Wat houdt deze control in?
Processen en procedures moeten worden gedefinieerd en geïmplementeerd om de risico’s van informatiebeveiliging in de ICT-toeleveringsketen te beheren.
Waarom is dit verplicht?
Softwareleveranciers en hun toeleveranciers kunnen kwetsbaarheden introduceren die de hele keten raken, zoals de SolarWinds-aanval aantoonde.
Praktische implementatie
- Breng de ICT-toeleveringsketen in kaart voor kritieke systemen
- Stel eisen aan beveiliging van de softwareontwikkelketen
- Vereis een Software Bill of Materials (SBOM) bij aanschaf van software
- Monitor kwetsbaarheden in gebruikte softwarecomponenten
Aandachtspunten voor de overheid
Open source componenten in overheidssoftware moeten worden gescand op bekende kwetsbaarheden.
Relatie met andere controls
Gerelateerd aan 5.19 (leveranciersbeveiliging) en 8.8 (kwetsbaarheidsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert de informatiebeveiligingsrisico's in de hele ICT-toeleveringsketen, niet alleen bij je directe leverancier. De overheidsmaatregelen vereisen dat de leverancier vóór contractsluiting inzicht geeft in zijn keten van toeleveranciers en de risico's, dat beveiligingseisen onverminderd gelden voor de gehele keten (uitsluitingen onderbouwd), dat de leverancier tijdens de looptijd ketenwijzigingen en incidenten meldt, en dat ketenbeveiliging onderdeel is van je risicoanalyse. Softwareleveranciers en hun toeleveranciers kunnen kwetsbaarheden introduceren die de hele keten raken — de SolarWinds-aanval liet zien hoe ver dat reikt.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Laat de leverancier vóór contractsluiting inzicht geven in de keten van toeleveranciers en de bijbehorende risico's, en beoordeel of die acceptabel zijn.
- ›Borg dat de beveiligingseisen onverminderd gelden voor de gehele toeleveringsketen; laat uitsluitingen door de leverancier onderbouwen.
- ›Verplicht de leverancier om gedurende de looptijd wijzigingen in de keten te melden, inclusief kwetsbaarheden en IB-incidenten.
- ›Maak ketenbeveiliging onderdeel van je risicoanalyse (kwetsbaarheden per leverancier, productkwaliteit, cyberpraktijken van toeleveranciers).
- ›Vereis een Software Bill of Materials (SBOM) bij aanschaf van software en scan open source componenten op bekende kwetsbaarheden.verdieping
Bewijs dat je kunt verzamelen
- ›Keteninzicht van de leverancier, verkregen vóór contractsluiting, met risicobeoordeling
- ›Contractbepalingen die beveiligingseisen doortrekken naar de keten en meldplicht bij ketenwijzigingen
- ›Risicoanalyse waarin ketenbeveiliging is meegenomen
- ›SBOM's en resultaten van kwetsbaarheidsscans op componenten (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat ketenrisico's vóór contractsluiting zijn beoordeeld
- ›Dat beveiligingseisen aantoonbaar doorwerken in de keten
- ›Dat de leverancier ketenwijzigingen en incidenten meldt
- ›Dat ketenbeveiliging deel uitmaakt van de risicoanalyse
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is vastgelegd dat leveranciers vóór sluiting keteninzicht geven?
- ›Is geborgd dat eisen doorwerken in de keten?
- ›Is ketenbeveiliging opgenomen in de risicoanalysemethodiek?
- ›Is bij recente contracten keteninzicht verkregen en beoordeeld?
- ›Bevatten contracten de meldplicht voor ketenwijzigingen?
- ›Is ketenbeveiliging in risicoanalyses terug te vinden?
- ›Worden ketenwijzigingen en -incidenten daadwerkelijk gemeld en opgevolgd?
- ›Wordt ketenbeveiliging periodiek herbeoordeeld?
- ›Worden SBOM's/scans structureel toegepast waar relevant?
Gekoppelde overheidsmaatregel(en)
Indien informatiebeveiligingseisen zijn uitgesloten, maakt de leverancier dat inzichtelijk, inclusief een onderbouwing.
• specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener;
• de algemene kwaliteit van de producten;
• de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.