Wat houdt deze control in?
Control 8.20 gaat over het netwerk zelf, control 8.21 gaat over de diensten die over het netwerk lopen. Beveiligingsmechanismen voor alle netwerkdiensten moeten worden geïdentificeerd en opgenomen in overeenkomsten.
Waarom is dit verplicht?
Onvoldoende beveiligingseisen in contracten voor netwerkdiensten leiden tot onbeheersbare risico’s.
Praktische implementatie
- Specificeer beveiligingseisen in SLA’s met providers
- Vereis encryptie voor externe verbindingen
- Monitor naleving van beveiligingsafspraken
- Voer risicobeoordelingen uit bij wijzigingen
Aandachtspunten voor de overheid
Gebruik GIBIT-inkoopvoorwaarden bij aanbesteding van netwerkdiensten.
Relatie met andere controls
Gerelateerd aan 5.20 (leveranciersafspraken) en 8.20 (netwerkbeveiliging).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je identificeert beveiligingsmechanismen voor alle netwerkdiensten en neemt die op in overeenkomsten. De overheidsmaatregelen zijn hier concreet: in koppelpunten met externe/onvertrouwde zones zijn maatregelen getroffen om beschikbaarheidsaanvallen (zoals DDoS) te signaleren en mitigeren; het dataverkeer van/naar de vertrouwde omgeving wordt bewaakt en geanalyseerd op verdacht verkeer; nieuwe dreigingen worden binnen de juridische kaders gedeeld binnen de overheid; en gegevenstransport buiten het gecontroleerd gebied (draadloos of bedraad) wordt versleuteld (m.u.v. noodzakelijke metagegevens), conform AIVD/NBV-adviezen. Onvoldoende beveiligingseisen in contracten leiden tot onbeheersbare risico's.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Tref in koppelpunten met externe/onvertrouwde zones maatregelen om beschikbaarheidsaanvallen (bijv. DDoS) te signaleren en te mitigeren.
- ›Bewaak en analyseer het dataverkeer van/naar de vertrouwde omgeving op verdacht verkeer met detectievoorzieningen.
- ›Deel ontdekte nieuwe dreigingen binnen de juridische kaders binnen de overheid.
- ›Versleutel gegevenstransport buiten het gecontroleerd gebied (draadloos/bedraad), m.u.v. noodzakelijke metagegevens, conform AIVD/NBV-adviezen.
- ›Specificeer beveiligingseisen in SLA's met providers (bijv. via GIBIT) en monitor de naleving ervan.verdieping
Bewijs dat je kunt verzamelen
- ›Maatregelen tegen beschikbaarheidsaanvallen in externe koppelpunten
- ›Detectie-inrichting voor verkeersbewaking van de vertrouwde omgeving
- ›Afspraken/bewijs van dreigingsdeling binnen de overheid
- ›Encryptie-inrichting voor transport buiten het gecontroleerd gebied (AIVD/NBV)
- ›SLA's met beveiligingseisen voor netwerkdiensten
Wat je bij een audit moet kunnen aantonen
- ›Dat externe koppelpunten beschikbaarheidsaanvallen kunnen signaleren/mitigeren
- ›Dat verkeer van/naar de vertrouwde omgeving wordt bewaakt
- ›Dat dreigingen binnen de overheid worden gedeeld
- ›Dat transport buiten het gecontroleerd gebied wordt versleuteld
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn maatregelen voor koppelpunten en verkeersbewaking ontworpen?
- ›Is dreigingsdeling belegd?
- ›Zijn encryptie-eisen (AIVD/NBV) en SLA-eisen bepaald?
- ›Zijn detectie/mitigatie in koppelpunten ingericht?
- ›Wordt verkeer bewaakt en geanalyseerd?
- ›Is transport buiten het gebied versleuteld?
- ›Worden beschikbaarheidsaanvallen gesignaleerd en gemitigeerd?
- ›Worden dreigingen daadwerkelijk gedeeld?
- ›Blijft naleving van SLA-eisen gemonitord?
Gekoppelde overheidsmaatregel(en)
De inrichting van de versleuteling is risicogericht en houdt rekening met de noodzakelijke beschermingstermijn en het noodzakelijke beschermingsniveau.
Hierbij wordt waar mogelijk gebruik gemaakt van encryptiemiddelen waarvoor de Unit Weerbaarheid van het NBV van de AIVD een positief inzetadvies heeft afgegeven.
Als de Unit Weerbaarheid geen encryptiemiddelen heeft geadviseerd, wordt in overleg met de CISO een andere geschikte versleutelingsmethodiek gekozen en ingericht.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.