Beveiligingspatronen

Uit NORA Online
Ga naar: navigatie, zoeken
Op 19 juni 2017 zijn de Afgeleide Principes die raken aan het thema Beveiliging gewijzigd (zie nieuwsbericht). De beheersmaatregelen, implementatierichtlijnen en beveiligingspatronen uit de oude 'Katern' Beveiliging hangen hiermee beter in het bredere kader van de NORA-afspraken. De komende periode zal hieraan nog de ISOR (Information Security Object Repository) van het Centrum Informatiebeveiliging en Privacybescherming (CIP) worden toegevoegd.

Een beveiligingspatroon als onderdeel van de architectuur is een standaard beschrijving van een probleem en oplossing binnen een bepaalde context, met als doel dat de oplossing algemener inzetbaar wordt. Patronen zijn te beschouwen als bouwstenen op architectuurniveau.

Vanuit het perspectief van kennisdeling begint een patroon waar een “best practice” ophoudt. Waar de Code voor Informatiebeveiliging (ISO 17799) aangeeft dat er een scheiding moet zijn tussen een intern en een extern netwerk, geven patronen aan op welke wijze dit het beste kan gebeuren. Dit afhankelijk van de specifieke context en in samenhang moet oplossingen bieden die de business nodig heeft.

Heel simpel gezegd richt de Code zich op de Wat-vraag en patronen zich op de Hoe-vraag. Voor het beantwoorden van de Hoe-vraag speelt de context van de organisatie en de specificatie van het beveiligingsprobleem een belangrijke rol. Vandaar dat het sjabloon van een patroon hier ook expliciet aandacht aan besteedt.

De kracht van de patronen bestaat uit drie belangrijke elementen:

  • Elk patroon is geschreven en beoordeeld vanuit de gedachte dat het patroon door een willekeurig persoon op het Internet kan worden gevonden. Met andere woorden, het moet zelfverklarend zijn zonder dat verdere uitleg van de auteur nodig is.
  • Elk patroon is geschreven met dezelfde indeling,en met dezelfde onderdelen. Een indeling die al in eerdere boeken werd gehanteerd en die zijn kracht heeft bewezen.
  • Elk patroon beschrijft meer dan alleen de oplossing voor een specifiek probleem in een specifieke context. Het patroon is verrijkt met praktijkervaring: wat zijn de factoren die van invloed zijn, wat zijn de voordelen en nadelen, wat zijn de valkuilen en wat moet je beslist wel of niet doen. Soms direct, soms indirect, wordt daarmee ook beschreven wat het niet oplost.

Inhoud

Beveiligingspatronen in de NORA-wiki

Logging, monitoring en bedrijfscontinuïteit

Beschrijft vastlegging en controle van gebeurtenissen en maatregelen voor bedrijfscontinuïteit

Dit themapatroon beschrijft een oplossing voor de algemene probleemstelling van bedrijfscontinuïteit; ook wel genoemd: Business Continuity Management (BCM). Het patroon legt de focus op IT-voorzieningen.
Dit patroon beschrijft het vastleggen van gegevens voor informatiebeveiliging en richt zich op technische logging.
Dit patroon beschrijft het vertalen, bewerken en rapporteren van gelogde gegevens aan de verschillende doelgroepen.
In dit patroon worden vijf verschillende objecttypen beschouwd waarvoor backup&restore geregeld wordt.
Dit patroon richt zich op disaster recovery van rekencentra en de IT-aspecten.
Dit patroon beschrijft de algemene probleemstelling en randvoorwaarden van IT-uitbesteding. De focus van de oplossingen is gericht op de voor de dienstverlener op te stellen koppelvakken.

Toegang

Beschrijft vertrouwde toegang tot infrastructuur en applicaties

Dit themapatroon beschrijft de algemene probleemstelling van identity & access management (IAM).
Dit patroon beschrijft oplossingen voor identity management.
Dit patroon beschrijft oplossingen voor access management.
Beschrijft de ondersteuning van gezamenlijk identiteitengebruik met Federated Identity Management.
Dit patroon beschrijft oplossingen voor single sign-on.
Beschrijft een portaal, die eindgebruikers via internet of bedrijfsnetwerken toegang geeft tot zowel toepassingen als gegevens.
Beschrijft oplossingen voor vertrouwd toegangspad.

Transactie

Beschrijft een oplossing voor public key infrastructure.
De toevoeging van een elektronische handtekening aan een bericht biedt de ontvanger de mogelijkheid om de identiteit van de ondertekenaar van het bericht en de integriteit van het bericht te verifiëren.
Beschrijft drie oplossingsrichtingen voor secure email.

Scheiding en filtering

Beschrijft de borging van vertrouwelijkheid en integriteit van gegevens en gecontroleerde doorgang tussen de zones.

Dit themapatroon biedt een oplossing voor de algemene probleemstelling van vertrouwelijk opslaan en uitwisselen van gegevens.
De focus ligt bij dit patroon op methoden voor de versleuteling van de gegevens.
Dit patroon behandelt het sleutelhuis en een raamwerk van controleniveaus daarvoor.
Dit themapatroon biedt een oplossing voor de algemene probleemstelling van koppelvakken.
Beschrijft een oplossing voor externe koppelvlakken.
Biedt een oplossing voor interne koppelvlakken voor de productieomgeving. De omgeving van ‘interne koppelvlakken’ is alles wat zich in de productieomgeving bevindt.
Beschrijft een oplossing voor interne koppelvlakken voor de ontwikkelomgeving.
Biedt een oplossing voor interne koppelvlakken met beheer en audit.
Beschrijft een oplossing voor koppelnetwerken.

Beschouwingsmodellen

Een beschouwingsmodel maakt onderdeel uit van de NORA-aanpak voor IB-architectuur. Doel van een beschouwingsmodel is het afbeelden van mechanismen die beveiligingsfuncties uitvoeren in IT-ketens of onderdelen daarvan. Beschouwingsmodellen geven in de functieblokken van generieke infrastructuur aan waar de beveiligingsfuncties aangrijpen. Evenals bij beveiligingspatronen wordt vanuit een probleemstelling een oplossing gegeven. De overige patroonrubrieken ontbreken in de beschouwingsmodellen. In een tabel wordt per functieblok aangegeven welk mechanisme de beveiligingsfuncties realiseren.

Persoonlijke instellingen
Naamruimten

Varianten
Handelingen
Hulpmiddelen