...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
...
| Note |
|---|
Om review makkelijker te maken werden de wijzigingen tegenover ICRv2 als volgt in de tekst duidelijk gemaakt: |
Vertrouwelijkheid en integriteit
IC klasse | Minimale maatregelen |
|---|
| PAS TOE |
    | Klasse 1 en Klasse 2 kennen dezelfde maatregelen: Netwerkzonering: Er moet een logische scheiding zijn tussen gebruikers- en applicatiezone; Netwerkintegriteit van kritieke systemen moeten moet worden beschermd door middel van netwerksegmentatie en -scheiding, Er moet een logische scheiding zijn tussen organisatie-eigen gebruikerszones en publieke gebruikerszones (bv. guest); Per fysieke locatie wordt een aparte netwerkzone voorzien Outbound web-datastromen worden ontsloten via proxyservers waarbij de proxy controleert een mitigerende component waarbij minimaal gecontroleerd wordt op juist protocolgebruik; en Bijkomende maatregelen moeten worden genomen op niveau gebruikersapparatuur. Zie ook “Minimale Maatregelen – ICT “
Toegangscontrole: Transportbeveiliging: Versleutelde transportprotocollen (bv. https, sftp) voor alle informatiestromen Gebruikte transportprotocollen moeten in het huidige encryptielandschap als veilig beschouwd worden. Zie ook “minimale maatregelen cryptografie”.
Datastroominspectie: Datastromen tussen gebruikerszone en publieke netwerken worden geleid via een firewall, die voldoet aan goede praktijken zoals ISF good practice for information security (recente versie) of gelijkwaardig, rekening houdende met volgende criteria: Filteren op basis van type datastromen; Beperken of blokkeren van bepaalde datastromen; TLS inspectie van alle datastromen met data loss prevention (DLP); Stateful inspection of gelijkwaardige technologie; Werken vanuit default deny-principe; Werken vanuit centraal opgestelde regels (ruleset);
IDS/IPS wordt actief ingezet voor monitoring (detectie, rapportering) van abnormaal gedrag op alle datastromen van en naar de gebruikerszone. Het is verplicht de IDS/IPS systemen te onboarden op het SIEM platform. Web- en emailfilters (inclusief controle op SPF en DKIM) moeten worden ingezet voor controle van web- en email verkeer. Alle datastromen van en naar de gebruikerszone worden gecontroleerd op kwaadaardige software en spam; antimalware moet voldoen aan goede praktijken zoals ISF good practice for information security (recente versie) of gelijkwaardig, rekening houdende met volgende criteria: Optreden tegen alle aanvalsvectoren met mogelijkheid tot blokkeren of minimaal in quarantaine plaatsen; Gecentraliseerd beheer; Altijd actief; Scanning van bijlagen; Mogelijkheid tot real-time scanning; Niet-intrusief: de gebruiker minimaal belasten; Automatische updates van de signature database; Beveiliging tegen zero-day-aanvallen (heuristic scanning); Genereren van alarmen naar de antimalware-beheerders..
Draadloos netwerk: Zo instellen dat SSID (Service Set Identifier) niet wordt uitgezonden; Wifi protected access toepassen: minstens WPA-2 met AES encryptie; Verbinding met onbekende of onbeveiligde gast draadloze netwerken in de gebruikerszone niet toegestaan.
Logging en monitoring: Toegang van en naar de gebruikerszone moet gelogd worden (betrokken IP-adressen, protocollen en tijdstip); Toegang en beheer van netwerkapparatuur moet kunnen worden gelinkt aan een toestel, en het toestel aan de eigenaar; Actieve controle op ongewenste patronen in de datastromen Event logging op kritische netwerktoestellen in de gebruikerszone (o.a. up/down gaan van switchpoorten) Ingeval van hosting bij externe bedrijven: auditeerbaarheid van logging contractueel afdwingen Alle data geanalyseerd, indien aanwezig via een SIEM oplossing afdwingen Voor logging van toegangsbeheer: zie document ‘Vo Informatieclassificatie – minimale maatregelen – PAM’; enen Zie ook document ‘Vo informatieclassificatie – minimale maatregelen – SIEM’.
Beheer: |
  | Alle maatregelen van Klasse 1 / Klasse 2 + Netwerkzonering: Microsegmentatie per Organizational Unit Gebruikerstoestellen die ingesteld kunnen worden als lokale gastheer (localhost) moeten als een aparte netwerkzone beschouwd worden. Zij moeten voorzien zijn van firewall, antimalware en IPS.
Toegangscontrole: Datastroominspectie: - TLS inspectie van alle datastromen met Data Loss Prevention maatregelen
Logging en monitoring: |
 
| Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 + Toegangscontrole: |
  | Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 +Klasse 4 + Datastroominspectie: |
-Beschikbaarheid - idem vertrouwelijkheid +
IC klasse | Minimale maatregelen |
|---|
  | Klasse 1 en Klasse 2 kennen dezelfde maatregelen: High-availability: Anti-DDoS: |
   | Alle maatregelen van Klasse 1 / Klasse 2 + High-availability: |
