Digitaal Vlaanderen | Team Informatieveiligheid (TIV)
IT service management
Informatieveiligheid is sterk afhankelijk van service management processen (beheerprocessen) om verschillende redenen. Service management speelt een cruciale rol bij het waarborgen van de integriteit, vertrouwelijkheid en beschikbaarheid van informatie binnen een organisatie. Beheersmaatregelen zijn immers impliciet onderdeel van processen en worden binnen deze processen uitgevoerd. Service management processen faciliteren daarmee de implementatie van informatieveiligheidsbeleid en -procedures. Ze helpen ervoor te zorgen dat alle medewerkers de vastgestelde richtlijnen volgen, wat essentieel is voor effectief informatieveiligheid. Service management processen zorgen ervoor dat beveiligingsmaatregelen consistent en gestandaardiseerd worden toegepast. Dit helpt om een uniforme aanpak te garanderen bij het beveiligen van gegevens en systemen, waardoor gaten en inconsistenties worden voorkomen.
Deze pagina IT service management bevat een verzameling van service management onderwerpen die een nauwe relatie hebben met informatieveiligheid en die niet zijn geadresseerd in aparte beleidsdomeinen. Toegangsbeheer en kwetsbaarhedenbeheer zijn ook service management processen, maar deze kennen hun eigen pagina’s binnen de beleidsdomeinen.
Inhoud
Doel
DOELSTELLINGENHet beleid draagt bij tot de realisatie van volgende informatieveiligheidsdoelstellingen van de organisatie:
|
DREIGINGENHet beleid draagt bij om de volgende dreigingen te verminderen of te voorkomen: |
Beleid
IT service management (ITSM) gaat over het beheren van IT diensten. ITSM omvat een reeks processen en functies die samenwerken om IT diensten efficiënt en effectief te leveren aan de organisatie en haar gebruikers.
Er is een nauw verwantschap tussen ITSM en informatieveiligheid, een sterke samenwerking en integratie tussen beide is cruciaal voor het waarborgen van zowel effectieve IT diensten als robuuste informatiebeveiliging binnen de organisatie.
Asset- en Configuratiebeheer
Beheer van bedrijfsmiddelen (assets) heeft als hoofddoel om een volledig en actueel overzicht te hebben van alle assets en configuratie items in de organisatie. Dit overzicht is cruciaal voor andere processen zoals incidentbeheer, patch management, wijzigingsbeheer, enz.
Wat is het verschil tussen een asset en een configuratie item?
In IT beheer zijn assets alle bedrijfsmiddelen die waarde hebben voor een organisatie. Dit kan zowel tastbare zaken zijn, zoals hardware en software, als niet-tastbare zaken, zoals informatie en kennis. Configuratie items zijn een specifieke subset van assets. Ze zijn tastbare zaken die actief worden beheerd en gevolgd binnen IT beheerprocessen.
Wat is het belang van asset- en configuratiebeheer?
Asset- en configuratiebeheer is het proces van het creëren en onderhouden van een nauwkeurig en compleet overzicht van alle configuratie items in de organisatie.
De doelen van asset- en configuratiebeheer zijn:
Het beheren van een steeds veranderende IT-infrastructuur
Het voorkomen van ongeautoriseerde versies van configuratie-items (CI’s) in productie
Het vereenvoudigen van kwetsbaarheidsbeheer
Het opsporen van niet-geautoriseerde apparatuur of wijzigingen
Het beheer van assets en configuratie-items gebeurt in een Configuration Management System (CMS)
In de praktijk worden de termen Configuration Management System (CMS) en Configuration Management Database (CMDB) vaak door elkaar gebruikt. Het verschil tussen een CMS en een CMDB is dat een CMS een bredere term is die verwijst naar elk systeem dat wordt gebruikt om informatie over CI's te beheren. Een CMDB is een specifieke implementatie van een CMS die gebruik maakt van een database.
Implementatiemaatregel
Registratie
Alle configuratie-items (CI's) MOETEN geïdentificeerd en geregistreerd worden in een Configuration Management System (CMS).
Voor elk configuratie-item MOETEN de volgende attributen vastgelegd worden:
Type
Service componenten
Informatieklasse
Versienummer
Licentie-informatie
Locatie
Relaties met andere configuratie-item
Relaties met andere services of organisatie
Eigenaar
Status
Beschikbare documentatie
Audit trail
Administratie
De CMS MOET altijd actueel zijn.
Alle wijzigingen aan configuratie-items MOETEN geregistreerd worden in de CMS.
Voor alle wijzigingen aan configuratie-items MOET passende documentatie beschikbaar zijn.
Er MOETEN procedures en werkinstructies beschikbaar zijn voor het afhandelen van nieuwe configuratie-items en wijzigingen aan bestaande configuratie-items.
Statusbewaking
De actuele en historische status van elk configuratie-item MOET geregistreerd worden.
De datum van elke statusverandering MOET geregistreerd worden.
Verificatie
De gegevens in de CMS MOETEN op regelmatige tijdstippen gecontroleerd worden of deze nog actueel zijn. De frequentie van verificatie is afhankelijk van de informatieklasse:
Informatieklasse 1 tem 3 (vertrouwelijkheid en integriteit)
Jaarlijks moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?
Jaarlijks moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
Informatieklasse 4 (vertrouwelijkheid en integriteit)
Tweemaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?
De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en).
Jaarlijks of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
Informatieklasse 5 (vertrouwelijkheid en integriteit)
Viermaal per jaar of na wijziging of release moeten de attributen van elk configuratie-item inhoudelijk geverifieerd worden: weerspiegelt de waarde van de attributen de geïnstalleerde werkelijkheid?
De resultaten van deze inhoudelijke verificatie worden gerapporteerd aan de betrokken toepassingseigena(a)r(en) en aan de DPO.
Tweemaal per jaar of na wijziging van de eigenaar moet geverifieerd worden of de eigenaar van elk configuratie-item nog correct geïdentificeerd is.
Capaciteitsbeheer
Capaciteitsbeheer is het proces van het plannen, implementeren, beheren en bewaken van de capaciteit van de IT-infrastructuur om aan de behoeften van de organisatie te voldoen. Het is een essentieel proces voor het garanderen van de beschikbaarheid, performantie en betrouwbaarheid van de IT-dienstverlening.
Implementatiemaatregel
De behoeften van de organisatie aan capaciteit, als geheel en voor specifieke IT-infrastructuur, producten en diensten, MOETEN worden gedefinieerd en gemeten. Dit omvat zowel de huidige als toekomstige behoeften.
De capaciteit van de IT-infrastructuur MOET worden geanalyseerd om ervoor te zorgen dat deze voldoet aan de behoeften van de organisatie. Dit omvat zowel de huidige als toekomstige capaciteit.
Er MOETEN capaciteitsplannen worden ontwikkeld om ervoor te zorgen dat de IT-infrastructuur voldoende capaciteit heeft om aan de behoeften van de organisatie te voldoen. Deze plannen MOETEN regelmatig worden herzien om ervoor te zorgen dat ze aan de actuele behoeften voldoen.
De capaciteit van de IT-infrastructuur MOET worden gemonitord en bewaakt om ervoor te zorgen dat deze voldoet aan de capaciteitsplannen. Dit omvat het monitoren van de performantie, beschikbaarheid en betrouwbaarheid van de IT-infrastructuur.
Wijzigingsbeheer
Deze paragraaf beschrijft de maatregelen die dienen om de informatieveiligheid te behouden tijdens het uitvoeren van wijzigingen.
Gebeurtenisbeheer
Gebeurtenisbeheer (event management) is het proces voor het detecteren, registreren, analyseren en reageren op gebeurtenissen die plaatsvinden in de ICT-infrastructuur. Het doel van event management is om de normale uitvoering van de ICT-infrastructuur te monitoren en onvoorziene omstandigheden te detecteren en te escaleren.
Event management is gebaseerd op gebeurtenissen die gedetecteerd worden door monitoring- of systeemtools. Deze gebeurtenissen kunnen bijvoorbeeld zijn:
Een fout in een applicatie
Een storing in een netwerkcomponent
Een abnormale toename van het CPU-gebruik
De gebeurtenissen die gedetecteerd worden, moeten relevant zijn voor de zakelijke of ICT-processen. Dit betekent dat ze een impact kunnen hebben op de beschikbaarheid, betrouwbaarheid of integriteit van deze processen.
Het is belangrijk om de juiste gebeurtenissen te selecteren voor event management. Dit kan gedaan worden op basis van drie criteria:
Detecteerbaarheid: De gebeurtenis moet detecteerbaar zijn met behulp van monitoring- of systeemtools.
Relevantie: De gebeurtenis moet relevant zijn voor de zakelijke of ICT-processen.
Actiemogelijkheid: Er moet een actie gedefinieerd kunnen worden in reactie op de gebeurtenis.
De bronsystemen of -toepassingen zijn verantwoordelijk voor het genereren van gebeurtenissen voor event management. Deze gebeurtenissen moeten geprioriteerd en gecategoriseerd worden door de bronsystemen.
De belangrijkste input van het bronsysteem voor het event management proces bestaat uit:
De criticiteit van het bronsysteem
De door het bronsysteem gegenereerde gebeurtenissen
De typering van de gebeurtenis (informatief, waarschuwing, uitzondering)
Event management beheert twee soorten gebeurtenissen:
Gebeurtenissen gegenereerd door het bronsysteem: Dit zijn de gebeurtenissen die oorspronkelijk door de bronsystemen of -toepassingen worden gegenereerd.
Het opvolgen van de beschikbaarheid en integriteit van deze gebeurtenissen: Dit omvat het controleren of de gebeurtenissen correct worden opgevangen door het event management proces en dat ze daadwerkelijk afkomstig zijn van het beoogde bronsysteem.
Logging
Het doel van deze implementatiemaatregel is om richtlijnen vast te stellen voor het aanmaken, verzamelen, beschermen en behandelen van logbestanden binnen de organisatie. Dit beoogt de integriteit, beschikbaarheid en vertrouwelijkheid van loggegevens te waarborgen en een effectieve monitoring en incidentrespons mogelijk te maken.
Melden van informatiebeveiligingsgebeurtenissen
Het doel van deze implementatiemaatregel is om alle medewerkers en gebruikers bewust te maken van hun verantwoordelijkheid om informatiebeveiligingsgebeurtenissen zo snel mogelijk te melden. Dit helpt om de impact van informatiebeveiligingsincidenten te voorkomen of tot een minimum te beperken.
Monitoren van activiteiten
Het doel van deze implementatiemaatregel is om de vertrouwelijkheid, integriteit en beschikbaarheid van de informatiesystemen binnen de organisatie te waarborgen door middel van een systematische en continue monitoring van activiteiten. Dit beoogt afwijkingen en bedreigingen tijdig te identificeren en de impact van informatiebeveiligingsincidenten te minimaliseren.
Incidentbeheer
Het incidentbeheerproces richt zich op het herstellen van normale IT-werking en het beantwoorden van vragen van gebruikers na storingen. Dit omvat zowel IT-incidenten als informatiebeveiligingsincidenten. Hoewel beide soorten incidenten gelijkaardige herstelstappen doorlopen, zijn er belangrijke verschillen:
| ICT incident | Informatie veiligheidsincident |
---|---|---|
Definitie |
| Aantasting van vertrouwelijkheid, integriteit of beschikbaarheid van de informatievoorziening;
|
Doel | Herstel van de ICT-dienst | Herstel van de informatievoorziening |
Scope | ICT-dienstverlening | Kan de volledige organisatie omvatten |
Vaardigheden | ICT-technologie | ICT en bijkomende kennis zoals juridisch, forensics, enz |
In dit beleid richten we ons enkel op informatiebeveiligingsincidenten.
Plannen en voorbereiden van het beheer van informatiebeveiligheidsincidenten
Het doel van deze implementatiemaatregel is om een gestructureerde en effectieve aanpak te bieden voor het plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten. Dit beoogt duidelijkheid te verschaffen over rollen en verantwoordelijkheden, het vaststellen van processen en procedures, en het waarborgen van een snelle en gecoördineerde reactie op incidenten.
Beoordelen van en besluiten over informatiebeveiligingsincidenten
Het doel van deze implementatiemaatregel is om een gestructureerde en efficiënte aanpak te bieden voor het beoordelen, categoriseren en prioriteren van informatiebeveiligingsincidenten. Dit beoogt de risico's van beveiligingsincidenten te minimaliseren en een snelle en effectieve respons te waarborgen door het gebruik van een gestandaardiseerd schema binnen het incident managementsysteem.
Reageren op informatiebeveiligingsincidenten
Het doel van deze implementatiemaatregel is om ervoor te zorgen dat de organisatie snel en effectief reageert op informatiebeveiligingsincidenten. Dit beoogt de gevolgen van incidenten te minimaliseren, de integriteit van bewijsmateriaal te waarborgen en een gestructureerde en gecoördineerde aanpak te bieden voor incidentbeheer.
Verzamelen van bewijsmateriaal
Het doel van deze implementatiemaatregel is om duidelijke richtlijnen te bieden voor het verzamelen, beheren en bewaren van bewijsmateriaal met betrekking tot informatiebeveiligingsincidenten. Dit beoogt de integriteit van het bewijsmateriaal te waarborgen, zodat het kan worden toegelaten in disciplinaire en gerechtelijke procedures binnen verschillende rechtsgebieden.
Leren van informatiebeveiligingsincidenten
Het doel van deze implementatiemaatregel is om een systematische benadering te bieden voor het kwantificeren, monitoren en analyseren van informatiebeveiligingsincidenten. Dit beleid beoogt de verbetering van het incidentbeheerplan, de actualisering van de risicobeoordeling en de implementatie van effectieve beheersmaatregelen om toekomstige incidenten te voorkomen en de impact ervan te minimaliseren.
Appendix
Relatie van het beleid met andere richtlijnen en standaarden
Regelgeving en standaarden (L1)
ISO 27001:2022 (Annex A)
Informatieclassificatieraamwerk van de Vlaamse overheid (L2)
Zie het ICR voor meer informatie: Webportaal of Confluence.
Document status
Titel | Auteur | Datum | Versie | Status | Opmerkingen |
---|---|---|---|---|---|
Beleid voor IT Service Management | Fabrice Meunier | 01/06/2024 | 1.0 | finaal CONCEPT |
|
|
|
|
|
|
|
Dit is een document voor intern gebruik.