Handhaven technische functionaliteit

Uit NORA Online
Ga naar: navigatie, zoeken

Let op: Deze pagina moet nog herzien worden in het kader van het RFC Bindende architectuurafspraken 2022 dat per 1-1-2023 ingaat. Er is een backlog van informatieve pagina's die geraakt worden door deze ingrijpende veranderingen.

Help mee bij het herzien en actualiseren van deze pagina: nora@ictu.nl

Op 19 juni 2017 zijn de Afgeleide Principes die raken aan het thema Beveiliging gewijzigd (zie nieuwsbericht). De beheersmaatregelen, implementatierichtlijnen en beveiligingspatronen uit de oude 'Katern' Beveiliging hangen hiermee beter in het bredere kader van de NORA-afspraken. Hieraan is toegevoegd de Information Security Object Repository) (ISOR) van het CIP (Centrum Informatiebeveiliging en Privacybescherming).

Contactpersonen: Annemieke de Wit en Guus van den Berg.

annemieke.dewit@cip-overheid.nl en guus.vandenberg@cip-overheid.nl


Handhaven technische functionaliteit.png
Handhaven technische functionaliteit is een eis (Beheersmaatregel)

Status: Concept
Realiseert Afgeleid Principe: Integriteit

Thema: Beveiliging/Systeemintegriteit
Bron: BIR (Baseline Informatiebeveiliging Rijksdienst),

BIR/ISO 27001:2005 12.5.3, ISO 27001:2013 14.1

Eis: De door de leverancier bepaalde technische functionaliteit van programmapakketten en infrastructurele programmatuur blijft gehandhaafd.

Realiseert

Handhaven technische functionaliteit realiseert het/de afgeleide principe(s):

Implicaties

De volgende implementatierichtlijnen zijn een uitwerking van Handhaven technische functionaliteit:

  1. Behoudens de door de leverancier goedgekeurde updates worden er geen wijzigingen aangebracht in programmapakketten en infrastructurele programmatuur (BIR (Baseline Informatiebeveiliging Rijksdienst))
  2. Het automatisch doorvoeren van een update vindt alleen plaats als hierover speciale afspraken zijn gemaakt met de leverancier.
  3. De instellingen (parametrisering) van programmapakketten en infrastructurele programmatuur zijn in overeenstemming met een vastgesteld inrichtingsdocument (configuratiedossier), dat is gebaseerd op aanwijzingen van de leveranciers, operationele productstandaards van bij voorkeur onafhankelijke instellingen, zoals die van NIST, voor zover de instellingen niet door de andere IB-functies van dit document zijn geadresseerd.
  4. Instellingen van programmapakketten en infrastructurele programmatuur kunnen geautomatiseerd worden gecontroleerd op configuratieafwijkingen van het vastgestelde inrichtingsdocument.
  5. De technische integriteit van programmapakketten en infrastructurele programmatuur wordt gecontroleerd d.m.v. een hashingmechanisme en een controlegetal van de leverancier, dat via een vertrouwd kanaal is verkregen.
  6. Van programmapakketten en infrastructurele programmatuur kan bij voorkeur geautomatiseerd gecontroleerd worden of er bekende zwakheden in de configuratie voorkomen.
  7. Van programmapakketten en infrastructurele programmatuur kan bij voorkeur geautomatiseerd gecontroleerd worden of de laatste updates (patches) in zijn doorgevoerd.


Gerelateerde beschouwingsmodellen

De volgende beschouwingsmodellen zijn gerelateerd aan Handhaven technische functionaliteit: