Patchmanagement serverplatform

Versie 2.0 van 5 maart 2021 van de BIO Thema-uitwerking Serverplatform is vervangen door versie 2.1 van 25 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.

Verwante principes → BIO Thema-uitwerking Serverplatform → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

Objectdefinitie

Betreft een besturingsproces voor het verwerven, testen en installeren van patches op een computersysteem.

Objecttoelichting

Patchmanagement is het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem. Een solide updatemechanisme is essentieel om voldoende beschermd te zijn tegen bekende beveiligingsproblemen in software.

De noodzaak van het patchen staat vaak niet ter discussie. Vaak ontstaat echter wel discussie over de urgentie waarmee patches moeten worden uitgevoerd. De ernst van de kwetsbaarheid bepaalt de noodzaak om de tijdsduur tussen het uitkomen van een patch en het implementeren van een patch zo kort mogelijk te houden. Daarom is het van belang vast te stellen welke doelstelling en prioriteit met patchmanagement worden nagestreefd. Het kan voorkomen dat systemen die niet meer ondersteund worden, (tijdelijk) operationeel gehouden moeten worden. In dat geval is het van belang om te weten welke systemen dat zijn en welke aanvullende maatregelen getroffen zijn om deze systemen voor het uitbuiten van kwetsbaarheden te behoeden, zodat inzicht bestaat over het al of niet uitvoeren van de patch op deze systemen.

Criterium

Patchmanagement is procesmatig en procedureel opgezet en wordt ondersteund door richtlijnen zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd.

Doelstelling

Het zekerstellen dat kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd.

Risico

De stabiliteit en betrouwbaarheid van servers komt in gevaar.

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op het Beveiligingsaspect Uitvoering;
  
• valt binnen de Invalshoek Functie.
  

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen C.09

Onderliggende normen

ID	Conformiteitsindicator	Stelling
SVP_U.05.01	Procesmatig	Het patchmanagementproces is beschreven, goedgekeurd door het management en toegekend aan een verantwoordelijke functionaris.
SVP_U.05.02	Procesmatig	Een technisch mechanisme zorgt voor (semi-)automatische updates.
SVP_U.05.03	Procesmatig	Configuratiebeheer geeft het inzicht waarmee servers worden gepatcht.
SVP_U.05.04	Procesmatig	Het patchbeheerproces bevat methoden om: patches te testen en te evalueren voordat ze worden geïnstalleerd; patches te implementeren op servers die niet toegankelijk zijn via het bedrijfsnetwerk; om te gaan met mislukte of niet uitgevoerde patches; te rapporteren over de status van het implementeren van patches; acties te bepalen als een technische kwetsbaarheid niet met een patch kan worden hersteld of een beschikbare patch niet kan worden aangebracht.
SVP_U.05.05	Procedureel	De patchmanagementprocedure is actueel en beschikbaar.
SVP_U.05.06	Procedureel	De rollen en verantwoordelijkheden voor patchmanagement zijn vastgesteld.
SVP_U.05.07	Procedureel	De volgende aspecten van een patch worden geregistreerd: de beschikbare patches; hun relevantie voor de systemen/bestanden; het besluit tot wel/niet uitvoeren; de testdatum en het resultaat van de patchtest; de datum van implementatie; het patchresultaat.
SVP_U.05.08	Richtlijnen	Ter ondersteuning van de patchactiviteiten is op het juiste (organisatorische) niveau een opgestelde patchrichtlijn vastgesteld en geaccordeerd.
SVP_U.05.09	Richtlijnen	Alleen beschikbare patches van een legitieme (geautoriseerde) bron mogen worden geïmplementeerd.
SVP_U.05.10	Richtlijnen	De risico’s die verbonden zijn aan het installeren van de patch worden beoordeeld (de risico’s die worden gevormd door de kwetsbaarheid worden vergeleken met het risico van het installeren van de patch).
SVP_U.05.11	Richtlijnen	Wanneer voor een gepubliceerde technische kwetsbaarheid geen patch beschikbaar is, worden andere beheersmaatregelen overwogen, zoals: het uitschakelen van functionaliteit of diensten; het aanpassen of toevoegen van toegangsbeveiligingsmaatregelen, bijvoorbeeld firewalls, rond de grenzen van netwerken; het vaker monitoren om de werkelijke aanvallen op te sporen; het kweken van bewustzijn over de kwetsbaarheid.