring worden op aanwezigheid van structurele risico’s geanalyseerd en geëvalueerd.	Analyse en evaluatie van beheer-, log- en penetratietest rapportages op structurele risico’s
SVP_C.05.05	Rapporteren	De analyserapportage bevat informatie over kwetsbaarheden, zwakheden en misbruik en wordt gecommuniceerd met het verantwoordelijke management.	Eisen aan de inhoud en verspreiding van de loganalyse
SVP_C.05.06	Rapporteren	De eindrapportage bevat op analyses gebaseerde verbetervoorstellen.	De eindrapportage bevat verbeteringsvoorstellen op basis van analyses
SVP_C.06.01	Beveiligingsfunctionaris	De beveiligingsfunctionaris zorgt onder andere voor: de actualisatie van beveiligingsbeleid voor servers en besturingssystemen; de afstemming van het beveiligingsbeleid in de afgesloten overeenkomsten met onder andere de ketenpartijen; de evaluatie van de effectiviteit van de beveiliging van de ontwikkelde systemen; de evaluatie van de beveiligingsmaatregelen ten aanzien van de bestaande risico’s; de bespreking van beveiligingsissues met ketenpartijen; het verschaffen van inzicht in de afhankelijkheden tussen servers binnen de infrastructuur.	Activiteiten van de beveiligingsfunctionaris
SVP_C.06.02	Beveiligingsbeleid	Het beveiligingsbeleid geeft onder andere inzicht in: inrichtings-, onderhouds- en beheervoorschriften (procedureel en technisch); specifieke beveiligings- en architectuurvoorschriften; afhankelijkheden tussen servers binnen de infrastructuur.	Inhoud van het beveiligingsbeleid

Op deze pagina