Page Comparison

PAS TOE

Image Added

Inrichten, documenteren, valideren en regelmatig reviewen van een kwetsbaarhedenbeheersproces: 

• Documenteren, goedkeuren, onderhouden en testen (effectiviteit) van een kwetsbaarhedenbeheersproces

• Melden van een kwetsbaarheid aan een meldpunt; 

• Registratie en documentatie van de kwetsbaarheid minimaal in een logboek; 

• Beoordeling van de geregistreerde kwetsbaarheid op basis van dreigingen en de waarschijnlijkheid dat deze effectief voorkomen bij specifieke business processen en assets

• Beheersing van de geregistreerde kwetsbaarheid

• Validatie van de genomen maatregelen ihkv de beheersing van de geregistreerde kwetsbaarheid; 

• Rapportering van de geregistreerde kwetsbaarheid

• Uitvoeren van lessons learned voor kwetsbaarheden met het oog op het verkrijgen van inzichten in procesoptimalisaties. 

PAS TOE

Klasse 1, Klasse 2 enKlasse 3 kennen dezelfde maatregelen:  

• Code Review 

  • Statische code reviews vanaf de start van de ontwikkeling 

  • Automatische unit tests 

• Vulnerability Scanning 

  • Regelmatige scans gericht op detectie van kwetsbaarheden

  • Auditlogging actief 

  • Gebruikte tool moet alle DIM/DIU versleutelen 

  • Actieve detectie en behandeling van kwetsbaarheden gemeld door externe bronnen (zoals CVE-databases of leveranciers) 

  • Automatische aanmaak van incident voor verdere afhandeling binnen incidentbeheer 

  • Scans dienen zorgvuldig uitgevoerd te worden zonder dat ze de systeemfuncties nadelig beïnvloeden (CyFun DE.CM-8.1) 

• Penetratietesten 

  • Specifieke penetratietesten waarbij bekende aanvalsvectoren op data worden getest. Scope vastgelegd in overleg met de specialist informatieveiligheid van je organisatie. 

  • Auditlogging actief 

  • Gebruikte tool moet alle DIM/DIU versleutelen 

• Responsible Disclosure 

  • Algemene responsible disclosure programma’s 

• Rapportage en Risicoaanvaarding 

  • Formeel vastleggen risico appetijt (CyFun ID.RM-2.1, ID.BE-2.1) 

  • Duidelijke rapportageprocedures voor alle processen met KRI’s en formele (rest-)risicoaanvaarding door het management. 

  • Beoordeling of bepaalde informatie nuttig is voor verdere verspreiding buiten de organisatie (kwetsbaarheid in algemeen gebruikte software, scope van onze scanning, wanneer stoppen we met OT scanning om geen downtime te creëren, ...) en hiernaar handelen bij informatiedeling (CyFun ID.RA-2.1). 

• Continue verbetering 

  • Regelmatige evaluatie van incidenten, kwetsbaarheden en testresultaten om beveiligingsmaatregelen aan te passen. 

  • Integratie van geleerde lessen uit vulnerability scans, penetratietesten en code reviews om toekomstige risico’s te mitigeren.

PAS TOE OF LEG UIT

Klasse 4 kent volgende maatregelen:

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Code Review 

  • Dynamische reviews vanaf de test omgeving 

• Vulnerability Scanning 

  • Frequente en diepgaande scans op alle data verwerkende systemen, met alarmen en directe actie bij geconstateerde kwetsbaarheden (CyFun DE.DP-5.2). 

• Penetratietesten 

  • Gerichte penetratietesten waarbij alle mogelijke aanvalstechnieken worden getest. 

• Rapportage en Risicoaanvaarding 

  • Intensieve automatische rapportage met expliciete (rest-)risicoaanvaarding door het hoogste management (CyFun RS.AN-5.2). 

  • Alle kwetsbaarheden worden onmiddellijk geëscaleerd naar het hoogste managementniveau. 

• Continue verbetering 

  • Continue evaluatie van incidenten, kwetsbaarheden en testresultaten bij kritische systemen om beveiligingsmaatregelen aan te passen.

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

• Vulnerability Management 

  • Automatische opvolging van de remediëring van gemelde kwetsbaarheden 

PAS TOE

Klasse 1, Klasse 2 en Klasse 3 kennen dezelfde maatregelen:  

• Performantietesten 

  • Specifieke test op beschikbaarheid en stabiliteit van het systeem onder hoge belasting 

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal kantooruren (5d x 10u)  

PAS TOE OF LEG UIT

Klasse 4 en Klasse 5 kennen dezelfde maatregelen

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal permanente beschikbaarheid (7d x 24u) 

Er zijn geen NIS2 specifieke maatregelen voor Klasse 1,  Klasse 2, Klasse 3 en  

Klasse 4 

Voor Klasse 5 gelden volgende maatregelen:

Vulnerability Management  

• Code moet digitaal gesigned zijn

  • Bij inbreuk: automatisch antwoord zodat dit direct gestopt wordt