5.6.2 Minimale maatregelen voor het proces kwetsbaarhedenbeheer 3.0.1

PAS TOE

Inrichten, documenteren, valideren en regelmatig reviewen van een kwetsbaarhedenbeheersproces: 

• Documenteren, goedkeuren, onderhouden en testen (effectiviteit) van een kwetsbaarhedenbeheersproces

• Melden van een kwetsbaarheid aan een meldpunt; 

• Registratie en documentatie van de kwetsbaarheid minimaal in een logboek; 

• Beoordeling van de geregistreerde kwetsbaarheid op basis van dreigingen en de waarschijnlijkheid dat deze effectief voorkomen bij specifieke business processen en assets

• Beheersing van de geregistreerde kwetsbaarheid

• Validatie van de genomen maatregelen ihkv de beheersing van de geregistreerde kwetsbaarheid; 

• Rapportering van de geregistreerde kwetsbaarheid

• Uitvoeren van lessons learned voor kwetsbaarheden met het oog op het verkrijgen van inzichten in procesoptimalisaties. 

PAS TOE

Klasse 1, Klasse 2 en Klasse 3 kennen dezelfde maatregelen:  

• Code Review 

  • Statische code reviews vanaf de start van de ontwikkeling 

  • Automatische unit tests 

• Vulnerability Scanning 

  • Regelmatige scans gericht op detectie van kwetsbaarheden

  • Uitvoering dient minstens te gebeuren op productiesystemen en systemen die productiedata bevatten 

  • Auditlogging actief  - zie ook 5.2. Minimale maatregelen - logging en monitoring (SIEM) 3.0.1

  • Gebruikte tool moet alle DAR en DIM versleutelen en waar tehnisch mogelijk moet ook DIU versleuteld worden

    • Resultaten en data voor rapportering vanuit deze tools dienen versleuteld te worden 

  • Actieve detectie en behandeling van kwetsbaarheden gemeld door externe bronnen (zoals CVE-databases of leveranciers) 

    • Automatische aanmaak van incident voor verdere afhandeling binnen incidentbeheer 

  • Scans dienen zorgvuldig uitgevoerd te worden zonder dat ze de systeemfuncties nadelig beïnvloeden

• Penetratietesten 

  • Specifieke penetratietesten waarbij bekende aanvalsvectoren op data worden getest. Scope vooraf vastgelegd in overleg met de specialist informatieveiligheid van je organisatie. 

  • Auditlogging actief  - zie ook 5.2. Minimale maatregelen - logging en monitoring (SIEM) 3.0.1

  • Gebruikte tool moet alle DAR en DIM versleutelen en waar tehnisch mogelijk moet ook DIU versleuteld worden

    • Resultaten en data voor rapportering vanuit deze tools dienen versleuteld te worden 

• Responsible Disclosure 

  • Algemene responsible disclosure programma’s 

• Rapportage en Risicoaanvaarding 

  • Formeel vastleggen risico appetijt

  • Duidelijke rapportageprocedures voor alle processen met KRI’s en formele (rest-)risicoaanvaarding door het management. 

  • Beoordeling of bepaalde informatie nuttig is voor verdere verspreiding buiten de organisatie (kwetsbaarheid in algemeen gebruikte software, scope van onze scanning, wanneer stoppen we met OT scanning om geen downtime te creëren, ...) en hiernaar handelen bij informatiedeling. 

• Continue verbetering 

  • Regelmatige evaluatie van incidenten, kwetsbaarheden en testresultaten om beveiligingsmaatregelen aan te passen. 

  • Integratie van geleerde lessen uit vulnerability scans, penetratietesten en code reviews om toekomstige risico’s te mitigeren.

PAS TOE OF LEG UIT

Klasse 4 kent volgende maatregelen:

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Code Review 

  • Dynamische reviews vanaf de test omgeving 

• Vulnerability Scanning 

  • Frequente en diepgaande scans op alle data verwerkende systemen, met alarmen en directe actie bij geconstateerde kwetsbaarheden. 

• Penetratietesten 

  • Gerichte penetratietesten waarbij alle mogelijke aanvalstechnieken worden getest. 

• Rapportage en Risicoaanvaarding 

  • Intensieve automatische rapportage met expliciete (rest-)risicoaanvaarding door het hoogste management. 

  • Alle kwetsbaarheden worden onmiddellijk geëscaleerd naar het hoogste managementniveau. 

• Continue verbetering 

  • Continue evaluatie van incidenten, kwetsbaarheden en testresultaten bij kritische systemen om beveiligingsmaatregelen aan te passen.

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 en Klasse 4 +

• Vulnerability Management 

  • Automatische opvolging van de remediëring van gemelde kwetsbaarheden 

  • Gebruikte tool moet alle DAR, DIM en DIU (deze laatste indien technisch mogelijk) versleutelen 

• Penetratietesten 

  • Gebruikte tool moet alle DAR, DIM en DIU (deze laatste indien technisch mogelijk) versleutelen

PAS TOE

Klasse 1, Klasse 2 en Klasse 3 kennen dezelfde maatregelen:  

• Performantietesten 

  • Specifieke test op beschikbaarheid en stabiliteit van het systeem onder hoge belasting 

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal kantooruren (5d x 10u)  

PAS TOE OF LEG UIT

Klasse 4 en Klasse 5 kennen dezelfde maatregelen

Alle maatregelen van Klasse 1, Klasse 2, Klasse 3 +

• Beschikbaarheid van het proces kwetsbaarhedenbeheer is minimaal permanente beschikbaarheid (7d x 24u) 

PAS TOE

Er zijn geen GDPR specifieke maatregelen voor Klasse 2

Klasse 3 maatregelen:

• Event correlatie toepassen. 

• Real-time alarmen genereren en opvolgen bij problemen met de auditfunctie. 

• 4-ogen toepassen bij elke wijziging aan de audit functionaliteit. 

• Elke toegang tot persoonsgegevens, moet gelogd worden in overeenstemming met de toepasselijke wetgeving en regelgeving: 

  • Tot natuurlijke persoon herleidbare gebruikersnaam of ID, tijdsstip (datum/uur), identificatie van het werkstation of locatie, gebruikte toepassing.  

  • De persoon die het object is van de handeling 

  • Het resultaat van de handeling

PAS TOE OF LEG UIT

Klasse 4  maatregelen:

 Alle maatregelen van Klasse 3 +

• Elke toegang tot gegevens behorende tot de bijzondere categorieën van de GDPR, moet gelogd worden in overeenstemming met de toepasselijke wetgeving en regelgeving. 

Er zijn geen GDPR specifieke maatregelen voor klasse 5.

PAS TOE

Klasse 3 bijkomende maatregelen:

• Timestamps in combinatie met digitale handtekening toepassen

Er zijn geen NIS2 specifieke maatregelen voor Klasse 1,  Klasse 2, Klasse 3 en  

Klasse 4 

Voor Klasse 5 gelden volgende maatregelen:

Vulnerability Management  

• Code moet digitaal gesigned zijn

  • Bij inbreuk: automatisch antwoord zodat dit direct gestopt wordt