Clouddiensten Uitvoering

Uit NORA Online
ISOR:BIO Thema Clouddiensten Uitvoering
Ga naar: navigatie, zoeken
Deze informatie is onderdeel van BIO Thema Clouddiensten.

Meer lezen

BIO Thema Clouddiensten
Alle normenkaders
Beveiligingsaspecten
Invalshoeken
ISOR

De onderstaande afbeelding geeft de onderwerpen weer die specifiek voor het uitvoeringsaspect een rol spelen.

”Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken”
Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken


Risico

Als bij het aangaan of gedurende het toepassen van clouddiensten, adequate beveiligingsfuncties, het in de contracten benoemen van deze functies en de regie op naleving van de afspraken ontbreken, dan ontstaan continuïteitsrisico’s en mogelijk, datalekken of misbruik van gevoelige data. In Cloudbeveiligingsprincipes binnen het beleidsaspect, Cloudbeveiligingsprincipes binnen het uitvoeringsaspect en Cloudbeveiligingsprincipes binnen het control-aspect is per aandachtsgebied aangegeven welke risico’s relevant zijn.

Doelstelling

Het doel van het uitvoeringsaspect van clouddiensten is te waarborgen dat, overeenkomstig specifieke beleidsuitgangspunten, een betrouwbare en veilige dienstverlening geleverd wordt en dat de werking voldoet aan de eisen die door de CSC zijn gesteld.

Principes uit de BIO Thema Clouddiensten binnen dit aspect

IDprincipeCriterium
Cloud_U.01Standaarden voor clouddienstenDe CSP past aantoonbaar relevante nationale standaarden en internationale standaarden toe voor de opzet en exploitatie van de diensten en de interactie met de CSC.
Cloud_U.02Risico-assessmentDe CSP behoort een risico-assessment uit te voeren, bestaande uit risico-analyse en risico-evaluatie en op basis van de criteria en de doelstelling met betrekking tot clouddiensten van de CSP.
Cloud_U.03BedrijfscontinuïteitsservicesInformatieBetekenisvolle gegevens. verwerkende faciliteiten behoren met voldoende redundantie te worden geïmplementeerd om aan continuïteitseisen te voldoen.
Cloud_U.04Herstelfunctie voor data en clouddienstenDe herstelfunctie van data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest.
Cloud_U.05Data-protectieData (op transport, in verwerking en in rust) met classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving.
Cloud_U.06Dataretentie en vernietiging gegevensGearchiveerde data behoort gedurende de overeengekomen bewaartermijn technologie-onafhankelijk, raadpleegbaar, onveranderbaar en integer te worden opgeslagen en op aanwijzing van de CSC/data eigenaar te kunnen worden vernietigd.
Cloud_U.07Scheiding van dataCSC-gegevens behoren tijdens transport, bewerking en opslag duurzaam geïsoleerd te zijn van beheerfuncties en data van en andere dienstverlening aan andere CSC’s, die de CSP in beheer heeft.
Cloud_U.08Scheiding van dienstverleningDe cloud-infrastructuur is zodanig ingericht, dat de dienstverlening aan gebruikers van informatiediensten zijn gescheiden.
Cloud_U.09Malware-protectieTer bescherming tegen malware behoren beheersmaatregelen te worden geïmplementeerd voor detectie, preventie en herstel in combinatie met een passend bewustzijn van de gebruikers.
Cloud_U.10Toegang tot IT-diensten en dataGebruikers behoren alleen toegang te krijgen tot de IT-diensten en data waarvoor zij specifiek bevoegd zijn.
Cloud_U.11Crypto-servicesGevoelige data van CSC’s behoort conform het overeengekomen beleid inzake cryptografische maatregelen, tijdens transport via netwerken en bij opslag bij CSP te zijn versleuteld.
Cloud_U.12KoppelvlakkenDe onderlinge netwerkconnecties (koppelvlakken) in de keten van CSC naar CSP behoren te worden bewaakt en beheerst om de risico’s van datalekken te beperken.
Cloud_U.13Service-orkestratieService-orkestratie biedt coördinatie, aggregatie en samenstelling van de service-componenten van de cloudservice die aan de CSC wordt geleverd.
Cloud_U.14Interoperabiliteit en portabiliteitCloudservices zijn bruikbaar (interoperabiliteitInteroperabiliteit is het vermogen van organisaties (en hun processen en systemen) om effectief en efficiënt informatie te delen met hun omgeving) op verschillende IT-platforms en kunnen op basis van standaarden verschillende IT-platforms met elkaar verbinden en data overdragen (portabiliteit) naar andere CSP’s.
Cloud_U.15Logging en monitoringLogbestanden waarin gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. gebeurtenissen worden geregistreerd, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld.
Cloud_U.16Clouddiensten-architectuurDe clouddiensten-architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. specificeert de samenhang en beveiliging van de services en de inter-connectie tussen CSC en CSP en biedt transparantieInzicht in de werkwijze die de overheid hanteert. en overzicht van randvoorwaardelijke omgevingsparameters, voor zowel de opzet, de levering en de portabiliteit van CSC-data.
Cloud_U.17Multi-tenant architectuurBij multi-tenancy wordt de CSC-data binnen clouddiensten, die door meerdere CSC’s worden afgenomen, in rust versleuteld en gescheiden verwerkt op gehardende (virtuele) machines.

Normen uit de BIO Thema Clouddiensten binnen dit aspect

IDStellingNorm
Cloud_U.01.01De CSP maakt haar dienstverlening transparant, zodat de CSC aantoonbaar aan de voor haar verplichte BIO en Pas-toe-of-leg-uit standaarden kan voldoen.Maken transparante dienstverlening
Cloud_U.01.02De CSP treft beveiligingsmaatregelen op basis van internationale standaarden, zoals:
  • NEN-ISO/IEC 27017: Code of practice for cloud services;
  • ITU-T FG Cloud TR 1.0 2012; Part 5 Cloud Security;
  • NEN-ISO/IEC 17788: Overview and vocabulary;
  • NEN-ISO/IEC 17789: Reference architecture;
  • NEN-ISO/IEC 27018 Personally indentifiable information (PII) in public clouds;
  • NEN-ISO/IEC 19941: Interoperability and portability;
  • NEN-ISO/IEC 19944: Cloud services and devices;
  • NIST Definition of Cloud Computing, SP800-145.pdf, September 2011;
  • BSI.
Treffen beveiligingsmaatregelen op basis van internationale standaarden
Cloud_U.02.01De risico’s ten aanzien van de middelen die binnen de scope van clouddiensten ressorteren, worden geïdentificeerd, op waarde geschat (gekwantificeerd of gekwalificeerd) en beschreven op basis van risico-evaluatiecriteria en -doelstellingen van de CSP.Op waarde schatten en beschrijven van risico’s rond middelen vallend binnen clouddienstenscope
Cloud_U.02.02De geïdentificeerde risico’s worden geëvalueerd op basis van risico-acceptatiecriteria.Evalueren risico’s op basis van risico-acceptatiecriteria
Cloud_U.03.01De overeengekomen continuïteit wordt gewaarborgd door middel van voldoende logische of fysieke meervoudig uitgevoerde systeemfuncties.Waarborgen continuïteit door voldoende logische of fysieke meervoudig uitgevoerde systeemfuncties
Cloud_U.03.02De met de CSC-organisatie overeengekomen continuïteitseisen voor cloudservices wordt gewaarborgd door middel van specifieke in de systeemarchitectuur beschreven maatregelen.Waarborgen van continuïteitseisen door specifieke in systeemarchitectuur beschreven maatregelen
Cloud_U.04.01De data en clouddiensten worden in geval van calamiteiten binnen de overeengekomen periode en maximale dataverlies hersteld en aan de CSC beschikbaar gesteld.Herstellen data en clouddiensten bij calamiteiten en beschikbaar stellen
Cloud_U.04.02Het continue proces van herstelbaar beveiligen van data wordt gemonitord.Monitoren proces van herstelbaar beveiligen van data
Cloud_U.04.03Het toereikend functioneren van de herstelfuncties wordt periodiek getest door gekwalificeerd personeel en de resultaten daarvan worden gedeeld met de CSC.Testen functioneren van herstelfuncties en resultaten daarvan delen
Cloud_U.05.01Gegevenstransport wordt ‘state of the art’ beveiligd met cryptografie (conform forum standaardisatie) en waarbij het sleutelbeheer zo mogelijk door de CSC zelf wordt uitgevoerd.‘State of the art’ beveiligen gegevenstransport met cryptografie, met zelf uitgevoerd sleutelbeheer
Cloud_U.05.02De binnen de clouddienst opgeslagen gegevens worden ‘state of the art’ beveiligd met encryptie en met een tenminste voor het doel toereikende sleutellengte, waarbij het sleutelbeheer zo mogelijk niet als clouddienst wordt afgenomen en door de CSC zelf wordt uitgevoerd.‘State of the art’ binnen clouddienst opgeslagen gegevens beveiligen met encryptie
Cloud_U.06.01De gegarandeerde en met de CSP overeengekomen opslagduur is contractueel vastgelegd en voldoet aan de Archiefwet.Vastleggen gegarandeerde overeengekomen opslagduur en voldoen aan Archiefwet
Cloud_U.06.02Gegevens zijn onafhankelijk van de door de CSP toegepaste technologie raadpleegbaar gedurende de gehele bewaartermijn.Raadplegen gegevens, onafhankelijk van technologie gedurende bewaartermijn
Cloud_U.06.03Gegevens worden zo mogelijk gearchiveerd met behulp van WORM (Write Once Read Many) technologie, waarmee de integriteit van de data wordt gegarandeerd.Archiveren gegevens met behulp van WORM-technologie
Cloud_U.06.04Voorafgaand aan het voor onderhoudsdoeleinden wijzigen van opslagmedia, wordt de data van de CSC, inclusief de back-up van gegevens en metadata, veilig gewist of vernietigd.Wissen of vernietigen CSC-data voorafgaand aan voor onderhoudsdoeleinden wijzigen van opslagmedia
Cloud_U.06.05Bij het beëindigen van de contractrelatie wordt de data van de CSC, inclusief de back-up van gegevens en de metadata veilig gewist, om te voorkomen dat de CSC-gegevens naderhand door de CSP kunnen worden hersteld, bijvoorbeeld met forensische hulpmiddelen.Wissen CSC-data bij beëindigen van contractrelatie
Cloud_U.07.01Permanente isolatie van gegevens wordt gerealiseerd binnen een multi-tenant architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. en patches en aanpassingen van applicaties en infrastructuur worden op een gecontroleerde wijze gerealiseerd voor alle clouddiensten die de CSC afneemt.Permanente isolatie van gegevens binnen een multi-tenant architectuur
Cloud_U.07.02Isolatie van de CSC-gegevens wordt gegarandeerd door deze onder alle bedrijfsomstandigheden minimaal logisch te scheiden van de data van andere CSC’s.Garanderen isolatie van CSC-gegevens door logische scheiding van andere CSC’s-data
Cloud_U.07.03De bevoegdheden voor het inzien of wijzigen van CSC-data en/of van encryptiesleutels door beheerfuncties en beheerders worden gecontroleerd verleend en het gebruik van deze rechten wordt gelogd.Verlenen bevoegdheden voor inzien of wijzigen en/of encryptiesleutels plus loggen rechtengebruik
Cloud_U.08.01De CSP realiseert de volgende scheiding van clouddienstverlening:
  • onderlinge scheiding van de CSC’s in een multi-tenant omgeving;
  • scheiding tussen de afgenomen cloud-service en de interne informatievoorziening van de CSP;
  • de CSP maakt het mogelijk om de beoogde scheiding van clouddiensten te verifiëren.
  • Realiseren diverse scheidingen van clouddienstverlening
    Cloud_U.09.01De CSP specificeert, als onderdeel van de overeenkomst, welke maatregelen (voor onder andere malware-protectie) op welke positie in de informatieketen van CSC en CSP moeten worden genomen.Specificeren welke maatregelen op welke positie in informatieketen moeten worden genomen
    Cloud_U.09.02De CSP heeft de voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeters waarvoor zij verantwoordelijk is, uitgerust met tools ter bescherming en verwijdering van malware.Uitrusten voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeter
    Cloud_U.09.03De malware-bescherming wordt op verschillende omgevingen uitgevoerd, zoals op mailservers, (desktop)computers en bij de toegang tot het netwerk van de organisatie. De scan op malware omvat onder andere:
    1. alle bestanden die via netwerken of via elke vorm van opslagmedium zijn ontvangen, nog vóór het gebruik;
    2. alle bijlagen en downloads nog vóór het gebruik;
    3. virtual machines;
    4. netwerkverkeer.
    Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie
    Cloud_U.10.01De CSP biedt de CSC uitsluitend toegang tot services, IT-diensten en data waarvoor zij specifiek bevoegd is.
    • technische maatregelen voorkomen dat gebruikers en beheerders, toegang hebben tot services, IT-diensten en data buiten datgene wat formeel is toegestaan;
    • gebruikers met nood-toegangsrechten (in geval van calamiteiten, wanneer acties niet door bevoegde beheerders kunnen worden uitgevoerd) is gedocumenteerd, door het management geaccordeerd en wordt uitgevoerd op basis van functiescheiding. Nood-toegang is geactiveerd zolang als nodig is voor de corresponderende taak/taken.
    Bieden toegang tot bevoegde services, IT-diensten en data
    Cloud_U.10.02Onder verantwoordelijkheid van de CSP wordt aan beheerders:
  • toegang tot data wordt verleend op basis van het ‘Least Privilege’ principe;
  • toegang tot data wordt verleend op basis van ‘need-to-know’ principe;
  • toegang verleend op basis van multi-factor authenticatie;
  • toegang verleend tot data en applicatieve functies via technische maatregelen.
  • Verlenen toegang aan beheerders
    Cloud_U.10.03Alleen gebruikers met geauthentiseerde apparatuur krijgen toegang tot IT-diensten en data.Krijgen toegang tot IT-diensten en data
    Cloud_U.10.04Onder de verantwoordelijkheid van de CSP worden bevoegdheden (systeemautorisaties) voor gebruikers toegekend via formele procedures.Toekennen bevoegdheden voor gebruikers via formele procedures
    Cloud_U.10.05Toegang tot IT-diensten en data is beperkt door technische maatregelen en is geïmplementeerd, bijvoorbeeld met het rollen en rechten concept.Beperken toegang tot IT-diensten en data door technische maatregelen en implementeren
    Cloud_U.11.01In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt:
    1. wanneer cryptografie ingezet wordt;
    2. wie verantwoordelijk is voor de implementatie van cryptologie ;
    3. wie verantwoordelijk is voor het sleutelbeheer;
    4. welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast;
    5. de wijze waarop het beschermingsniveau vastgesteld wordt;
    6. het onderling vaststellen van het beleid voor communicatie tussen organisaties.
    Uitwerken cryptografiebeleid
    Cloud_U.11.02In geval van PKI-overheidscertificaten worden de PKI-overheidseisen gehanteerd ten aanzien van het sleutelbeheer. In overige situaties worden de ISO 11770 standaard voor het beheer van cryptografische sleutels gehanteerd.Hanteren PKI-overheidseisen en ISO 11770 voor sleutelbeheer
    Cloud_U.11.03Gevoelige data (op transport en in rust) is altijd versleuteld, waarbij private-key’s in beheer zijn bij de CSC. Het gebruik van een private-sleutel door de CSP is gebaseerd op een gecontroleerde procedure en moet gezamenlijk worden overeengekomen met de CSC-organisatie.Versleutelen gevoelige data en private-sleutelgebruik baseren op gecontroleerde overeengekomen procedure
    Cloud_U.12.01In koppelpunten met externe of onvertrouwde zones zijn maatregelen getroffen om mogelijke aanvallen die de beschikbaarheid van de informatievoorziening negatief beïnvloeden (zoals DDoS-aanvallen en Distributed Denial of Service attacks) te signaleren en hierop te reageren.Treffen maatregelen in koppelpunten met externe of onvertrouwde zones
    Cloud_U.12.02Fysieke en gevirtualiseerde netwerkcomponenten zijn zodanig ontworpen en geconfigureerd, dat netwerkconnecties tussen vertrouwde en onvertrouwde netwerken worden beperkt en gemonitord (bewaakt).Ontwerpen en configureren netwerkcomponenten om netwerkconnecties te beperken en te monitoren
    Cloud_U.12.03Beheeractiviteiten van de CSP zijn strikt gescheiden van de data CSC.Scheiden CSP-beheeractiviteiten en CSC-data
    Cloud_U.12.04Dataverkeer voor CSC’s zijn in gezamenlijk gebruikte netwerkomgevingen gescheiden volgens een gedocumenteerd concept voor de op netwerkniveau (logische) segmentatie van CSC’s, om zo de integriteit en vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen van de verzonden gegevens te garanderen.Scheiden dataverkeer in gezamenlijk gebruikte netwerkomgevingen
    Cloud_U.12.05Het dataverkeer dat de CSP binnenkomt of uitgaat wordt, in relatie tot de aard van de te beschermen gegevens/informatiesystemen, bewaakt en geanalyseerd op kwaadaardige elementen middels detectievoorzieningen.Bewaken en analyseren dataverkeer op kwaadaardige elementen
    Cloud_U.12.06De CSP heeft Intrusion Detection Prevention (IDP) en Intrusion Detection System (IDS) geïntegreerd in een alles omvattend SIEM, zodat beveiligingsgebeurtenissen en onbekende apparatuur vanuit de benodigde technische maatregelen worden opgemerkt en correctieve maatregelen kunnen worden genomen.Integreren Intrusion Detection Prevention en Intrusion Detection System in SIEM
    Cloud_U.12.07Ontdekte nieuwe dreigingen worden, rekening houdend met geldende juridische kaders, verplicht gedeeld binnen de overheid, waaronder met het NCSC (alleen voor rijksoverheidsorganisaties) of de sectorale CERT en bij voorkeur door geautomatiseerde mechanismen (threat intelligence sharing).Delen nieuwe dreigingen binnen overheid
    Cloud_U.13.01Cloud-orkestratietechnologie functioneert met heterogene systemen en mogelijk wereldwijde cloud-implementatie (op verschillende geografische locaties en met verschillende CSP’s).Functioneren orkestratietechnologie met heterogene systemen en mogelijk wereldwijde cloud-implementatie
    Cloud_U.13.02De functionele samenhang van de service-componenten zijn beschreven.Beschrijven functionele samenhang van service-componenten
    Cloud_U.13.03Voor orkestratie van cloudservices is de volgende informatie benodigd:
    • de CSC-identiteit;
    • de bedrijfsrelatie van de CSC binnen het cloudnetwerk;
    • het IP-adres van de CSC.
    Zorgen voor benodigde informatie voor orkestratie van cloudservices
    Cloud_U.14.01Om de interoperabiliteitInteroperabiliteit is het vermogen van organisaties (en hun processen en systemen) om effectief en efficiënt informatie te delen met hun omgeving van cloudservices te garanderen, zijn gegevens beschikbaar conform erkende industrie-standaarden en gedocumenteerde invoer- en uitvoerinterfaces.Hebben beschikbare gegevens om interoperabiliteit van cloudservices te garanderen
    Cloud_U.14.02Om de portabiliteit van de data te garanderen, maakt de CSP gebruik van beveiligde netwerkprotocollen voor de import en export van data en waarmee de integriteit en vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen wordt gegarandeerd.Gebruiken beveiligde netwerkprotocollen voor import en export van data
    Cloud_U.15.01Het overtreden van de beleidsregels wordt door CSP en CSC vastgelegd.Vastleggen beleidsregel-overtreding
    Cloud_U.15.02De SIEM en/of SOC hebben heldere regels over wanneer een incident moet worden gerapporteerd aan het verantwoordelijk management.Hebben SIEM- en/of SOC-regels over te rapporteren incident
    Cloud_U.15.03De CSP hanteert een lijst van alle activa die kritisch zijn in termen van logging en monitoring en beoordeelt deze lijst regelmatig op correctheid.Hanteren en beoordelen lijst van alle kritische activa
    Cloud_U.15.04Aan logboeken en bewaking worden strenge eisen gesteld; voor de kritieke componenten zijn geavanceerde beveiligingen voor logboeken en bewaking gedefinieerd.Stellen eisen aan logboeken en bewaking
    Cloud_U.15.05De toegang tot en het beheer van de loggings- en monitoringsfunctionaliteit is beperkt tot geselecteerde en geautoriseerde medewerkers van de CSP.Beperken toegang tot en beheer van loggings- en monitoringsfunctionaliteit tot CSP-medewerkers
    Cloud_U.15.06Wijzigingen in de logging en monitoring worden gecontroleerd door onafhankelijke en geautoriseerde medewerkers (logregels mogen nooit worden gewijzigd; deze zijn immers bedoeld om als bewijslast te kunnen gebruiken).Controleren wijzigingen in logging en monitoring
    Cloud_U.16.01De architectuurEen beschrijving van een complex geheel, en van de principes die van toepassing zijn op de ontwikkeling van het geheel en zijn onderdelen. specificeert ten minste het volgende:
  • IT-services in relatie met functionaliteit voor bedrijfsprocessen;
  • het vertrouwensniveau van de beveiliging van de clouddiensten;
  • beschrijving van de infrastructuur en de netwerk- en systeemcomponenten die worden gebruikt voor de ontwikkeling en de werking van de cloudservice(s);
  • rollen en verantwoordelijkheden van de CSP en de CSC, inclusief de plichten om samen te werken en de bijbehorende controles bij de CSC;
  • IT-functies die door de CSP zijn toegewezen of uitbesteed aan onderaannemers.
  • Specificeren minimale zaken voor architectuur
    Cloud_U.17.01CSC-data op transport en in rust is versleuteld.Versleutelen CSC-data op transport en in rust
    Cloud_U.17.02Virtuele machine-platforms voor CSC’s met speciale/verhoogde beveiligingsvereisten zijn gescheiden ingericht.Gescheiden inrichten virtuele machine-platforms voor CSC’s
    Cloud_U.17.03Virtuele machine-platforms zijn gehardend.Hardenen virtuele machine-platforms