Wat houdt deze control in?
Logbestanden van gebruikersactiviteiten en beveiligingsgebeurtenissen moeten worden vastgelegd, beschermd en bewaard.
Waarom is dit verplicht?
Zonder logging is detectie van aanvallen en forensisch onderzoek onmogelijk.
Praktische implementatie
- Log authenticatiegebeurtenissen en autorisatiewijzigingen
- Centraliseer logs in een SIEM
- Beveilig logs tegen wijziging
- Bewaar minimaal 12 maanden
Aandachtspunten voor de overheid
Logging van persoonsgegevens valt onder de AVG; stel een retentiebeleid op.
Relatie met andere controls
Gerelateerd aan 8.16 (monitoring) en 8.17 (kloksynchronisatie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je legt logbestanden van gebruikersactiviteiten en beveiligingsgebeurtenissen vast, beschermt ze en bewaart ze. De overheidsmaatregelen zijn hier gedetailleerd: een logregel bevat minimaal actie, object, resultaat, oorsprong, actor en tijdstempel — en nooit gegevens die de beveiliging kunnen doorbreken; er is een overzicht van gegenereerde logbestanden; de bewaartermijn van logs en SIEM-data wordt risicogericht bepaald (rekening houdend met langdurige aanwezigheid van aanvallers); oneigenlijk wijzigen/verwijderen van logs wordt als IB-incident gemeld; en een onafhankelijke functionaris toetst periodiek (risicogestuurd) het ongewijzigd bestaan van logbestanden. Zonder logging is detectie en forensisch onderzoek onmogelijk.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Zorg dat elke logregel minimaal actie, object, resultaat, oorsprong, actor en tijdstempel bevat, en nooit gegevens die de beveiliging kunnen doorbreken.
- ›Houd een overzicht bij van de logbestanden die worden gegenereerd.
- ›Bepaal de bewaartermijn van logs en SIEM-gegevens risicogericht, rekening houdend met langdurige aanwezigheid van aanvallers.
- ›Meld oneigenlijk wijzigen of verwijderen van loggegevens zo snel mogelijk als IB-incident via de incidentprocedure.
- ›Laat een onafhankelijke functionaris periodiek (risicogestuurd) toetsen of logbestanden ongewijzigd bestaan.
- ›Centraliseer logs in een SIEM en bescherm ze tegen wijziging (bijv. append-only/WORM).verdieping
Bewijs dat je kunt verzamelen
- ›Logconfiguratie waaruit de verplichte logregel-velden blijken
- ›Overzicht van gegenereerde logbestanden
- ›Risicogericht bepaalde bewaartermijnen van logs/SIEM
- ›Incidentregistraties van logmanipulatie en verslagen van onafhankelijke logtoetsing
Wat je bij een audit moet kunnen aantonen
- ›Dat logregels de verplichte velden bevatten en geen beveiligingsgevoelige data
- ›Dat een overzicht van logbestanden bestaat
- ›Dat bewaartermijnen risicogericht zijn bepaald
- ›Dat logmanipulatie als incident wordt gemeld en logs onafhankelijk worden getoetst
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn de logregel-eisen en het logoverzicht vastgesteld?
- ›Zijn risicogerichte bewaartermijnen bepaald?
- ›Is onafhankelijke toetsing belegd?
- ›Bevatten logs de verplichte velden?
- ›Is het logoverzicht aanwezig?
- ›Zijn bewaartermijnen ingesteld?
- ›Wordt logmanipulatie als incident gemeld?
- ›Vindt onafhankelijke toetsing periodiek plaats?
- ›Blijven logs beschermd tegen wijziging?
Gekoppelde overheidsmaatregel(en)
• Actie: de gebeurtenis of handeling die heeft plaatsgevonden.
• Object: waarop de gebeurtenis of handeling effect had (bijvoorbeeld welk bestand, proces of systeem).
• Resultaat: het resultaat van de gebeurtenis of handeling.
• Oorsprong: het apparaat of de netwerklocatie van waaruit de gebeurtenis of handeling in gang is gezet.
• Actor: identificatie van de persoon die of het proces dat de gebeurtenis in gang heeft gezet.
• Tijdstempel: datum en tijdstip waarop de gebeurtenis of handeling plaatsvond.
Toetsing wordt uitgevoerd door een ten opzichte van de uitvoering onafhankelijke functionaris.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.