Beperking software-installatie serverplatform

Versie 2.0 van 5 maart 2021 van de BIO Thema-uitwerking Serverplatform is vervangen door versie 2.1 van 25 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Beveiligingsprincipe
ID:	SVP_U.12
Versie:	2.3
Status:	Actueel
Indeling
Beveiligingsaspect:	Uitvoering
Invalshoek:	Gedrag

Objectdefinitie

Systematisch ontwikkelde aanbevelingen ter beperking van het installeren van programmatuur door eindgebruikers.

Objecttoelichting

Veel misbruik van systemen is het gevolg van kwetsbaarheden in software. Het is daarom van belang dat alleen door de organisatie toegestane en gevalideerde software wordt toegelaten op de technische infrastructuur. Voor de installatie en het gebruik van software op servers moeten derhalve regels worden opgesteld en nagevolgd.

Criterium

Er behoren procedures en maatregelen te worden geïmplementeerd om het installeren van software op operationele systemen op beveiligde wijze te beheren.

Doelstelling

Het voorkomen dat software wordt geïnstalleerd die schade kan veroorzaken, zoals het weglekken van informatie, verlies van integriteit, andere informatiebeveiligingsincidenten of het schenden van intellectuele-eigendomsrechten.

Risico

Kwetsbaarheden worden geïntroduceerd.

Indeling binnen ISOR

Dit beveiligingsprincipe:

is gericht op het Beveiligingsaspect Uitvoering;
valt binnen de Invalshoek Gedrag.

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27002:2022 8.19

Onderliggende normen

ID	Conformiteitsindicator	Stelling
SVP_U.12.01	Regels	Installatie en updates op operationele systemen mogen alleen door opgeleide beheerders met passende rechten worden uitgevoerd. Gebruikers mogen geen niet-geautoriseerde software installeren.
SVP_U.12.02	Regels	Uitsluitend goedgekeurde uitvoerbare code mag worden geïnstalleerd. Ontwikkelcode, compilers en andere ontwikkelhulpmiddelen zijn uitgesloten.
SVP_U.12.03	Regels	Software wordt pas geïnstalleerd of geüpdatet na uitgebreide en geslaagde tests. Bijbehorende programmabronbibliotheken worden meegeüpdatet. Een roll-backstrategie wordt vooraf gedefinieerd.
SVP_U.12.04	Regels	Een configuratiebeheersysteem beheert operationele software en documentatie. Van alle wijzigingen wordt een auditlog bijgehouden. Oude versies worden gearchiveerd zolang nodig voor gegevensherstel.