Patchmanagement serverplatform

Uit NORA Online
ISOR:Patchmanagement
Naar navigatie springen Naar zoeken springen
Versie 2.0 van 5 maart 2021 van de BIO Thema-uitwerking Serverplatform is vervangen door versie 2.1 van 25 oktober 2021.
De wijzigingen betreffen met name de uniformering van objectdefinities en objectnamen in en tussen BIO Thema-uitwerkingen.
Versie 2.1 in PDF-formaat is op de website CIP-overheid/producten gepubliceerd.
Logo ISOR themaprincipes (vier hangsloten die in elkaar geklikt zitten met tekst ISOR Beveiliging Principe)

Objectdefinitie

Betreft een besturingsproces voor het verwerven, testen en installeren van patches op een computersysteem.

Objecttoelichting

Patchmanagement is het proces dat zorgt voor het verwerven, testen en installeren van patches (wijzigingen ter opheffing van bekende beveiligingsproblemen in de code) op (verschillende softwarecomponenten van) een computersysteem. Een solide updatemechanisme is essentieel om voldoende beschermd te zijn tegen bekende beveiligingsproblemen in software.


De noodzaak van het patchen staat vaak niet ter discussie. Vaak ontstaat echter wel discussie over de urgentie waarmee patches moeten worden uitgevoerd. De ernst van de kwetsbaarheid bepaalt de noodzaak om de tijdsduur tussen het uitkomen van een patch en het implementeren van een patch zo kort mogelijk te houden. Daarom is het van belang vast te stellen welke doelstelling en prioriteit met patchmanagement worden nagestreefd. Het kan voorkomen dat systemen die niet meer ondersteund worden, (tijdelijk) operationeel gehouden moeten worden. In dat geval is het van belang om te weten welke systemen dat zijn en welke aanvullende maatregelen getroffen zijn om deze systemen voor het uitbuiten van kwetsbaarheden te behoeden, zodat inzicht bestaat over het al of niet uitvoeren van de patch op deze systemen.


Criterium

Patchmanagement is procesmatig en procedureel opgezet en wordt ondersteund door richtlijnen zodat het zodanig kan worden uitgevoerd dat op de servers de laatste (beveiligings)patches tijdig zijn geïnstalleerd.

Doelstelling

Het zekerstellen dat kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd.

Risico

De stabiliteit en betrouwbaarheid van servers komt in gevaar.

Indeling binnen ISOR

Dit beveiligingsprincipe:

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten: Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ICT-Beveiligingsrichtlijnen voor Webapplicaties-Richtlijnen C.09

Onderliggende normen

IDConformiteitsindicatorStelling
SVP_U.05.01 Procesmatig

Het patchmanagementproces is beschreven, goedgekeurd door het management en toegekend aan een verantwoordelijke functionaris.

SVP_U.05.02 Procesmatig

Een technisch mechanisme zorgt voor (semi-)automatische updates.

SVP_U.05.03 Procesmatig

Configuratiebeheer geeft het inzicht waarmee servers worden gepatcht.

SVP_U.05.04 Procesmatig

Het patchbeheerproces bevat methoden om:

  • patches te testen en te evalueren voordat ze worden geïnstalleerd;
  • patches te implementeren op servers die niet toegankelijk zijn via het bedrijfsnetwerk;
  • om te gaan met mislukte of niet uitgevoerde patches;
  • te rapporteren over de status van het implementeren van patches;
  • acties te bepalen als een technische kwetsbaarheid niet met een patch kan worden hersteld of een beschikbare patch niet kan worden aangebracht.
SVP_U.05.05 Procedureel

De patchmanagementprocedure is actueel en beschikbaar.

SVP_U.05.06 Procedureel

De rollen en verantwoordelijkheden voor patchmanagement zijn vastgesteld.

SVP_U.05.07 Procedureel

De volgende aspecten van een patch worden geregistreerd:

  • de beschikbare patches;
  • hun relevantie voor de systemen/bestanden;
  • het besluit tot wel/niet uitvoeren;
  • de testdatum en het resultaat van de patchtest;
  • de datum van implementatie;
  • het patchresultaat.
SVP_U.05.08 Richtlijnen

Ter ondersteuning van de patchactiviteiten is op het juiste (organisatorische) niveau een opgestelde patchrichtlijn vastgesteld en geaccordeerd.

SVP_U.05.09 Richtlijnen

Alleen beschikbare patches van een legitieme (geautoriseerde) bron mogen worden geïmplementeerd.

SVP_U.05.10 Richtlijnen

De risico’s die verbonden zijn aan het installeren van de patch worden beoordeeld (de risico’s die worden gevormd door de kwetsbaarheid worden vergeleken met het risico van het installeren van de patch).

SVP_U.05.11 Richtlijnen

Wanneer voor een gepubliceerde technische kwetsbaarheid geen patch beschikbaar is, worden andere beheersmaatregelen overwogen, zoals:

  • het uitschakelen van functionaliteit of diensten;
  • het aanpassen of toevoegen van toegangsbeveiligingsmaatregelen, bijvoorbeeld firewalls, rond de grenzen van netwerken;
  • het vaker monitoren om de werkelijke aanvallen op te sporen;
  • het kweken van bewustzijn over de kwetsbaarheid.