Wat houdt deze control in?
Toegang tot externe websites moet worden gefilterd om blootstelling aan schadelijke content en phishing te beperken.
Waarom is dit verplicht?
Drive-by downloads en phishing via browsers zijn veelgebruikte aanvalsvectoren.
Praktische implementatie
- Implementeer een webproxy met URL-filtering
- Blokkeer bekende malware- en phishingdomeinen
- Schakel SSL-inspectie in voor versleuteld verkeer
- Beperk toegang tot niet-werkgerelateerde categorieën
Aandachtspunten voor de overheid
Zet DNS-filtering in als laagdrempelige basismaatregel voor bekende dreigingen: een protective-DNS-resolver blokkeert kwaadaardige domeinen (phishing, malware) op netwerkniveau, ongeacht de endpoint-beveiliging. Het NCSC ontwikkelt hiervoor het Anti Phishing Shield, een DNS-gebaseerd phishingfilter dat nu vooral via internetproviders (opt-in) beschikbaar is.
Let op: DNS-filtering dekt alleen het domeinniveau. Voor volledige invulling van 8.23 is een aanvullende webproxy/secure web gateway nodig. Zie ook de maatregel hierboven onder ‘Praktische implementatie’.
Relatie met andere controls
Gerelateerd aan 8.7 (malware) en 8.20 (netwerkbeveiliging), 8.21 (netwerkdiensten) en 5.7 (threat intelligence).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je filtert toegang tot externe websites om blootstelling aan schadelijke content en phishing te beperken. Drive-by downloads en phishing via browsers zijn veelgebruikte aanvalsvectoren. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Gebruik de NCSC-dienst voor veilige DNS voor basiswebfiltering op bekende dreigingen.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Implementeer een webproxy met URL-filtering.
- ›Blokkeer bekende malware- en phishingdomeinen (bijv. via de NCSC-dienst voor veilige DNS).
- ›Beperk toegang tot niet-werkgerelateerde categorieën.
- ›Schakel SSL-inspectie in voor versleuteld verkeer (met aandacht voor privacy/AVG).verdieping
Bewijs dat je kunt verzamelen
- ›Webproxy-/URL-filterconfiguratie
- ›Blokkering van malware-/phishingdomeinen (bijv. NCSC veilige DNS)
- ›Categoriefiltering-instellingen
- ›SSL-inspectie-inrichting (indien toegepast)
Wat je bij een audit moet kunnen aantonen
- ›Dat webfiltering is geïmplementeerd
- ›Dat bekende dreigingsdomeinen worden geblokkeerd
- ›Dat niet-werkgerelateerde categorieën worden beperkt
- ›Dat versleuteld verkeer waar nodig wordt geïnspecteerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is webfiltering (proxy/DNS) ontworpen?
- ›Is blokkering van dreigingsdomeinen belegd?
- ›Is categoriefiltering bepaald?
- ›Is de webproxy/DNS-filtering actief?
- ›Worden dreigingsdomeinen geblokkeerd?
- ›Zijn categorieën beperkt?
- ›Blijft de filtering actueel?
- ›Worden nieuwe dreigingsdomeinen toegevoegd?
- ›Wordt SSL-inspectie beheerd toegepast?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.