Communicatievoorzieningen Control

Uit NORA Online
ISOR:BIO Thema Communicatievoorzieningen Control
Ga naar: navigatie, zoeken
Deze informatie is onderdeel van BIO Thema Communicatievoorzieningen.

Meer lezen

BIO Thema Communicatievoorzieningen
Alle normenkaders
Beveiligingsaspecten
Invalshoeken
ISOR

Binnen het Controldomein zijn specifieke inrichting- en beveiligingsobjecten ten aanzien van Communicatievoorzieningen beschreven en per object zijn conformiteitsindicatoren uitgewerkten. Deze conformiteitindicatoren representeren een vast te stellen set van implementatie-elementen (maatregelen).

Beheersing van netwerk(diensten) beoogt de beveiligingsrisico’s te beperken. Hiertoe dienen periodiek door bepaalde functionaris met specifieke bevoegdheden controle activiteiten te worden verricht. Deze activiteiten dienen ondersteund te worden met procedures en richtlijnen (instructies). De structuur van de beheersingsorganisatie beschrijft de samenhang van de ingerichte processen.

Onderstaande tabel en afbeelding tonen het resultaat van de SIVA analyse ten aanzien van relevante objecten voor Communicatievoorzieningen. De wit ingekleurde objecten ontbreken als control in de ISO2700x, maar zijn van belang voor dit thema. Om deze reden zijn aanvullende objecten uit andere baselines opgenomen.

”Onderwerpen die binnen het Control domein een rol spelen”
Onderwerpen die binnen het Control domein een rol spelen


 Nr.   Relevante beveiligingsobjecten   Referentie naar standaarden   IFGS 
 C.01   Naleving richtlijnen netwerkbeheer en evaluaties   BIO:18.2.3, SoGP: SM1.1.1, SM3.5.2   I 
 C.02   Netwerkbeveiliging compliancy checking   BIO:8.2.2.4, ISO27033-1 ISO27033-2: 7.2.6, 8.7   F 
 C.03   Evalueren van robuustheid netwerkbeveiliging   BIO:18.1.2, 18.2.1,  ISO27033-1: 8.2.5, SoGP: NW1.3   F 
 C.04   Evalueren van netwerkgebeurtenissen (monitoring)   BIO:8.2.4, ISO27033-1   G 
 C.05   Beheersorganisatie netwerkbeveiliging   ISO27003: ISMS, SoGP: NW1.4   S 
Communicatievoorzieningen, Voor het Controldomein uitgewerkte Beveiligingsobjecten</table>


Risico

Als de noodzakelijke beheersingsmaatregelen binnen de organisatie ontbreken, dan is het niet zeker dat de netwerkomgeving aan de beoogde organisatorische en beveiligingsvoorwaarden voldoet en de naleving van deze omgeving toereikend is ingericht. Ook kan niet worden vastgesteld dat gewenste beveiligingsmaatregelen worden nageleefd.

Doelstelling

Doel van het Controldomein (beheersing) is te zorgen en/of vast te stellen dat:

  • netwerkdiensten veilig zijn ingericht voor het leveren van de beoogde prestaties;
  • het beoogde beveiligingsniveau van technische netwerkdiensten en netcomponenten kan worden gegarandeerd.

Dit betekent dat de organisatie over adequate beheersingsorganisaties beschikt en waarin beheerprocessen zijn vormgegeven.

Principes uit de BIO Thema Communicatievoorzieningen binnen dit aspect

IDprincipeCriterium
CommVZ_C.01Naleving richtlijnen netwerkbeheer en evaluatiesRichtlijnen voor de naleving van het netwerkbeveiligingsbeleid behoren periodiek getoetst en geëvalueerd te worden.
CommVZ_C.02Netwerk security compliancy checkingDe naleving van een, conform het beveiligingsbeleid, veilige inrichting van netwerk(diensten), behoort periodiek gecontroleerd te worden en de resultaten behoren gerapporteerd te worden aan het verantwoordelijk management (Compliancy checks).
CommVZ_C.03Evalueren netwerkbeveiligingDe robuustheid van de beveiligingsmaatregelen en de naleving van het netwerkbeveiligingsbeleid behoren periodiek getest en aangetoond te worden.
CommVZ_C.04Evalueren netwerk monitoringToereikende logging en monitoring behoort te zijn ingericht, om detectie, vastlegging en onderzoek mogelijk te maken van gebeurtenissen, die mogelijk van invloed op, of relevant kunnen zijn voor, de informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen..
CommVZ_C.05Beheerorganisatie netwerkbeveiligingAlle verantwoordelijkheden bij informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. behoren te worden gedefinieerd en toegewezen.

Normen uit de BIO Thema Communicatievoorzieningen binnen dit aspect

IDStellingNorm
CommVZ_C.01.1De naleving van netwerkbeveiligingsbeleid wordt periodiek getoetst en geëvalueerd op basis van een audit van tenminste de volgende elementen:
  • netwerk topologie / ontwerp, op basis van principes als “defence in depth”en “inbraak betekent geen doorbraak”;
  • identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. en authenticatie mechanismen;
  • autorisatiemechanismen en actuele administratie van uitgegeven rechten;
  • actuele beleidsregels voor netwerkbeveiliging;
  • aanwijzingen voor hardening van netwerkcomponenten;
  • verifieerbare auditlog oplossing.
De naleving van netwerkbeveiligingsbeleid wordt periodiek getoetst en geëvalueerd
CommVZ_C.02.1Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarhedenanalyses of penetratietesten.Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico’s
CommVZ_C.02.2De checklist voor veilige inrichting van netwerk(diensten) is samengesteld vanuit:
  • actueel beveiligingsbeleid;
  • gerelateerde Security Operation documentatie;
  • specifieke beveiligingsarchitectuur voor netwerk en communicatie(diensten);
  • beleid voor toegang tot Security gateway services;
  • bedrijfscontinuïteitsplannen;
  • relevante beveiligingscondities voor netwerkverbindingen.
  • Checklist voor veilige inrichting van netwerk(diensten)
    CommVZ_C.02.3Resultaten worden gerapporteerd aan het verantwoordelijke management.Resultaten worden gerapporteerd aan het verantwoordelijke management
    CommVZ_C.03.1De teststrategie voor netwerkbeveiliging is vastgelegd, geactualiseerd en bevat tenminste de volgende onderzoekselementen:
  • robuustheid van het ontwerp, op basis van principes als “defence in depth” en “inbraak betekent geen doorbraak”;
  • sterkte van IAA mechanismen en de relevantie van uitgegeven rechten;
  • juiste implementatie van beleidsregels voor netwerkbeveiliging;
  • verificatie van de hardening van netwerkcomponenten;
  • verificatie van de auditlog oplossing;
  • bruikbaarheid en functionele doelmatigheid van beveiligingsmaatregelen;
  • informatie over gebeurtenissen en incidenten, gerapporteerd door service personeel en eindgebruikers.
  • De teststrategie voor netwerkbeveiliging is vastgelegd en geactualiseerd
    CommVZ_C.04.1Zeer belangrijke onderdelen van netwerkbeveiliging zijn het:
  • via auditlogging en continue monitoring en gekoppeld aan detectie registreren van gebeurtenissen;
  • onderzoek uit te voeren én vervolgens
  • snel te reageren.
  • Zeer belangrijke onderdelen van netwerkbeveiliging
    CommVZ_C.04.2Continue bewaking via monitoring legt de volgende informatie vast:
  • audit logs vanuit de netwerkcomponenten firewalls, router, servers etc;
  • analyse-informatie vanuit Intrusion Detection Systemen (IDS);
  • resultaten vanuit netwerkscanning activiteiten.
  • Continue bewaking via monitoring
    CommVZ_C.05.1De communicatievoorzieningen worden geïdentificeerd en gedefinieerd.De communicatievoorzieningen worden geïdentificeerd en gedefinieerd
    CommVZ_C.05.2Beheerderstaken vereisen in sommige gevallen vergaande bevoegdheden, met risico’s voor de doelorganisatie. Het beleggen van de juiste verantwoordelijkheden en toezien op het beoogde gebruik daarvan vergt extra aandacht:
  • de entiteit, die verantwoordelijk is voor de communicatievoorzieningen worden bepaald en de taken en details, vanuit de verantwoordelijkheid zijn actueel, vastgelegd en bekend;
  • de rollen en (speciale) bevoegdheden van netwerkbeheerders zijn gedefinieerd en gedocumenteerd;
  • de netwerkbeheerders zijn en blijven goed opgeleid en competent voor de uitvoering van hun taken;
  • de coördinatie en overzicht van informatiebeveiligingsaspecten van dienstverleners is geïdentificeerd gedocumenteerd en wordt continu gemonitord.
  • Beheerderstaken vereisen bevoegdheden met risico’s voor de doelorganisatie