Page Comparison

PAS TOE

Image Added

Inrichten, documenteren, valideren en regelmatig reviewen van een kwetsbaarhedenbeheersproces: 

• Documenteren, goedkeuren, onderhouden en testen (effectiviteit) van een kwetsbaarhedenbeheersproces

• Melden van een kwetsbaarheid aan een meldpunt; 

• Registratie en documentatie van de kwetsbaarheid minimaal in een logboek; 

• Beoordeling van de geregistreerde kwetsbaarheid op basis van dreigingen en de waarschijnlijkheid dat deze effectief voorkomen bij specifieke business processen en assets

• Beheersing van de geregistreerde kwetsbaarheid

• Validatie van de genomen maatregelen ihkv de beheersing van de geregistreerde kwetsbaarheid; 

• Rapportering van de geregistreerde kwetsbaarheid

• Uitvoeren van lessons learned voor kwetsbaarheden met het oog op het verkrijgen van inzichten in procesoptimalisaties. 

PAS TOE

Klasse 1, Klasse 2 enKlasse 3 kennen dezelfde maatregelen:  

• Code Review 

  • Statische code reviews vanaf de start van de ontwikkeling 

  • Automatische unit tests 

• Vulnerability Scanning 

  • Regelmatige scans gericht op detectie van kwetsbaarheden

  • Auditlogging actief 

  • Gebruikte tool moet alle DIM/DIU versleutelen 

  • Actieve detectie en behandeling van kwetsbaarheden gemeld door externe bronnen (zoals CVE-databases of leveranciers) 

  • Automatische aanmaak van incident voor verdere afhandeling binnen incidentbeheer 

  • Scans dienen zorgvuldig uitgevoerd te worden zonder dat ze de systeemfuncties nadelig beïnvloeden (CyFun DE.CM-8.1) 

• Penetratietesten 

  • Specifieke penetratietesten waarbij bekende aanvalsvectoren op data worden getest. Scope vastgelegd in overleg met de specialist informatieveiligheid van je organisatie. 

  • Auditlogging actief 

  • Gebruikte tool moet alle DIM/DIU versleutelen 

• Responsible Disclosure 

  • Algemene responsible disclosure programma’s 

• Rapportage en Risicoaanvaarding 

  • Formeel vastleggen risico appetijt (CyFun ID.RM-2.1, ID.BE-2.1) 

  • Duidelijke rapportageprocedures voor alle processen met KRI’s en formele (rest-)risicoaanvaarding door het management. 

  • Beoordeling of bepaalde informatie nuttig is voor verdere verspreiding buiten de organisatie (kwetsbaarheid in algemeen gebruikte software, scope van onze scanning, wanneer stoppen we met OT scanning om geen downtime te creëren, ...) en hiernaar handelen bij informatiedeling (CyFun ID.RA-2.1). 

• Continue verbetering 

  • Regelmatige evaluatie van incidenten, kwetsbaarheden en testresultaten om beveiligingsmaatregelen aan te passen. 

  • Integratie van geleerde lessen uit vulnerability scans, penetratietesten en code reviews om toekomstige risico’s te mitigeren.

PAS TOE OF LEG UIT

Klasse 4 kent volgende maatregelen:

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Code Review 

  • Dynamische reviews vanaf de test omgeving 

• Vulnerability Scanning 

  • Frequente en diepgaande scans op alle data verwerkende systemen, met alarmen en directe actie bij geconstateerde kwetsbaarheden (CyFun DE.DP-5.2). 

• Penetratietesten 

  • Gerichte penetratietesten waarbij alle mogelijke aanvalstechnieken worden getest. 

• Rapportage en Risicoaanvaarding 

  • Intensieve automatische rapportage met expliciete (rest-)risicoaanvaarding door het hoogste management (CyFun RS.AN-5.2). 

  • Alle kwetsbaarheden worden onmiddellijk geëscaleerd naar het hoogste managementniveau. 

• Continue verbetering 

  • Continue evaluatie van incidenten, kwetsbaarheden en testresultaten bij kritische systemen om beveiligingsmaatregelen aan te passen.

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5) 

• Vulnerability Management 

  • Automatische opvolging van de remediëring van gemelde kwetsbaarheden 

PAS TOE

Klasse 1, Klasse 2

en Klasse 3

PAS TOE

Klasse 1, Klasse 2, Klasse 3 en Klasse 4 kennen dezelfde maatregelen:  

• Analyse van de zakelijke omgeving; 

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk; 

• Validatie: maturiteit bepalen van de minimale maatregelen 

• Risico identificatie met alle stakeholders inclusief CISO. Voor deze risicoanalyse dienen minstens volgende categorieën beschouwd te worden: 

  • Hard- en software (inclusief diensten); 

  • Data (inclusief datacenters); 

  • De organisatie (inclusief gebouwen en de menselijke factor); 

  • Omgevingsfactoren (inclusief de volledige supply chain); 

  • Deze lijst is niet-uitputtend; 

• Risicoanalyse met alle stakeholders inclusief CISO; 

  • Risicoanalyse moet gedocumenteerd worden en verspreid naar relevante stakeholders; 

• Formele bepaling van de risico appetijt ism top management 

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het rest risico bepaald wordt  

  • minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen); 

• Formele aanvaarding van het rest risico door topmanagement; 

• Risicostrategie bepalen: risico’s worden gemitigeerd, geaccepteerd, vermeden of overgedragen; 

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO; 

  • Rekening houdend met prioriteit die uit de risicoanalyse is gekomen  

• Communicatie en overleg met alle stakeholders; 

• Opvolgen implementatie risicostrategie; 

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO. 

PAS TOE OF LEG UIT

Klasse 5 kent volgende maatregelen

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

kennen dezelfde maatregelen:  

• Performantietesten 

  • Specifieke test op beschikbaarheid en stabiliteit van het systeem onder hoge belasting 

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal kantooruren (5d x 10u)  

PAS TOE OF LEG UIT

Klasse 4 en Klasse 5 kennen dezelfde maatregelen

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal permanente beschikbaarheid (7d x 24u) 

PAS TOE

Er zijn geen GDPR specifieke maatregelen voor Klasse 2

Klasse 3 maatregelen:

• Event correlatie toepassen. 

• Real-time alarmen genereren en opvolgen bij problemen met de auditfunctie. 

• 4-ogen toepassen bij elke wijziging aan de audit functionaliteit. 

• Elke toegang tot persoonsgegevens, moet gelogd worden in overeenstemming met de toepasselijke wetgeving en regelgeving: 

  • Tot natuurlijke persoon herleidbare gebruikersnaam of ID, tijdsstip (datum/uur), identificatie van het werkstation of locatie, gebruikte toepassing.  

  • De persoon die het object is van de handeling 

  • Het resultaat van de handeling

PAS TOE OF LEG UIT

Klasse 4  maatregelen:

 Alle maatregelen van Klasse 3 +

• Elke toegang tot gegevens behorende tot de bijzondere categorieën van de GDPR, moet gelogd worden in overeenstemming met de toepasselijke wetgeving en regelgeving. 

Er zijn geen GDPR specifieke maatregelen voor klasse 5.

PAS TOE

Klasse 3 bijkomende maatregelen:

• Timestamps in combinatie met digitale handtekening toepassen

Er zijn geen NIS2 specifieke maatregelen voor Klasse 1,  Klasse 2, Klasse 3 en  

Klasse 4 

Voor Klasse 5 gelden volgende maatregelen:

Vulnerability Management  

• Code moet digitaal gesigned zijn

  • Bij inbreuk: automatisch antwoord zodat dit direct gestopt wordt