Wat houdt deze control in?
Technische kwetsbaarheden moeten tijdig worden geïdentificeerd en verholpen via een gestructureerd patchmanagementproces.
Waarom is dit verplicht?
De meeste aanvallen maken gebruik van bekende, niet-gepatchte kwetsbaarheden.
Praktische implementatie
- Stel patchbeleid in met maximale responstijden
- Gebruik een vulnerability scanner voor periodieke scans
- Prioriteer kritieke patches binnen 24-72 uur
- Houd een actueel overzicht van systemen en versies bij
Aandachtspunten voor de overheid
Volg NCSC-beveiligingsadviezen en IBD-alerts voor kwetsbaarheden die overheidsorganisaties raken.
Relatie met andere controls
Gerelateerd aan 8.7 (malware) en 8.9 (configuratiebeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je identificeert en verhelpt technische kwetsbaarheden tijdig via een gestructureerd patchmanagementproces. De overheidsmaatregelen stellen concrete termijnen en eisen: bij een kwetsbaarheid met hoge kans op misbruik én hoge schade tref je binnen een week passende mitigerende maatregelen; de wijze bepaal je via een expliciete risicoafweging; lukt installatie niet binnen een week, dan tref je tijdelijke mitigatie; systemen worden waar mogelijk jaarlijks gecontroleerd via kwetsbaarheidsanalyses, pentests of red-teaming, en internetfacing-systemen worden continu getest én verplicht gepentest bij elke nieuwe release of major update (hoog-risicobevindingen blokkeren de productiegang). De meeste aanvallen misbruiken bekende, niet-gepatchte kwetsbaarheden.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Tref bij kwetsbaarheden met hoge kans op misbruik én hoge schade binnen een week passende mitigerende maatregelen; bepaal de wijze via een expliciete risicoafweging.
- ›Tref tijdelijke mitigerende maatregelen (op basis van risicoafweging) als installatie binnen een week niet mogelijk is.
- ›Controleer systemen waar mogelijk jaarlijks via kwetsbaarheidsanalyses, penetratietesten of red-teaming; test internetfacing-systemen continu.
- ›Laat internetfacing-systemen verplicht pentesten bij elke nieuwe release of major update; laat hoog-risicobevindingen de productiegang blokkeren.
- ›Houd een actueel overzicht van systemen en versies bij en volg NCSC-beveiligingsadviezen en IBD-alerts.
- ›Gebruik een vulnerability scanner voor periodieke, geautomatiseerde scans.verdieping
Bewijs dat je kunt verzamelen
- ›Patchbeleid met maximale responstijden en risicoafwegingen
- ›Registratie van (tijdelijke) mitigaties binnen de weektermijn
- ›Rapportages van kwetsbaarheidsanalyses, pentests of red-teaming
- ›Pentestrapporten bij releases van internetfacing-systemen met opvolging van hoog-risicobevindingen
- ›Actueel systeem-/versieoverzicht
Wat je bij een audit moet kunnen aantonen
- ›Dat kritieke kwetsbaarheden binnen de gestelde termijn worden gemitigeerd
- ›Dat mitigatie op een expliciete risicoafweging berust
- ›Dat systemen periodiek en internetfacing continu worden getest
- ›Dat hoog-risicobevindingen productiegang blokkeren
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een patchbeleid met termijnen en risicoafweging vastgesteld?
- ›Is periodiek/continu testen belegd?
- ›Is de pentest-gate voor releases ingericht?
- ›Worden kwetsbaarheden binnen termijn gemitigeerd?
- ›Zijn recente tests/pentests uitgevoerd?
- ›Is het systeem-/versieoverzicht actueel?
- ›Blijven mitigatietermijnen structureel gehaald?
- ›Worden internetfacing-systemen continu getest?
- ›Blokkeren hoog-risicobevindingen daadwerkelijk de productiegang?
Gekoppelde overheidsmaatregel(en)
Als daar bevindingen met een hoog risico uitkomen die niet op een andere manier gemitigeerd kunnen worden, mag het systeem niet in productie.
Alle internetfacing-informatiesystemen worden minimaal jaarlijks getest op zwakheden en kwetsbaarheden.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.