Beheer van bedrijfsmiddelen heeft als hoofddoel om een volledig en actueel overzicht te hebben van alle configuratie-items in de organisatie.Dit overzicht is cruciaal voor andere processen zoals incidentbeheer, patchmanagement, wijzigingsbeheer, enz.

In de praktijk worden de termen Configuration Management System (CMS) en Configuration Management Database (CMDB) vaak door elkaar gebruikt. Het verschil tussen een CMS en een CMDB is dat een CMS een bredere term is die verwijst naar elk systeem dat wordt gebruikt om informatie over CI's te beheren. Een CMDB is een specifieke implementatie van een CMS die gebruikmaakt van een database.

Implementatiemaatregel

Registratie

Alle configuratie-items (CI's) MOETEN geïdentificeerd en geregistreerd worden in de Configuration Management System (CMS).

Voor elk configuratie-item MOETEN de volgende attributen vastgelegd worden:

• Type

• Service componenten

• Informatie klasse

• Versienummering

• Licentie-informatie

• Locatie

• Relaties met andere configuratie-item

• Relaties met andere services of organisatie

• Eigenaar

• Status

• Beschikbare documentatie

• Audit trail

Administratie

De CMS MOET altijd actueel zijn.

Alle wijzigingen aan configuratie-items MOETEN geregistreerd worden in de CMS.

Voor alle wijzigingen aan configuratie-items MOET passende documentatie beschikbaar zijn.

Er MOETEN procedures en werkinstructies beschikbaar zijn voor het afhandelen van nieuwe configuratie-items en wijzigingen aan bestaande configuratie-items.

Statusbewaking

De actuele en historische status van elk configuratie-item MOET geregistreerd worden.

De datum van elke statusverandering MOET geregistreerd worden.

Verificatie

De gegevens in de CMS MOETEN op regelmatige tijdstippen gecontroleerd worden of deze nog actueel zijn. De frequentie van verificatie is afhankelijk van de informatieklasse:

Informatieklasse 1 tem 3 (vertrouwelijkheid en integriteit)

• Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?

• Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.

Informatieklasse 4 (vertrouwelijkheid en integriteit)

• Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en).

• Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.

Informatieklasse 5 (vertrouwelijkheid en integriteit)

• Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?

• De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO.

• Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is. 

Implementatiemaatregel

De behoeften van de organisatie aan capaciteit MOETEN worden gedefinieerd en gemeten. Dit omvat zowel de huidige als toekomstige behoeften.

De capaciteit van de IT-infrastructuur MOET worden geanalyseerd om ervoor te zorgen dat deze voldoet aan de behoeften van de organisatie. Dit omvat zowel de huidige als toekomstige capaciteit.

Er MOETEN capaciteitsplannen worden ontwikkeld om ervoor te zorgen dat de IT-infrastructuur voldoende capaciteit heeft om aan de behoeften van de organisatie te voldoen. Deze plannen MOETEN regelmatig worden herzien om ervoor te zorgen dat ze aan de actuele behoeften voldoen.

De capaciteit van de IT-infrastructuur MOET worden gemonitord en bewaakt om ervoor te zorgen dat deze voldoet aan de capaciteitsplannen. Dit omvat het monitoren van de performantie, beschikbaarheid en betrouwbaarheid van de IT-infrastructuur.

Implementatiemaatregel

• Doel en inhoud van logbestanden:

  • De organisatie MOET het doel vaststellen waarvoor logbestanden worden aangemaakt.

  • De gegevens die in de logbestanden worden geregistreerd en de specifieke eisen voor het beschermen en behandelen van deze gegevens MOETEN worden gedocumenteerd.

• Verzamelde gegevens in logbestanden:

  • Logbestanden van gebeurtenissen MOETEN, indien van toepassing, de volgende gegevens bevatten:

    • Gebruikersidentificaties

    • Systeemactiviteiten

    • Data, tijdstippen en details van relevante gebeurtenissen (bijvoorbeeld in- en uitloggen)

    • Identiteit van apparaten, identificatie van systemen en hun locatie

    • Netwerkadressen en -protocollen

• Geregistreerde gebeurtenissen:

  • De volgende gebeurtenissen MOETEN in logbestanden worden vastgelegd:

    • Geslaagde en geweigerde pogingen om toegang te verkrijgen tot het systeem

    • Goedgekeurde en geweigerde gegevens en overige pogingen om toegang te verkrijgen tot informatiebronnen

    • Systeemconfiguratieveranderingen

    • Het gebruik van speciale bevoegdheden

    • Het gebruik van systeemhulpmiddelen en -toepassingen

    • Toegang tot bestanden en de soort toegang, inclusief het wissen van belangrijke gegevensbestanden

    • Alarmen die worden afgegeven door het toegangsbeveiligingssysteem

    • Activering en deactivering van beveiligingssystemen zoals antivirussystemen en inbraakdetectiesystemen

    • Het aanmaken, wijzigen of wissen van identiteiten

    • Transacties die door gebruikers in toepassingen zijn uitgevoerd, inclusief die welke door een derde partij worden verleend, geleverd of verzorgd

Implementatiemaatregel

• Verantwoordelijkheid voor melden:

  • Alle medewerkers en gebruikers MOETEN zich bewust zijn van hun verantwoordelijkheid om informatiebeveiligingsgebeurtenissen onmiddellijk te melden.

• Situaties waarvoor meldingen vereist zijn:

  • Ondoeltreffende implementatiemaatregelen.

  • Schending van informatievertrouwelijkheid, -integriteit of verwachtingen.

  • Menselijke fouten.

  • Het niet naleven van het informatieveiligheidsbeleid, implementatiemaatregelen of toepasselijke normen.

  • Schending van fysieke beveiligingsmaatregelen.

  • Wijzigingen aan systemen die niet via het wijzigingsbeheerproces zijn doorgevoerd.

  • Storingen of ander afwijkend systeemgedrag van software of hardware.

  • Overtredingen van de toegangsregeling.

  • Kwetsbaarheden.

  • Vermoedelijke besmetting door malware.

• Bijkomende richtlijnen voor medewerkers en gebruikers:

  • Medewerkers en gebruikers worden geadviseerd niet te proberen om de vermeende aanwezigheid van kwetsbaarheden op het gebied van informatiebeveiliging aan te tonen.

  • Het testen op kwetsbaarheden kan worden gezien als potentieel misbruik van het systeem en kan schade veroorzaken aan het informatiesysteem.

  • Dit kan ook digitaal bewijs corrumperen of aan het oog onttrekken, en kan leiden tot wettelijke aansprakelijkheid voor de persoon die de tests uitvoert.

Implementatiemaatregel

• Reikwijdte en niveau van monitoring:

  • De reikwijdte en het niveau van de monitoring MOETEN worden bepaald in overeenstemming met de toepasselijke informatieklasse en relevante wet- en regelgeving.

• Registraties en bewaartermijnen:

  • De organisatie MOET registraties van de monitoring bijhouden gedurende gedefinieerde bewaartermijnen volgens de [beheer gebeurtenissen procedure].

• Elementen van het monitoringsysteem:

  • De organisatie MOET waar mogelijk de volgende elementen in het monitoringsysteem opnemen:

    • Uitgaand en inkomend netwerk-, systeem- en toepassingsverkeer

    • Toegang tot systemen, servers, netwerkapparatuur, monitoringsystemen, essentiële toepassingen, enz.

    • Systeem- en netwerkconfiguratiebestanden op essentieel of beheerniveau

    • Logbestanden van beveiligingsinstrumenten zoals antivirus, IDS, IPS, webfilters, firewalls, en systemen voor het voorkomen van gegevenslekken

    • Logbestanden van gebeurtenissen met betrekking tot systeem- en netwerkactiviteit

    • Controle van de integriteit van de uitvoerende code

    • Gebruik van middelen (CPU, vaste schijven, geheugen, bandbreedte) en hun prestaties

• Nullijn (baseline) voor normaal gedrag:

  • De organisatie MOET een nullijn voor normaal gedrag vaststellen en op afwijkingen monitoren. Bij het vaststellen van de nullijn wordt rekening gehouden met:

    • Het gebruik van systemen tijdens normale en piekperiodes

    • Het gebruikelijke tijdstip, de plaats en de frequentie van toegang voor elke gebruiker of gebruikersgroep

• Configuratie van het monitoringsysteem:

  • Het monitoringsysteem MOET worden geconfigureerd om afwijkend gedrag te identificeren, zoals:

    • Ongeplande beëindiging van processen of toepassingen

    • Activiteiten gerelateerd aan malware of kwaadaardige IP-adressen

    • Bekende aanvalskenmerken (bijv. denial of service, bufferoverflows)

    • Ongebruikelijk systeemgedrag (bijv. het registreren van toetsaanslagen, procesinjectie)

    • Knelpunten en overbelasting (bijv. netwerkwachtrijen, latentieniveaus)

    • Pogingen tot onbevoegde toegang

    • Ongeoorloofd scannen van toepassingen en netwerken

    • Geslaagde en mislukte pogingen om toegang te krijgen tot beschermde bronnen

    • Ongebruikelijk gebruikers- en systeemgedrag

• Continue monitoring:

  • Er MOET gebruik worden gemaakt van continue monitoring via een instrument dat realtime of met regelmatige tussenpozen de status van apparaten, processen of software vastlegt en evalueert.

• Waarschuwings- en meldingssysteem:

  • Geautomatiseerde monitoringsoftware MOET meldingen geven op basis van vooraf gedefinieerde drempels via beheerconsoles, e-mails of instantmessagingsystemen.

  • Het waarschuwingssysteem MOET worden afgestemd op de nullijn van de organisatie om valspositieven tot een minimum te beperken.

• Training en reactie van personeel:

  • Personeel MOET erop gericht zijn om op waarschuwingen te reageren en MOET voldoende getraind zijn om potentiële incidenten accuraat te interpreteren.

  • Er MOETEN redundante systemen en processen aanwezig zijn om waarschuwingsmeldingen te ontvangen en erop te reageren.

• Communicatie van abnormale gebeurtenissen:

  • Abnormale gebeurtenissen MOETEN aan relevante partijen worden meegedeeld voor verbeteringen in audit, beveiligingsevaluatie, kwetsbaarheidsscans en monitoring.

• Procedure voor tijdige reactie:

  • De organisatie MOET procedures hebben om tijdig te reageren op positieve indicatoren van het monitoringsysteem om de impact van nadelige gebeurtenissen op informatiebeveiliging te minimaliseren.

Implementatiemaatregel

• Rollen en verantwoordelijkheden:

  • De organisatie MOET passende processen voor het beheer van informatiebeveiligingsincidenten opstellen.

  • Rollen en verantwoordelijkheden MOETEN duidelijk worden vastgesteld. Dit omvat de verantwoordelijkheden, benodigde toegang en duidelijke functiescheiding.

  • Er MOET een escalatiestructuur worden bepaald voor incidentcoördinatie.

  • De organisatie MOET een register met interne en externe belanghebbenden, inclusief relevante communicatieprotocollen onderhouden.

• Definiëren van incident management processen:

  • Bij het definiëren van de incident management processen MOETEN de volgende aspecten worden overwogen en opgenomen:

    • Een gemeenschappelijke methode voor het melden van informatiebeveiligingsgebeurtenissen, inclusief een contactpunt.

    • Een proces voor het beheer van incidenten, inclusief beheer, documentatie, detectie, triage, prioritisering, analyse, communicatie en coördinatie van belanghebbenden.

    • Een proces voor het reageren op incidenten, inclusief beoordeling, respons en leren van incidenten.

• Competent personeel:

  • Alleen competent personeel MAG kwesties behandelen die verband houden met informatiebeveiligingsincidenten. Dit personeel MOET voorzien worden van documentatie over de procedures en periodieke training.

  • Er MOET een proces worden opgesteld voor het identificeren van vereiste training, certificering en voortdurende professionele ontwikkeling van personeel dat de taak heeft om op incidenten te reageren.

• Procedures voor incidentbeheer:

  • De organisatie MOET een methode voor prioritering vastleggen en communiceren naar alle incidentbeheerteamleden, goedgekeurd door het management.

  • Een plan voor het beheer van informatiebeveiligingsincidenten MOET worden opgesteld onder regie van het management, waarbij rekening wordt gehouden met verschillende scenario’s en procedures voor:

    • Het evalueren van informatiebeveiligingsgebeurtenissen.

    • Het monitoren, detecteren, classificeren, analyseren en melden van gebeurtenissen en incidenten.

    • Het beheren van incidenten tot ze volledig zijn afgehandeld, inclusief reactie, escalatie en communicatie.

    • Afstemming met interne en externe belanghebbenden.

    • Het registreren van incidentbeheeractiviteiten.

    • Het behandelen van bewijs conform de vereisten.

    • Analyse van de onderliggende oorzaak of post-mortemprocedures.

  • Specifieke procedures MOETEN worden opgesteld voor intern misbruik van bedrijfseigendom, datalekken, het melden aan het Centrum voor Cybersecurity België (CCB), en aanvallen zoals DoS/DDos en ransomware.

• Meldings- en rapportageprocedures:

  • De organisatie MOET meldings- en rapportageprocedures onderhouden met de volgende aspecten:

    • De te treffen maatregelen in geval van een informatiebeveiligingsgebeurtenis.

    • Het gebruik van incidentenformulieren om personeel te ondersteunen bij het melden van incidenten.

    • Passende feedbackprocedures.

    • Het opstellen van rapportage over incidenten.

  • De organisatie ZOU moeten streven naar een enkele melding en rapportageprocedure waar nodig.

  • Een feedbackprocedure MOET worden opgezet en gevolgd, zodat de melder en belanghebbenden op de hoogte blijven van de voortgang en statuswijzigingen.

Implementatiemaatregel

• Categorisering en prioritering van incidenten:

  • De organisatie MOET een categoriserings- en prioriteringsschema voor informatiebeveiligingsincidenten opstellen en gebruiken binnen het incident managementsysteem.

  • Elk incident MOET worden gecategoriseerd en geprioriteerd volgens dit schema om een consistente en efficiënte aanpak te waarborgen.

• Grenzen voor escalatie:

  • Het categoriserings- en prioriteringsschema MOET criteria bevatten voor escalatie naar:

    • Een hogere of lagere prioriteit.

    • Probleem- of crisissituaties.

    • Andere non-ICT afdelingen zoals juridische zaken en personeelszaken.

• Verantwoordelijkheid voor incidentbeheer:

  • Personeel dat verantwoordelijk is voor het incidentbeheer MOET de categorisering en prioritering van incidenten uitvoeren volgens het opgestelde schema.

• Wijziging van prioritering of categorisering:

  • Wanneer de prioritering of categorisering van een incident wordt gewijzigd, MOET dit verlopen volgens een opgestelde procedure. Dit zorgt voor consistentie en transparantie in het incidentbeheerproces.

Implementatiemaatregel

• Snelle reactie op incidenten:

  • De organisatie MOET met gepaste snelheid reageren op incidenten, in overeenstemming met vastgestelde procedures.

• Initiëren van incidentbeheer:

  • Het monitoringproces MOET het incidentbeheer initiëren wanneer de vastgestelde normale waarden worden overtreden.

• Aspecten van de reactie:

  • De systemen die door het incident worden getroffen inperken om uitbreiding van de gevolgen te voorkomen.

  • Zo snel mogelijk na het incident bewijs verzamelen.

  • Escaleren zoals vereist, inclusief crisisbeheersingsactiviteiten en mogelijk activeren van bedrijfscontinuïteitsplannen.

  • Zorgen dat alle betrokken responsactiviteiten op de juiste manier worden vastgelegd voor latere analyse.

  • Het bestaan van het informatiebeveiligingsincident of relevante details volgens het ‘need-to-know’-principe communiceren aan alle relevante interne en externe belanghebbenden.

  • Afstemmen met interne en externe partijen, zoals overheidsinstanties, belangengroepen, leveranciers en klanten, om de doeltreffendheid van de reactie te verbeteren en de gevolgen voor andere organisaties te helpen minimaliseren.

  • Het incident formeel afsluiten en registreren zodra het incident met succes is opgepakt.

  • Indien vereist, forensische analyse van de informatiebeveiliging uitvoeren.

  • Postincidentanalyse uitvoeren om de onderliggende oorzaak te identificeren en zorgen dat deze wordt gedocumenteerd en gecommuniceerd volgens gedefinieerde procedures.

  • Kwetsbaarheden en zwakke punten in de informatiebeveiliging identificeren en beheren, inclusief beheersmaatregelen die het incident hebben veroorzaakt, eraan hebben bijgedragen of het niet hebben voorkomen.

• Escalatie bij misbruik:

  • Het incidentmanagementteam MOET bij vermoeden van (voortdurend) misbruik van bedrijfseigendommen of belanghebbenden direct het incident escaleren naar de door de incidentbeheerprocedure aangewezen afdelingen.

Implementatiemaatregel

• Ontwikkeling van interne procedures:

  • De organisatie MOET interne procedures ontwikkelen en volgen voor het omgaan met bewijs in het kader van disciplinaire en gerechtelijke stappen met betrekking tot informatiebeveiligingsincidenten.

  • Bij het opstellen van deze procedures MOETEN de eisen van verschillende rechtsgebieden in aanmerking worden genomen om de kans te maximaliseren dat het bewijs wordt toegelaten.

• Beheer van bewijs:

  • Deze procedures MOETEN regels bevatten voor het beheren, verzamelen, verkrijgen en bewaren van bewijs, rekening houdend met de verschillende soorten opslagmedia, apparaten en de status van de apparaten (d.w.z. in- of uitgeschakeld).

• Toelaatbaarheid van bewijsmateriaal:

  • Bewijsmateriaal MOET zodanig worden verzameld dat het toelaatbaar is voor bevoegde nationale rechters of andere disciplinaire fora.

  • Het MOET mogelijk zijn om aan te tonen dat:

    • Registraties volledig zijn en op geen enkele wijze zijn gemanipuleerd.

    • Kopieën van elektronische bewijsstukken waarschijnlijk identiek zijn aan de originelen.

    • Elk informatiesysteem waarvan bewijsmateriaal is verkregen correct werkte op het moment van vastlegging van het bewijsmateriaal.

• Certificering van apparaten:

  • De organisatie MOET waar mogelijk apparaten certificeren of voorgecertificeerde apparaten aankopen om de integriteit en betrouwbaarheid van het bewijsmateriaal te waarborgen.

Informatieveiligheid is sterk afhankelijk van service management processen (beheerprocessen) om verschillende redenen. Service management speelt een cruciale rol bij het waarborgen van de integriteit, vertrouwelijkheid en beschikbaarheid van informatie binnen een organisatie. Beheersmaatregelen zijn immers impliciet onderdeel van processen en worden binnen deze processen uitgevoerd. Service management processen faciliteren daarmee de implementatie van informatieveiligheidsbeleid en -procedures. Ze helpen ervoor te zorgen dat alle medewerkers de vastgestelde richtlijnen volgen, wat essentieel is voor effectief informatieveiligheid. Service management processen zorgen ervoor dat beveiligingsmaatregelen consistent en gestandaardiseerd worden toegepast. Dit helpt om een uniforme aanpak te garanderen bij het beveiligen van gegevens en systemen, waardoor gaten en inconsistenties worden voorkomen.

Het beleidsdomein IT service management bevat een verzameling van service management onderwerpen die een nauwe relatie hebben met informatieveiligheid en die niet zijn geadresseerd in aparte beleidsdomeinen. Toegangsbeheer en kwetsbaarhedenbeheer zijn ook service management processen, maar deze kennen hun eigen pagina’s binnen de beleidsdomeinen.