Wat houdt deze control in?
Er moeten procedures zijn voor het beheren van software-installaties om niet-geautoriseerde of onveilige software te voorkomen.
Waarom is dit verplicht?
Niet-geautoriseerde software is een veelvoorkomende aanvalsvector.
Praktische implementatie
- Beperk installatiebevoegdheden tot systeembeheerders
- Gebruik een softwarecatalogus voor goedgekeurde applicaties
- Implementeer application whitelisting
- Scan nieuwe software op malware
Aandachtspunten voor de overheid
Open source software vereist een licentie- en kwetsbaarheidsbeoordeling.
Relatie met andere controls
Gerelateerd aan 8.7 (malware) en 8.32 (wijzigingsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert software-installaties om niet-geautoriseerde of onveilige software te voorkomen. De overheidsmaatregel vereist dat het risico van installatie door gebruikers van niet-geautoriseerde software wordt beheerst. Niet-geautoriseerde software is een veelvoorkomende aanvalsvector. Open source software vereist een licentie- en kwetsbaarheidsbeoordeling.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Beheers het risico van installatie van niet-geautoriseerde software door gebruikers (beperk installatiebevoegdheden tot beheerders).
- ›Gebruik een softwarecatalogus voor goedgekeurde applicaties.
- ›Scan nieuwe software op malware en beoordeel open source op licentie en kwetsbaarheden.
- ›Implementeer application whitelisting/allowlisting.verdieping
Bewijs dat je kunt verzamelen
- ›Beperking van installatiebevoegdheden tot beheerders
- ›Softwarecatalogus van goedgekeurde applicaties
- ›Bewijs van malware-scan en open source beoordeling
- ›Allowlisting-inrichting (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat het risico van niet-geautoriseerde software wordt beheerst
- ›Dat installatiebevoegdheden beperkt zijn
- ›Dat een softwarecatalogus wordt gehanteerd
- ›Dat nieuwe software wordt gescand/beoordeeld
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is beperking van installatierechten belegd?
- ›Is een softwarecatalogus vastgesteld?
- ›Is allowlisting/scan bepaald?
- ›Zijn installatierechten beperkt?
- ›Wordt de catalogus gebruikt?
- ›Wordt nieuwe software gescand?
- ›Blijft niet-geautoriseerde installatie beheerst?
- ›Wordt de catalogus actueel gehouden?
- ›Werkt allowlisting waar aanwezig?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.