Wat houdt deze control in?
Configuraties van hardware, software en netwerken moeten worden vastgesteld, gedocumenteerd en bewaakt.
Waarom is dit verplicht?
Standaard- en verkeerde configuraties zijn een veelgebruikte aanvalsvector.
Praktische implementatie
- Stel hardened basisconfiguraties op per systeem
- Gebruik configuratiebeheertools
- Monitor afwijkingen automatisch
- Documenteer configuratiewijzigingen
Aandachtspunten voor de overheid
Gebruik CIS Benchmarks of NCSC-richtlijnen als basis voor hardened configuraties.
Relatie met andere controls
Gerelateerd aan 8.8 (kwetsbaarheden) en 8.32 (wijzigingsbeheer).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt configuraties van hardware, software en netwerken vast, documenteert ze en bewaakt ze. Standaard- en verkeerde configuraties zijn een veelgebruikte aanvalsvector. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Gebruik CIS Benchmarks of NCSC-richtlijnen als basis voor hardened configuraties.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Stel hardened basisconfiguraties op per systeem, gebaseerd op CIS Benchmarks of NCSC-richtlijnen.
- ›Gebruik configuratiebeheertools.
- ›Documenteer configuratiewijzigingen.
- ›Monitor afwijkingen van de basisconfiguratie automatisch.verdieping
Bewijs dat je kunt verzamelen
- ›Hardened basisconfiguraties (CIS/NCSC) per systeem
- ›Configuratiebeheertool-inrichting
- ›Registratie van configuratiewijzigingen
- ›Automatische afwijkingsmonitoring (indien aanwezig)
Wat je bij een audit moet kunnen aantonen
- ›Dat hardened basisconfiguraties bestaan
- ›Dat configuraties worden beheerd en gedocumenteerd
- ›Dat afwijkingen worden gedetecteerd
- ›Dat CIS/NCSC als basis dient
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn hardened baselines (CIS/NCSC) vastgesteld?
- ›Is een configuratiebeheertool belegd?
- ›Is afwijkingsdetectie bepaald?
- ›Zijn baselines toegepast op systemen?
- ›Worden wijzigingen gedocumenteerd?
- ›Is monitoring actief?
- ›Worden afwijkingen gedetecteerd en gecorrigeerd?
- ›Blijven baselines actueel?
- ›Worden nieuwe systemen conform ingericht?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.