| Klasse 1 en Klasse 2 kennen dezelfde maatregelen: Netwerkzonering: Er moet een logische scheiding zijn tussen gebruikers- en applicatiezone; Netwerkintegriteit van kritieke systemen moeten worden beschermd door middel van netwerksegmentatie en -scheiding, Er moet een logische scheiding zijn tussen organisatie-eigen gebruikerszones en publieke gebruikerszones (bv. guest); Per fysieke locatie wordt een aparte netwerkzone voorzien Outbound web-datastromen worden ontsloten via proxyservers waarbij de proxy controleert op juist protocolgebruik; en Bijkomende maatregelen moeten worden genomen op niveau gebruikersapparatuur. Zie ook “Minimale Maatregelen – ICT
Toegangscontrole: Transportbeveiliging: Versleutelde transportprotocollen (bv. https, sftp) voor alle informatiestromen Gebruikte transportprotocollen moeten in het huidige encryptielandschap als veilig beschouwd worden. Zie ook “minimale maatregelen cryptografie”.
Datastroominspectie: Datastromen tussen gebruikerszone en publieke netwerken worden geleid via een firewall, die voldoet aan goede praktijken zoals ISF good practice for information security (recente versie) of gelijkwaardig, rekening houdende met volgende criteria: Filteren op basis van type datastromen; Beperken of blokkeren van bepaalde datastromen; TLS inspectie van alle datastromen met data loss prevention (DLP); Stateful inspection of gelijkwaardige technologie; Werken vanuit default deny-principe; Werken vanuit centraal opgestelde regels (ruleset);
IDS/IPS wordt actief ingezet voor monitoring (detectie, rapportering) van abnormaal gedrag op alle datastromen van en naar de gebruikerszone. Web- en emailfilters moeten worden ingezet voor controle van web- en email verkeer. Alle datastromen van en naar de gebruikerszone worden gecontroleerd op kwaadaardige software en spam; antimalware moet voldoen aan goede praktijken zoals ISF good practice for information security (recente versie) of gelijkwaardig, rekening houdende met volgende criteria: Optreden tegen alle aanvalsvectoren met mogelijkheid tot blokkeren of minimaal in quarantaine plaatsen; Gecentraliseerd beheer; Altijd actief; Scanning van bijlagen; Mogelijkheid tot real-time scanning; Niet-intrusief: de gebruiker minimaal belasten; Automatische updates van de signature database; Beveiliging tegen zero-day-aanvallen (heuristic scanning); Genereren van alarmen naar de antimalware-beheerders..
Draadloos netwerk: Toegang van en naar de gebruikerszone moet gelogd worden (betrokken IP-adressen, protocollen en tijdstip); Toegang en beheer van netwerkapparatuur moet kunnen worden gelinkt aan een toestel, en het toestel aan de eigenaar; Actieve controle op ongewenste patronen in de datastromen Event logging op kritische netwerktoestellen in de gebruikerszone (o.a. up/down gaan van switchpoorten) Ingeval van hosting bij externe bedrijven: auditeerbaarheid van logging contractueel afdwingen Alle data geanalyseerd, indien aanwezig via een SIEM oplossing Voor logging van toegangsbeheer: zie document ‘Vo Informatieclassificatie – minimale maatregelen – PAM’; en Zie ook document ‘Vo informatieclassificatie – minimale maatregelen – SIEM.
Beheer: |