Wat houdt deze control in?
Netwerken, systemen en applicaties moeten actief worden gemonitord op afwijkend gedrag en beveiligingsincidenten.
Waarom is dit verplicht?
De gemiddelde detectietijd van een aanval is maanden; actieve monitoring verkort dit drastisch.
Praktische implementatie
- Implementeer een SIEM of SOC
- Stel alertregels in voor bekende aanvalspatronen
- Definieer escalatieprocedures
- Evalueer detectieregels periodiek
Aandachtspunten voor de overheid
Kleine gemeenten kunnen monitoring uitbesteden aan een shared SOC via de IBD.
Relatie met andere controls
Gerelateerd aan 8.15 (logging) en 5.7 (threat intelligence).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je monitort netwerken, systemen en applicaties actief op afwijkend gedrag en beveiligingsincidenten. De overheidsmaatregelen vereisen dat de informatieverwerkende omgeving wordt gemonitord met een detectie- en response-oplossing die aanvallen detecteert en afwijkingen tijdig behandelt; dat nieuwe dreigingen binnen de juridische kaders verplicht met de aangewezen CERT worden gedeeld; dat het SIEM/SOC-proces eenduidige regels heeft voor wanneer een incident aan het management wordt gerapporteerd; en dat actieve netwerkcomponenten van logging en monitoring zijn voorzien. De gemiddelde detectietijd van een aanval is maanden; actieve monitoring verkort dit drastisch. Kleine gemeenten kunnen monitoring uitbesteden aan een shared SOC via de IBD.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Monitor de informatieverwerkende omgeving met een detectie- en response-oplossing die aanvallen detecteert en afwijkingen tijdig behandelt.
- ›Voorzie actieve netwerkcomponenten van logging en monitoring om afwijkingen waar te nemen en erop te reageren.
- ›Deel ontdekte nieuwe dreigingen binnen de geldende juridische kaders verplicht met de aangewezen CERT.
- ›Stel eenduidige regels op voor wanneer het SIEM/SOC-proces een incident aan het verantwoordelijke management rapporteert.
- ›Overweeg als kleine gemeente aansluiting bij een shared SOC via de IBD en evalueer detectieregels periodiek.verdieping
Bewijs dat je kunt verzamelen
- ›Inrichting van de detectie- en response-oplossing (SIEM/SOC/EDR)
- ›Logging/monitoring op actieve netwerkcomponenten
- ›Afspraken en bewijs van dreigingsdeling met de aangewezen CERT
- ›Escalatieregels voor incidentrapportage aan het management
Wat je bij een audit moet kunnen aantonen
- ›Dat de omgeving met detectie/response wordt gemonitord
- ›Dat netwerkcomponenten worden gelogd en gemonitord
- ›Dat nieuwe dreigingen met de CERT worden gedeeld
- ›Dat er eenduidige escalatieregels naar management zijn
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is detectie/response-monitoring ontworpen?
- ›Zijn escalatieregels en CERT-deling belegd?
- ›Is monitoring van netwerkcomponenten bepaald?
- ›Is de detectie-/response-oplossing operationeel?
- ›Worden netwerkcomponenten gemonitord?
- ›Zijn CERT-afspraken vastgelegd?
- ›Worden afwijkingen tijdig behandeld?
- ›Worden dreigingen daadwerkelijk met de CERT gedeeld?
- ›Worden detectieregels periodiek geëvalueerd?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.