Middleware Uitvoering
BIO Thema Middleware is een nieuwe BIO Thema-uitwerking. Versie 1.0 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd. De ontsluiting in de Information Security Object Respository (ISOR) zal eind 2023 plaatsvinden.
Deze informatie is onderdeel van BIO Thema-uitwerking Middleware.
| ID: | MDW_U |
|---|---|
| Normenkader-aspect | |
| Versie: | 1.3 |
| Status: | Actueel |
| Indeling | |
| Beveiligingsaspect: |
 |
| Invalshoek: | |
Meer lezenbewerken
Doelstellingbewerken
De doelstelling van het uitvoeringsdomein is het waarborgen dat organisatorische en technische voorzieningen voorhanden zijn om te garanderen dat middlewarefuncties voldoen aan de eisen van beschikbaarheid, vertrouwelijkheid, integriteit en controleerbaarheid.
Risico'sbewerken
Wanneer een adequate inrichting en operationeel beheer van middlewarefunctionaliteiten ontbreekt, is het risico dat:
- onbevoegden zich toegang verschaffen tot middlewarefaciliteiten en dat gebruikers met te ruime bevoegdheden ongewenste acties uitvoeren;
- de integriteit van gegevensverwerking geschaad wordt.
- Per object zijn specifieke risico’s geformuleerd in de navolgende paragrafen.
Objecten, controls en maatregelen
Binnen het uitvoeringsdomein zijn specifieke inrichtings- en beveiligingsobjecten voor middleware beschreven en uitgewerkt naar controls en conformiteitsindicatoren. Zie tabel 2 voor het overzicht van beveiligingsobjecten in het uitvoeringsdomein. De rood gemarkeerde objecten komen voor in de BIO2. De wit gemarkeerde objecten zijn ontleend aan andere best practices. De objecten zijn ingedeeld naar de invalshoeken intentie, functie, gedrag en structuur.
Disclaimer: de mate waarin bepaalde objecten, controls en maatregelen van toepassing zijn, is sterk afhankelijk van het type leverancier dat de IT-diensten in samenhang levert aan de klantorganisatie en van de wijze van informatie-uitwisseling van de klant en leverancier met partnerorganisaties.
Voor de afname van middlewarefunctionaliteit van externe IT-leveranciers en SaaS-/iPaaS-leveranciers, zullen afnemers moeten sturen op certificering van leveranciers en het verplicht stellen van frequente audits en ethical hacking, waarbij de afnemer mee mag denken inzake de te valideren aspecten. (SaaS staat voor Software as a Service. iPaaS staat voor integration Platform as a Service).
Zie voor relevante objecten en maatregelen voor clouddiensten de BIO Thema-uitwerking Clouddiensten.
In het uitvoeringsdomein worden controls en maatregelen voor middlewarefunctionaliteiten opgenomen. Hiermee wordt onder andere gerefereerd naar functionaliteiten zoals het opslaan van gegevens (databases of database services, opslag, storage e.d.), het veiligstellen en herstellen van data (back-up en herstel) en de integratie van applicaties met hun omgeving, al dan niet via berichtenverkeer. Eerst worden de objecten genoemd die voor middleware als geheel van belang zijn en vervolgens enkele specifieke objecten voor opslag en integratieservices.
Principes uit de BIO Thema Middleware binnen dit aspectbewerken
| ID | Principe | Criterium |
|---|---|---|
| MDW_U.01 | Richtlijnen en procedures middlewarefunctionaliteit | Richtlijnen en procedures voor middlewaremanagement en middlewarefunctionaliteiten behoren te worden gedocumenteerd en beschikbaar gesteld aan alle beheerders die ze nodig hebben. |
| MDW_U.02 | Rollen en verantwoordelijkheden middlewarefunctionaliteit | Alle rollen en verantwoordelijkheden voor het installeren en onderhouden van middlewarefunctionaliteiten behoren te worden gedefinieerd en toegewezen. |
| MDW_U.03 | Toegang tot middlewarefunctionaliteit | Het toewijzen en gebruik van speciale toegangsrechten tot de middlewarefunctionaliteiten en speciale systeemhulpmiddelen behoren te worden beperkt en beheerst. |
| MDW_U.04 | Hardening middlewarecomponenten | Voor het beveiligen van middlewarecomponenten behoren overbodige functies en ongeoorloofde toegang te worden uitgeschakeld. |
| MDW_U.05 | Configuratie middlewarecomponenten | De leverancier heeft volgens de richtlijnen en procedures de middlewarecomponenten geconfigureerd. |
| MDW_U.06 | Logging en monitoring middleware | Middleware biedt continue signaleringsfuncties voor registratie en detectie, die beveiligd zijn ingericht. |
| MDW_U.07 | Ontwerpdocumentatie | Het (her)ontwerp van middleware behoort te zijn 'gedocumenteerd. |
| MDW_U.08 | Vertrouwelijkheid en integriteit data | Gevoelige data behoort volgens het overeengekomen beleid over maskerings- of crypto-maatregelen, tijdens opslag voor onbevoegden te zijn gemaskeerd of versleuteld. |
| MDW_U.09 | Betrouwbare dataopslag | Opslagfaciliteiten behoren met voldoende redundantie te worden geïmplementeerd om aan beschikbaarheidseisen te voldoen. |
| MDW_U.10 | Dataherstel | Regelmatig behoren back-upkopieën van informatie te worden gemaakt en getest in overeenstemming met een overeengekomen back-upbeleid. |
| MDW_U.11 | Schonen data en media | Media behoren op een veilige en beveiligde manier te worden verwijderd als ze niet langer nodig zijn, overeenkomstig formele procedures. |
| MDW_U.12 | Beveiliging berichtenverkeer | Informatie die deel uitmaakt van transacties van toepassingen behoort te worden beschermd ter voorkoming van onvolledige overdracht, foutieve routering, onbevoegd wijzigen van berichten, onbevoegd openbaar maken, onbevoegd vermenigvuldigen of afspelen. |
| MDW_U.13 | Capaciteitsbeheer middleware | Het gebruik van middelen behoort te worden gemonitord en beoordeeld, en er behoren verwachtingen te worden opgesteld voor toekomstige capaciteitseisen om de vereiste systeemprestaties te waarborgen. |
Normen uit de BIO Thema Middleware binnen dit aspectbewerken
| ID | Stelling | Norm |
|---|---|---|
| MDW_U.01.01 | De leverancier past formele richtlijnen en procedures toe voor het installeren, onderhouden en toekennen van de toegang tot de middlewareomgeving/producten en het verzorgen van back-up/herstel. | Richtlijnen en procedures voor beheer en toegang tot de middlewareomgeving |
| MDW_U.01.02 | Er zijn formele intake-procedures voor het in beheer nemen van middlewareproducten. | Formele intakeprocedures voor het in beheer nemen van middlewareproducten |
| MDW_U.01.03 | Middlewareproducten mogen als onderdeel van de IT-infrastructuur pas na het doorlopen van een formeel afgesproken acceptatietraject beschikbaar worden gesteld. | Formeel acceptatietraject voor ingebruikname van middlewareproducten |
| MDW_U.01.04 | De bedieningsprocedures voor middleware omvatten onder meer:
| Bedieningsprocedures voor beheer, monitoring en herstel van middleware |
| MDW_U.02.01 | De verantwoordelijkheden aan beheerders zijn toegewezen op basis van beleidsregels voor de beveiliging van middlewarefunctionaliteiten. | Toewijzing van beheerdersverantwoordelijkheden volgens middlewarebeveiligingsbeleid |
| MDW_U.02.02 | Verantwoordelijkheden voor bovengenoemde activiteiten bij middlewarefunctionaliteiten zijn toebedeeld aan specifieke functionarissen en rollen. | Toewijzing van rollen en verantwoordelijkheden voor middlewareactiviteiten |
| MDW_U.02.03 | De rollen en (speciale) bevoegdheden van beheerders van middlewarefunctionaliteiten zijn gedefinieerd en gedocumenteerd. | Definitie en documentatie van rollen en bevoegdheden van middlewarebeheerders |
| MDW_U.03.01 | Middlewarefunctionaliteiten, zoals databases, opslagbeheer en integratiefuncties mogen niet buiten reguliere paden om door gebruikers te benaderen zijn. | Beperkingen op directe toegang tot middlewarefunctionaliteiten door gebruikers |
| MDW_U.03.02 | Gebruikers verkrijgen toegang tot de middlewarefunctionaliteiten volgens de gedefinieerde reguliere paden en met goedkeurde additionele hulpmiddelen:
| Toegang tot middlewarefunctionaliteiten via reguliere paden en geauthenticeerde hulpmiddelen |
| MDW_U.03.03 | Gegevens binnen middlewarecomponenten (of die door middlewarefunctionaliteiten worden geboden) mogen niet ongeautoriseerd worden gewijzigd. | Bescherming tegen ongeautoriseerde wijziging van gegevens in middlewarecomponenten |
| MDW_U.03.04 | Middlewarecomponenten zijn beschermd tegen ongeoorloofde toegang doordat:
• onnodige of onveilige gebruikersaccounts zijn verwijderd; • belangrijke beveiliging-gerelateerde parameters juist zijn ingesteld. | Beveiliging van middlewarecomponenten tegen ongeoorloofde toegang |
| MDW_U.06.01 | In de middlewarearchitectuur zijn detectiemechanismen actief voor het vastleggen en detecteren van aanvallen (mechanismen leveren input aan een SIEM-systeem of gelijkwaardig). | Detectiemechanismen voor aanvaldetectie in de middlewarearchitectuur |
| MDW_U.06.02 | De te registreren acties worden centraal opgeslagen (in een SIEM-systeem of gelijkwaardig). | Centrale opslag van geregistreerde acties in een SIEM-systeem |
| MDW_U.06.03 | Er is vooraf bepaald wat te doen bij het uitvallen van loggingsmechanismen (alternatieve paden). | Procedure bij uitval van loggingsmechanismen |
| MDW_U.06.04 | De (online of offline) bewaartermijn voor logging is vastgesteld en komt tot uitdrukking in de configuratie-instellingen van binnen het softwarepakket. | Vastgestelde bewaartermijnen voor logging in configuratie-instellingen |
| MDW_U.07.01 | Het ontwerp van middleware van informatiesystemen is gedocumenteerd, waarbij onder andere beschreven is:
| Gedocumenteerd ontwerp van middlewarearchitectuur en componentinteracties |
| MDW_U.07.02 | Documentatie van een (her)ontwerp is bij voorkeur in een repository opgeslagen, om op eenvoudige wijze de impact van een aanpassing te kunnen bepalen. | Opslag van ontwerpdocumentatie in een repository voor impactanalyse |
| MDW_U.08.01 | Voor dataopslag dienen uitsluitend adequate encryptiealgoritmen en -methoden van maskering te worden toegepast, zoals aangegeven op de ‘pas-toe-en-leg-uit lijst’ van het Forum Standaardisatie. | Encryptie en datamaskering voor veilige dataopslag volgens Forum Standaardisatie |
| MDW_U.08.02 | Waar mogelijk dient een centraal toepasbaar sleutelbeheersysteem te worden toegepast voor de generatie en archivering van cryptosleutels. | Centraal sleutelbeheersysteem voor generatie en archivering van cryptosleutels |
| MDW_U.08.03 | De sterkte van de cryptografie wordt gebaseerd op de actuele adviezen van het NCSC en de Unit Weerbaarheid van de AIVD. | Cryptografische sterkte gebaseerd op adviezen van NCSC en AIVD |
| MDW_U.08.04 | Er zijn (contractuele) afspraken over reservecertificaten van een alternatieve leverancier als uit de risicoafweging blijkt dat deze noodzakelijk zijn als onderdeel van gereedheid voor bedrijfscontinuïteit. | Afspraken over reservecertificaten voor waarborging van bedrijfscontinuïteit |
| MDW_U.09.01 | De beveiliging van opslagfaciliteiten bevat verschillende lagen van redundancy, waarmee ‘single points of failure’ worden voorkomen en de overeengekomen beschikbaarheid van data kan worden gegarandeerd. | Beveiliging en redundantie van opslagfaciliteiten voor beschikbaarheid van data |
| MDW_U.09.02 | Redundancy moet zoveel mogelijk worden benut. | Maximale benutting van redundantie |
| MDW_U.09.03 | De technische betrouwbaarheid van opslagsystemen mag de effectiviteit van beveiligingsfuncties niet kunnen beïnvloeden. | Technische betrouwbaarheid van opslagsystemen en de onafhankelijkheid van beveiligingsfuncties |
| MDW_U.09.04 | Kwetsbaarheden van opslagsystemen dienen proactief te worden verholpen om hun impact op de betrouwbaarheid te beperken. | Proactief verhelpen van kwetsbaarheden in opslagsystemen |
| MDW_U.10.01 | Back-upinformatie is beschermd tegen ongeautoriseerde toegang, bijvoorbeeld met encryptie. | Bescherming van back-upinformatie tegen ongeautoriseerde toegang |
| MDW_U.10.02 | Uitsluitend geautoriseerde personen hebben toegang tot back-upmedia. | Toegangsbeheersing voor back-upmedia |
| MDW_U.10.03 | Kopieën voor bedrijfs-kritische informatie worden met passende zorg voor betrouwbaarheid, fout-tolerantie en performance gemaakt en beheerd. | Beheer van kopieën van bedrijfskritische informatie voor betrouwbaarheid en performance |
| MDW_U.10.04 | Op basis van een expliciete risicoafweging is bepaald wat het maximaal toegestane dataverlies is en wat de maximale hersteltijd is na een incident. | Risicoafweging voor maximaal toegestaan dataverlies en hersteltijd |
| MDW_U.10.05 | Periodiek (minimaal jaarlijks en na een grote wijziging) wordt getest of herstel van back-updata werkt en of disaster recovery van opslagsystemen functioneert. | Periodieke tests van herstel van back-updata en disaster recovery |
| MDW_U.11.01 | Er is een verwijderinstructie waarin is opgenomen dat van verwijderbare media die herbruikbaar zijn en die de organisatie verlaten de onnodige inhoud onherstelbaar verwijderd is. | Verwijderinstructie voor onherstelbare verwijdering van inhoud op herbruikbare media |
| MDW_U.11.02 |
| Onherstelbare verwijdering van data op media conform NBV-richtlijnen |
| MDW_U.12.01 | Er kunnen uitsluitend berichten van en met geauthentiseerde gebruikers en systemen worden uitgewisseld. | Berichtuitwisseling uitsluitend met geauthenticeerde gebruikers en systemen |
| MDW_U.12.02 | De applicaties en systemen die berichten uitwisselen zijn bekend. | Registratie van applicaties en systemen voor berichtuitwisseling |
| MDW_U.12.03 | Fout of onvolledig uitgewisselde data wordt herkend en hersteld. | Herkenning en herstel van fout of onvolledig uitgewisselde data |
| MDW_U.12.04 | Het dataverkeer van of naar de vertrouwde omgeving, wordt bewaakt/geanalyseerd op verdacht verkeer met detectievoorzieningen. | Bewaking en analyse van dataverkeer op verdacht verkeer met detectievoorzieningen |
| MDW_U.12.05 | Geavanceerde en/of gekwalificeerde elektronische handtekeningen moeten voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie. | Vereisten voor geavanceerde elektronische handtekeningen conform AdES Baseline Profiles |
| MDW_U.12.06 | Maak bij openbaar webverkeer van gevoelige gegevens gebruik van ten minste publiek vertrouwde Organization Validated-certificaten. Maak bij intern webverkeer voor gevoelige gegevens gebruik van ten minste publieke vertrouwde OV-certificaten of private PKIo-certificaten. Hogere eisen aan certificaten kunnen voortvloeien uit een risicoanalyse, aansluitvoorwaarden of wetgeving. | Certificaatvereisten voor webverkeer met gevoelige gegevens op basis van risicoanalyse |
| MDW_U.12.07 | Internetfacing-informatiesystemen en e-mail- berichtenverkeer moeten blijvend voldoen aan de verplichte standaarden, zie hiervoor de website van het Forum Standaardisatie. Hierop wordt gestuurd met de metingen van internet.nl. Daarbij dienen alle onderdelen te worden ingesteld zodat een optimale beveiliging wordt bereikt zonder afbreuk te doen aan de functionaliteit van de geboden dienst. | Naleving van verplichte standaarden voor internetfacing-systemen en e-mailverkeer conform Forum Standaardisatie |
| MDW_U.13.01 | De doorvoercapaciteit van de integratievoorziening wordt bewaakt op:
| Bewaking van doorvoercapaciteit en prestaties van de integratievoorziening |
| MDW_U.13.02 | Netwerken waar integratievoorzieningen gebruik van maken, worden bewaakt op DoS- en DDoS-aanvallen. | Monitoring van netwerken op DoS- en DDoS-aanvallen |
| MDW_U.13.03 | De resultaten van monitoractiviteiten worden gereviewd en gepresenteerd aan de eigenaren van de bedrijfsprocessen. (De aanbieder wordt daarbij geacht een plan B te hebben als de limieten van de dienstverlening structureel behaald/overschreden worden.) | Review en rapportage van monitorresultaten aan proceseigenaren |
| mDW_U.05.01 | De richtlijnen en procedures voor het configureren van middlewarecomponenten hebben onder andere betrekking op:
| Richtlijnen en procedures voor configuratie en beheer van middlewarecomponenten |
Ga naar de gebruikerspagina van Gebruiker:GvdB
Contact: +31611307897 (Signal)
Gewijzigd:
10 maart 2026 13:54:12
Verplichting: Informatief
Beheerregime:
Fase: Evaluatiefase
15 februari 2021 15:16:16
10 maart 2026 13:54:12
13
Informatief
18 april 2024
