Clouddiensten Uitvoering

Uit NORA Online
ISOR:BIO Thema Clouddiensten Uitvoering
Ga naar: navigatie, zoeken
”Dit plaatje duidt aan dat de pagina's met betrekking tot deze BIO Thema-uitwerking in bewerking zijn”
Deze BIO Thema-uitwerking is in onderhoud
Een of meer pagina's van de BIO Thema-uitwerking Cloudiensten gaan binnenkort in onderhoud. Dit is herkenbaar aan de status Concept.
Versie 2.0 van deze BIO Thema-uitwerking van 1 juni 2021 wordt vervangen door versie 2.1 van 29 oktober 2021.

Let op! Versie 2.1 in pdf-formaat wordt pas op de website BIO-overheid/producten gepubliceerd, na de volledige invoer van alle updates van de BIO Thema-uitwerkingen in de ISOR.
Deze informatie is onderdeel van BIO Thema-uitwerking Clouddiensten.

Meer lezen

BIO Thema-uitwerking Clouddiensten
Alle normenkaders
Beveiligingsaspecten
Invalshoeken
ISOR (Information Security Object Repository)

Objecten, controls en maatregelen

Is een objectblok oranje gekleurd, dan komt de bijbehorende control voor in de BIO. Betreft het een wit gemarkeerd objectblok, dan heeft de BIO geen control gedefinieerd, maar is dit object wel noodzakelijk voor dit thema.

De onderstaande afbeelding geeft de onderwerpen weer die specifiek voor het uitvoeringsaspect een rol spelen.

”Beveiligingsobjecten uitgewerkt voor het Uitvoeringsdomein ingedeeld naar IFGS invalshoeken”
Overzicht clouddienstenobjecten in het uitvoeringsdomein


Risico[bewerken]

Als bij het aangaan of gedurende het toepassen van clouddiensten, adequate beveiligingsfuncties, het in de contracten benoemen van deze functies en de regie op naleving van de afspraken ontbreken, dan ontstaan continuïteitsrisico’s en mogelijk, datalekken of misbruik van gevoelige data. In Cloudbeveiligingsprincipes binnen het beleidsaspect, Cloudbeveiligingsprincipes binnen het uitvoeringsaspect en Cloudbeveiligingsprincipes binnen het control-aspect is per aandachtsgebied aangegeven welke risico’s relevant zijn.

Doelstelling[bewerken]

Het doel van het uitvoeringsdomein van clouddiensten is te waarborgen dat, overeenkomstig specifieke beleidsuitgangspunten, een betrouwbare en veilige dienstverlening geleverd wordt en dat de werking voldoet aan de eisen die door de CSC zijn gesteld.

Principes uit de BIO Thema Clouddiensten binnen dit aspect[bewerken]

IDPrincipeCriterium
CLD_U.01Standaarden voor clouddienstenDe CSP past aantoonbaar relevante, nationale standaarden en internationale standaarden toe voor de opzet en exploitatie van de diensten en de interactie met de CSC.
CLD_U.02Risico-assessmentDe CSP behoort een risico-assessment uit te voeren, bestaande uit een risico-analyse en risico-evaluatie met de criteria en de doelstelling voor clouddiensten van de CSP.
CLD_U.03BedrijfscontinuïteitsservicesInformatie verwerkende faciliteiten behoren met voldoende redundantie te worden geïmplementeerd om aan continuïteitseisen te voldoen.
CLD_U.04Herstelfunctie voor data en clouddienstenDe herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest.
CLD_U.05DataprotectieData (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving.
CLD_U.06Dataretentie en gegevensvernietigingGearchiveerde data behoort gedurende de overeengekomen bewaartermijn, technologie-onafhankelijk, raadpleegbaar, onveranderbaar en integer te worden opgeslagen en op aanwijzing van de CSC/data-eigenaar te kunnen worden vernietigd.
CLD_U.07DatascheidingCSC-gegevens behoren tijdens transport, bewerking en opslag duurzaam geïsoleerd te zijn van beheerfuncties en data van en andere dienstverlening aan andere CSC’s, die de CSP in beheer heeft.
CLD_U.08Scheiding dienstverleningDe cloud-infrastructuur is zodanig ingericht dat de dienstverlening aan gebruikers van informatiediensten zijn gescheiden.
CLD_U.09Malwareprotectie clouddienstenTer bescherming tegen malware behoren beheersmaatregelen te worden geïmplementeerd voor detectie, preventie en herstel in combinatie met een passend bewustzijn van de gebruikers.
CLD_U.10Toegang IT-diensten en dataGebruikers behoren alleen toegang te krijgen tot de IT-diensten en data waarvoor zij specifiek bevoegd zijn.
CLD_U.11CryptoservicesGevoelige data van CSC’s behoort conform het overeengekomen beleid inzake cryptografische maatregelen tijdens transport via netwerken en bij opslag bij CSP te zijn versleuteld.
CLD_U.12KoppelvlakkenDe onderlinge netwerkconnecties (koppelvlakken) in de keten van de CSC naar de CSP behoren te worden bewaakt en beheerst om de risico’s van datalekken te beperken.
CLD_U.13Service-orkestratieService-orkestratie biedt coördinatie, aggregatie en samenstelling van de servicecomponenten van de cloud-service die aan de CSC wordt geleverd.
CLD_U.14Interoperabiliteit en portabiliteitCloud-services zijn bruikbaar (interoperabiliteit) op verschillende IT-platforms en kunnen met standaarden verschillende IT-platforms met elkaar verbinden en data overdragen (portabiliteit) naar andere CSP’s.
CLD_U.15Logging en monitoring clouddienstenLogbestanden waarin gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiliging gebeurtenissen worden geregistreerd, behoren te worden gemaakt, bewaard en regelmatig te worden beoordeeld.
CLD_U.16ClouddienstenarchitectuurDe clouddienstenarchitectuur specificeert de samenhang en beveiliging van de services en de interconnectie tussen de CSC en de CSP en biedt transparantie en overzicht van randvoorwaardelijke omgevingsparameters, voor zowel de opzet, de levering en de portabiliteit van CSC-data.
CLD_U.17Multi-tenantarchitectuurBij multi-tenancy wordt de CSC-data binnen clouddiensten, die door meerdere CSC’s worden afgenomen, in rust versleuteld en gescheiden verwerkt op gehardende (virtuele) machines.

Normen uit de BIO Thema Clouddiensten binnen dit aspect[bewerken]

IDStellingNorm
CLD_U.01.01De CSP maakt haar dienstverlening transparant, zodat de CSC aantoonbaar aan de voor haar verplichte BIO en Pas-toe-of-leg-uit standaarden kan voldoen.Maken transparante dienstverlening
CLD_U.01.02De CSP treft beveiligingsmaatregelen gebaseerd op internationale standaarden, zoals: Treffen beveiligingsmaatregelen op basis van internationale standaarden
CLD_U.02.01De risico’s op de middelen die binnen de scope van clouddiensten ressorteren, worden geïdentificeerd, op waarde geschat (gekwantificeerd of gekwalificeerd) en beschreven met risico-evaluatiecriteria en -doelstellingen van de CSP.Op waarde schatten en beschrijven van risico’s rond middelen vallend binnen clouddienstenscope
CLD_U.02.02De geïdentificeerde risico’s worden geëvalueerd met risico-acceptatiecriteria.Evalueren risico’s op basis van risico-acceptatiecriteria
CLD_U.03.01De overeengekomen continuïteit wordt gewaarborgd door voldoende logisch- of fysiek meervoudig uitgevoerde systeemfuncties.Waarborgen continuïteit door voldoende logische of fysieke meervoudig uitgevoerde systeemfuncties
CLD_U.03.02De met de CSC-organisatie overeengekomen continuïteitseisen voor cloud-services wordt gewaarborgd door specifieke in de systeemarchitectuur beschreven maatregelen.Waarborgen van continuïteitseisen door specifieke in systeemarchitectuur beschreven maatregelen
CLD_U.04.01De data en clouddiensten worden in het geval van calamiteiten binnen de overeengekomen periode en maximale dataverlies hersteld en aan de CSC beschikbaar gesteld.Herstellen data en clouddiensten bij calamiteiten en beschikbaar stellen
CLD_U.04.02Het continue proces van herstelbaar beveiligen van data wordt gemonitord.Monitoren proces van herstelbaar beveiligen van data
CLD_U.04.03Het toereikend functioneren van de herstelfuncties wordt periodiek getest door gekwalificeerd personeel en de resultaten daarvan worden gedeeld met de CSC.Testen functioneren van herstelfuncties en resultaten daarvan delen
CLD_U.05.01Gegevenstransport wordt naar de laatste stand der techniek beveiligd met cryptografie (conform Forum Standaardisatie), waarbij het sleutelbeheer zo mogelijk door de CSC zelf wordt uitgevoerd.‘State of the art’ beveiligen gegevenstransport met cryptografie, met zelf uitgevoerd sleutelbeheer
CLD_U.05.02De binnen de clouddienst opgeslagen gegevens worden naar de laatste stand der techniek beveiligd met encryptie en met een tenminste voor het doel toereikende sleutellengte, waarbij het sleutelbeheer zo mogelijk niet als clouddienst wordt afgenomen en door de CSC zelf wordt uitgevoerd.‘State of the art’ binnen clouddienst opgeslagen gegevens beveiligen met encryptie
CLD_U.06.01De gegarandeerde en met de CSP overeengekomen opslagduur is contractueel vastgelegd en voldoet aan de Archiefwet.Vastleggen gegarandeerde overeengekomen opslagduur en voldoen aan Archiefwet
CLD_U.06.02Gegevens zijn onafhankelijk van de door de CSP toegepaste technologie raadpleegbaar tijdens de gehele bewaartermijn.Raadplegen gegevens, onafhankelijk van technologie gedurende bewaartermijn
CLD_U.06.03Gegevens worden zo mogelijk gearchiveerd met Write Once Read Many (WORM)-technologie, waarmee de integriteit van de data wordt gegarandeerd.Archiveren gegevens met behulp van WORM-technologie
CLD_U.06.04Voorafgaand aan het voor onderhoudsdoeleinden wijzigen van opslagmedia, wordt de data van de CSC, inclusief de back-up van gegevens en metadata veilig gewist of vernietigd.Wissen of vernietigen CSC-data voorafgaand aan voor onderhoudsdoeleinden wijzigen van opslagmedia
CLD_U.06.05Bij het beëindigen van de contractrelatie wordt de data van de CSC, inclusief de back-up van gegevens en de metadata veilig gewist, om te voorkomen dat de CSC-gegevens naderhand door de CSP kunnen worden hersteld, bijvoorbeeld met forensische hulpmiddelen.Wissen CSC-data bij beëindigen van contractrelatie
CLD_U.07.01Permanente isolatie van gegevens wordt gerealiseerd binnen een multi-tenantarchitectuur. Patches en aanpassingen van applicaties en infrastructuur worden op een gecontroleerde wijze gerealiseerd voor alle clouddiensten die de CSC afneemt.Permanente isolatie van gegevens binnen een multi-tenant architectuur
CLD_U.07.02Isolatie van de CSC-gegevens wordt gegarandeerd door deze onder alle bedrijfsomstandigheden minimaal logisch te scheiden van de data van andere CSC’s.Garanderen isolatie van CSC-gegevens door logische scheiding van andere CSC’s-data
CLD_U.07.03De bevoegdheden voor het inzien of wijzigen van CSC-data en/of van encryptiesleutels door beheerfuncties en beheerders worden gecontroleerd verleend en het gebruik van deze rechten wordt gelogd.Verlenen bevoegdheden voor inzien of wijzigen en/of encryptiesleutels plus loggen rechtengebruik
CLD_U.08.01De CSP realiseert de volgende scheiding van clouddienstverlening:
  • onderlinge scheiding van de CSC’s in een multi-tenant-omgeving;
  • scheiding tussen de afgenomen cloud-service en de interne informatievoorziening van de CSP;
  • de CSP maakt het mogelijk om de beoogde scheiding van clouddiensten te verifiëren.
  • Realiseren diverse scheidingen van clouddienstverlening
    CLD_U.09.01De CSP specificeert, als onderdeel van de overeenkomst, welke maatregelen (voor onder andere malware-protectie) op welke positie in de informatieketen van de CSC en de CSP moeten worden genomen.Specificeren welke maatregelen op welke positie in informatieketen moeten worden genomen
    CLD_U.09.02De CSP heeft de voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeters waarvoor zij verantwoordelijk is, uitgerust met tools ter bescherming en verwijdering van malware.Uitrusten voor ontwikkeling en exploitatie van clouddiensten gebruikte IT-systemen en netwerkperimeter
    CLD_U.09.03De malware-bescherming wordt op verschillende omgevingen uitgevoerd, zoals op mailservers, (desktop)computers en bij de toegang tot het netwerk van de organisatie. De scan op malware omvat onder andere:
  • alle bestanden die via netwerken of via elke vorm van opslagmedium zijn ontvangen, nog voor het gebruik;
  • alle bijlagen en downloads nog voor het gebruik;
  • virtuele machines;
  • netwerkverkeer.
  • Uitvoeren malware-bescherming op verschillende omgevingen en bij toegang tot netwerk van organisatie
    CLD_U.10.01De CSP biedt de CSC uitsluitend toegang tot services, IT-diensten en data waarvoor zij specifiek bevoegd is, waarbij:
  • Technische maatregelen voorkomen dat gebruikers en beheerders, toegang hebben tot services, IT-diensten en data buiten datgene wat formeel is toegestaan.
  • Gebruikers met nood-toegangsrechten (in geval van calamiteiten, wanneer acties niet door bevoegde beheerders kunnen worden uitgevoerd), zijn gedocumenteerd, door het management geaccordeerd en wordt uitgevoerd met functiescheiding. Noodtoegang is geactiveerd zolang als nodig is voor de corresponderende taak/taken.
  • Bieden toegang tot bevoegde services, IT-diensten en data
    CLD_U.10.02Onder verantwoordelijkheid van de CSP wordt aan beheerders:
  • toegang verleend tot data met het least privilege-principe;
  • toegang verleend tot data met het need-to-know principe;
  • toegang verleend met multi-factorauthenticatie;
  • toegang verleend tot data en applicatieve functies via technische maatregelen.
  • Verlenen toegang aan beheerders
    CLD_U.10.03Alleen gebruikers met geauthenticeerde apparatuur kunnen toegang krijgen tot IT-diensten en data.Krijgen toegang tot IT-diensten en data
    CLD_U.10.04Onder de verantwoordelijkheid van de CSP worden bevoegdheden (systeemautorisaties) voor gebruikers toegekend via formele procedures.Toekennen bevoegdheden voor gebruikers via formele procedures
    CLD_U.10.05Toegang tot IT-diensten en data is beperkt door technische maatregelen en is geïmplementeerd, bijvoorbeeld met het rollen en rechtenconcept.Beperken toegang tot IT-diensten en data door technische maatregelen en implementeren
    CLD_U.11.01In het cryptografiebeleid zijn minimaal de volgende onderwerpen uitgewerkt:
  • wanneer cryptografie ingezet wordt;
  • wie verantwoordelijk is voor de implementatie van cryptologie;
  • wie verantwoordelijk is voor het sleutelbeheer;
  • welke normen als basis dienen voor cryptografie en de wijze waarop de normen van het Forum Standaardisatie worden toegepast;
  • de wijze waarop het beschermingsniveau vastgesteld wordt;
  • bij communicatie tussen organisaties wordt het beleid onderling vastgesteld.
  • Uitwerken cryptografiebeleid
    CLD_U.11.02In geval van PKIoverheid-certificaten: hanteer de PKIoverheid-eisen ten aanzien van het sleutelbeheer. In overige situaties: hanteer de standaard ISO 11770 voor het beheer van cryptografische sleutels.Hanteren PKI-overheidseisen en ISO 11770 voor sleutelbeheer
    CLD_U.11.03Gevoelige data (op transport en in rust) is altijd versleuteld, waarbij private sleutels in beheer zijn bij de CSC. Het gebruik van een private sleutel door de CSP is gebaseerd op een gecontroleerde procedure en moet gezamenlijk worden overeengekomen met de CSC-organisatie.Versleutelen gevoelige data en private-sleutelgebruik baseren op gecontroleerde overeengekomen procedure
    CLD_U.12.01In koppelpunten met externe of onvertrouwde zones zijn maatregelen getroffen om mogelijke aanvallen die de beschikbaarheid van de informatievoorziening negatief beïnvloeden (bijvoorbeeld Distributed Denial of Service attacks (DDos)-aanvallen) te signaleren en hierop te reageren.Treffen maatregelen in koppelpunten met externe of onvertrouwde zones
    CLD_U.12.02Fysieke en gevirtualiseerde netwerkcomponenten zijn zodanig ontworpen en geconfigureerd dat netwerkconnecties tussen vertrouwde en onvertrouwde netwerken worden beperkt en gemonitord (bewaakt).Ontwerpen en configureren netwerkcomponenten om netwerkconnecties te beperken en te monitoren
    CLD_U.12.03Beheeractiviteiten van de CSP zijn strikt gescheiden van de data van de CSC.Scheiden CSP-beheeractiviteiten en CSC-data
    CLD_U.12.04Dataverkeer voor CSC’s zijn in gezamenlijk gebruikte netwerkomgevingen gescheiden volgens een gedocumenteerd concept voor de op netwerkniveau (logische) segmentatie van CSC’s, om zo de integriteit en vertrouwelijkheid van de verzonden gegevens te garanderen.Scheiden dataverkeer in gezamenlijk gebruikte netwerkomgevingen
    CLD_U.12.05Het dataverkeer dat de CSP binnenkomt of uitgaat wordt, in relatie tot de aard van de te beschermen gegevens/informatiesystemen, bewaakt en geanalyseerd op kwaadaardige elementen middels detectievoorzieningen.Bewaken en analyseren dataverkeer op kwaadaardige elementen
    CLD_U.12.06De CSP heeft Intrusion Detection Prevention (IDP) en Intrusion Detection System (IDS) geïntegreerd in een allesomvattend Security Information and Event Management (SIEM), zodat beveiligingsgebeurtenissen en onbekende apparatuur vanuit de benodigde technische maatregelen worden opgemerkt en correctieve maatregelen kunnen worden genomen.Integreren Intrusion Detection Prevention en Intrusion Detection System in SIEM
    CLD_U.12.07Bij ontdekte nieuwe dreigingen worden deze, rekening houdend met geldende juridische kaders, verplicht gedeeld binnen de overheid, waaronder met het NCSC (alleen voor rijksoverheidsorganisaties) of de sectorale Computer Emergency Response Team (CERT), bij voorkeur door geautomatiseerde mechanismen (threat intelligence sharing).Delen nieuwe dreigingen binnen overheid
    CLD_U.13.01Cloud-orkestratietechnologie functioneert met heterogene systemen en mogelijk wereldwijde cloud-implementatie (op verschillende geografische locaties en met verschillende CSP’s).Functioneren orkestratietechnologie met heterogene systemen en mogelijk wereldwijde cloud-implementatie
    CLD_U.13.02De functionele samenhang van de service-componenten is beschreven.Beschrijven functionele samenhang van service-componenten
    CLD_U.13.03Voor orkestratie van cloud-services is de volgende informatie benodigd:
  • de CSC-identiteit;
  • de bedrijfsrelatie van de CSC binnen het cloud-netwerk;
  • het IP-adres van de CSC.
  • Zorgen voor benodigde informatie voor orkestratie van cloudservices
    CLD_U.14.01Om de interoperabiliteit van cloud-services te garanderen, zijn gegevens beschikbaar conform erkende industrie-standaarden en gedocumenteerde invoer- en uitvoerinterfaces.Hebben beschikbare gegevens om interoperabiliteit van cloudservices te garanderen
    CLD_U.14.02Om de portabiliteit van de data te garanderen, maakt de CSP gebruik van beveiligde netwerkprotocollen voor de import en export van data waarmee de integriteit en vertrouwelijkheid wordt gegarandeerd.Gebruiken beveiligde netwerkprotocollen voor import en export van data
    CLD_U.15.01Het overtreden van de beleidsregels wordt door de CSP en de CSC vastgelegd.Vastleggen beleidsregel-overtreding
    CLD_U.15.02De SIEM en/of Security Operation Centre (SOC) hebben heldere regels over wanneer een incident moet worden gerapporteerd aan het verantwoordelijk management.Hebben SIEM- en/of SOC-regels over te rapporteren incident
    CLD_U.15.03De CSP hanteert een lijst van alle activa die kritisch zijn in termen van logging en monitoring en beoordeelt deze lijst regelmatig op correctheid.Hanteren en beoordelen lijst van alle kritische activa
    CLD_U.15.04Aan logboeken en bewaking worden strenge eisen gesteld. Voor de kritieke componenten zijn geavanceerde beveiligingen voor logboeken en bewaking gedefinieerd.Stellen eisen aan logboeken en bewaking
    CLD_U.15.05De toegang tot en het beheer van de loggings- en monitoringsfunctionaliteit is beperkt tot geselecteerde en geautoriseerde medewerkers van de CSP.Beperken toegang tot en beheer van loggings- en monitoringsfunctionaliteit tot CSP-medewerkers
    CLD_U.15.06Wijzigingen in logging en monitoring worden gecontroleerd door onafhankelijke en geautoriseerde medewerkers. (Logregels mogen nooit worden gewijzigd; deze zijn immers bedoeld om als bewijslast te kunnen gebruiken).Controleren wijzigingen in logging en monitoring
    CLD_U.16.01De architectuur specificeert ten minste het volgende:
  • IT-services in relatie met functionaliteit voor bedrijfsprocessen;
  • het vertrouwensniveau van de beveiliging van de clouddiensten;
  • de beschrijving van de infrastructuur, netwerk- en systeemcomponenten die worden gebruikt voor de ontwikkeling en de werking van de cloud-service(s);
  • rollen en verantwoordelijkheden van de CSP en de CSC, inclusief de plichten om samen te werken en de bijbehorende controles bij de CSC;
  • IT-functies die door de CSP zijn toegewezen of uitbesteed aan onderaannemers.
  • Specificeren minimale zaken voor architectuur
    CLD_U.17.01CSC-data op transport en in rust is versleuteld.Versleutelen CSC-data op transport en in rust
    CLD_U.17.02Virtuele machine platforms voor CSC’s met speciale/verhoogde beveiligingsvereisten zijn gescheiden ingericht.Gescheiden inrichten virtuele machine-platforms voor CSC’s
    CLD_U.17.03Virtuele machine platforms zijn gehardend.Hardenen virtuele machine-platforms