16 KiB
#iso27002/2022/NL
Standard: ISO 27002:2022 NL
+------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+ | Type | Informatie- | Cybersecurity- | Operationele | Beveiligings- | | | | | | | | beheersmaatregel | beveiligings- | concepten | capaciteiten | domeinen | | | | | | | | | eigenschappen | | | | +========================+====================================================+======================+================================================================+=====================+ | #Preventief | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen | #Toepassingsbeveili- ging #Systeem-_en_net- werkbeveiliging | #Bescherming | | | | | | | | | | | | #Verdediging | +------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+
Beheersmaatregel
Er behoren eisen aan de informatiebeveiliging te worden geïdentificeerd, gespecificeerd en goedgekeurd bij het ontwikkelen of aanschaffen van toepassingen.
Doel
Garanderen dat alle informatiebeveiligingseisen zijn geïdentificeerd en meegenomen bij het ontwikkelen of aanschaffen van toepassingen.
Richtlijn
Algemeen
Beveiligingseisen voor toepassingen behoren te worden geïdentificeerd en gespecificeerdeze eisen worden gewoonlijk aan de hand van een risicobeoordeling vastgestelde eisen behoren met ondersteuning van informatiebeveiligingsspecialisten te worden ontwikkeld.
Toepassingsbeveiligingseisen kunnen allerlei onderwerpen betreffen, afhankelijk van het doel van de toepassing.
Toepassingsbeveiligingseisen behoren het volgende te omvatten, al naargelang de situatie:
a) het niveau van vertrouwen in de identiteit van entiteiten [bijvia authenticatie (zie 5.17, 8.5 en 8.2)];
b) het identificeren van het door de toepassing te verwerken soort informatie en het
classificatieniveau ervan;
c) de noodzaak van segmentatie van toegang en het niveau van toegang tot gegevens en functies in de
toepassing;
d) weerstand tegen kwaadaardige aanvallen of onbedoelde verstoringen [bijvescherming tegen
bufferoverflow of SQL-injecties];
e) wettelijke, statutaire en regelgevende eisen in het rechtsgebied waar de transactie wordt
gegenereerd, verwerkt, voltooid of opgeslagen;
f) de noodzaak van privacy met betrekking tot alle betrokken partijen;
g) de eisen ten aanzien van bescherming van vertrouwelijke informatie;
h) bescherming van gegevens tijdens de verwerking, tijdens het transport en in ruste;
i) de noodzaak om communicatie tussen alle betrokken partijen op beveiligde wijze te versleutelen;
j) inputbeheersmaatregelen, waaronder integriteitscontroles en validatie van de invoer;
k) geautomatiseerde beheersmaatregelen (bijvoedkeuringslimieten of dubbele goedkeuring);
l) outputbeheersmaatregelen, waarbij ook wordt nagedacht over wie er toegang kan hebben tot
output en de autorisatie ervoor;
m)beperkingen met betrekking tot de inhoud van 'vrije tekstvelden', aangezien deze kunnen leiden tot
ongecontroleerde opslag van vertrouwelijke gegevens (bijversoonsgegevens);
n) eisen die zijn afgeleid van het bedrijfsproces, zoals registreren en monitoren van transacties, eisen
voor onweerlegbaarheid;
o) eisen die verplicht zijn gesteld door andere beheersmaatregelen met betrekking tot beveiliging (bijvnterfaces voor het registreren en monitoren of systemen voor het detecteren van lekken van gegevens);
p) het afhandelen van foutmeldingen.
Transactionele diensten
In aanvulling hierop behoort voor toepassingen die transactionele diensten tussen de organisatie en een partner aanbieden, het volgende in aanmerking te worden genomen bij het identificeren van informatiebeveiligingseisen:
a) de mate van vertrouwen die beide partijen eisen van elkaars beweerde identiteit;
b) de vereiste mate van vertrouwen in de integriteit van informatie die wordt uitgewisseld of verwerkt en de mechanismen voor het identificeren van integriteitsgebreken (bijvyclische redundantiecontrole, hashing, digitale handtekeningen);
c) autorisatieprocedures voor wie de inhoud van belangrijke transactiedocumenten kan goedkeuren,
belangrijke transactiedocumenten in circulatie kan brengen of kan ondertekenen;
d) vertrouwelijkheid, integriteit, bewijs van verzending en ontvangst van belangrijke documenten en
de onweerlegbaarheid (bijvontracten in samenhang met inschrijvings- en contractprocedures);
e) de vertrouwelijkheid en integriteit van transacties (bijvrders, gegevens betreffende
afleveringsadressen en ontvangstbevestigingen);
f) eisen ten aanzien van hoelang een transactie vertrouwelijk moet blijven;
g) verzekerings- en andere contractuele eisen.
Toepassingen voor elektronisch bestellen en betalen
In aanvulling hierop behoort het volgende in aanmerking te worden genomen voor toepassingen waarbij er sprake is van elektronisch bestellen en betalen:
a) eisen om de vertrouwelijkheid en integriteit van orderinformatie in stand te houden;
b) de mate van verificatie die passend is voor controle van betalingsinformatie die door een klant is
verstrekt;
c) verlies of vermenigvuldiging van transactie-informatie vermijden;
d) transactiegegevens buiten een publiek toegankelijke omgeving opslaan (bijvp een opslagplatform op het intranet van de organisatie, in plaats van deze te bewaren en te tonen op direct vanuit internet toegankelijke elektronische opslagmedia);
e) als een vertrouwde instantie wordt gebruikt (bijvoor het uitgeven en onderhouden van digitale handtekeningen of digitale certificaten), beveiliging integreren en inbedden in het gehele beheerproces van certificaten of handtekeningen.
Een aantal van de bovengenoemde aspecten kan worden opgepakt door toepassing van cryptografie (zie 8.24), waarbij wettelijke eisen in aanmerking worden genomen (zie 5.31 t/m 5.36, zie in het bijzonder 5.31 voor wetgeving betreffende cryptografie).
Overige informatie
Toepassingen die toegankelijk zijn via netwerken, staan bloot aan een reeks netwerkgerelateerde dreigingen zoals frauduleuze activiteiten, geschillen over contracten of openbaarmaking van informatie; onvolledige verzending, foutieve routering, ongeautoriseerd(e) wijziging, vermenigvuldiging of afspelen van berichtenaarom zijn gedetailleerde risicobeoordelingen en zorgvuldige vaststelling van beheersmaatregelen onmisbaarereiste beheersmaatregelen behelzen vaak cryptografische methoden voor het authenticeren en beveiligen van gegevensoverdracht.
Verdere informatie over de beveiliging van toepassingen is te vinden in de ISO/IEC 27034-reeks.
8.27 Veilige systeemarchitectuur en technische uitgangspunten
+------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+ | Type | Informatie- | Cybersecurity- | Operationele | Beveiligings- | | | | | | | | beheersmaatregel | beveiligings- | concepten | capaciteiten | domeinen | | | | | | | | | eigenschappen | | | | +========================+====================================================+======================+================================================================+=====================+ | #Preventief | #Vertrouwelijkheid #Integriteit #Beschikbaarheid | #Beschermen | #Toepassingsbeveili- ging #Systeem-_en_net- werkbeveiliging | #Bescherming | +------------------------+----------------------------------------------------+----------------------+----------------------------------------------------------------+---------------------+
Beheersmaatregel
Uitgangspunten voor het ontwerpen van beveiligde systemen behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle activiteiten betreffende het ontwikkelen van informatiesystemen.
Doel
Waarborgen dat informatiesystemen veilig worden ontworpen, geïmplementeerd en beheerd binnen de ontwikkelingslevenscyclus.
Richtlijn
Er behoren uitgangspunten voor het ontwerpen van beveiligde systemen te worden vastgesteld, gedocumenteerd en toegepast voor ontwerpactiviteiten voor informatiesystemen. Bij alle architectuurlagen (bedrijf, gegevens, toepassingen en technologie) behoort beveiliging deel uit te maken van het ontwerp. Nieuwe technologie behoort te worden geanalyseerd op veiligheidsrisico's en het ontwerp behoort te worden beoordeeld aan de hand van bekende aanvalspatronen.
Uitgangspunten voor veilig ontwerpen bieden richtlijnen voor manipulatietechnieken, beheer van beveiligde sessies en gegevensvalidatie en opschoning.
Uitgangspunten voor het ontwerpen van beveiligde systemen behoren een analyse te omvatten van:
a) het volledige spectrum van beheersmaatregelen voor beveiliging dat vereist is om informatie en systemen tegen geïdentificeerde dreigingen te beschermen;
b) de capaciteit van beveiligingsbeheersmaatregelen om beveiligingsgebeurtenissen te voorkomen, te detecteren of erop te reageren;
c) specifieke beveiligingsbeheersmaatregelen die worden vereist door bepaalde bedrijfsprocessen (bijv. het versleutelen van gevoelige informatie, integriteitscontrole en digitale ondertekening van informatie);
d) waar en hoe beveiligingsbeheersmaatregelen behoren te worden toegepast (bijv.door ze te integreren met een beveiligingsarchitectuur en de technische infrastructuur);
e) hoe individuele beveiligingsbeheersmaatregelen (handmatige en geautomatiseerde) samenwerken om een geïntegreerde verzameling beheersmaatregelen tot stand te brengen.
In de uitgangspunten voor het ontwerpen van beveiligde systemen behoort rekening te worden gehouden met:
a) de noodzaak van integratie met een beveiligingsarchitectuur;
b) technische beveiligingsinfrastructuur [bijvoorbeeld openbaresleutelinfrastructuur (PKI), identiteits- en toegangsbeheer (IAM), voorkoming van het lekken van gegevens en dynamisch toegangsbeheer];
c) de capaciteit van de organisatie om de gekozen technologie te ontwikkelen en te ondersteunen;
d) de kosten, tijd en complexiteit van het voldoen aan de beveiligingseisen;
e) 'best practices'.
Het ontwerp van beveiligde systemen behoort gepaard te gaan met:
a) het gebruik van uitgangspunten voor beveiligingsarchitectuur zoals 'security by design' (beveiliging door ontwerp), 'defence in depth', 'security by default', 'default deny' (standaard weigeren), 'fail securely', 'distrust input from external applications' (input van externe toepassingen wantrouwen), 'security in deployment' (beveiliging tijdens implementatie), 'assume breach' (uitgaan van inbreuk), 'least privilege' (mininimaal benodigde rechten), 'usability and manageability' (bruikbaarheid en beheerbaarheid) en 'least functionality' (minimale benodigde functionaliteit);
b) een beveiligingsgerichte beoordeling van het ontwerp om kwetsbaarheden op het gebied van informatiebeveiliging te helpen detecteren, ervoor te zorgen dat beveiligingsbeheersmaatregelen zijn gespecificeerd en aan de beveiligingseisen te voldoen;
c) documentatie en formele erkenning van beveiligingsbeheersmaatregelen die niet volledig aan de eisen voldoen (bijvanwege dwingende veiligheidseisen);
d) hardening van systemen.
De organisatie behoort 'zero trust'-beginselen te overwegen zoals:
a) ervan uitgaan dat er al sprake is van een inbreuk op de informatiesystemen van de organisatie en er daarom niet alleen kan worden vertrouwd op beveiliging van de buitengrenzen van netwerken;
b) een benadering van 'nooit vertrouwen, altijd verifiëren' hanteren voor toegang tot informatiesystemen;
c) bewerkstelligen dat verzoeken aan informatiesystemen van begin tot eind versleuteld zijn;
d) elk verzoek aan een informatiesysteem controleren alsof dit afkomstig is van een open, extern netwerk, zelfs als deze verzoeken intern uit de organisatie afkomstig zijn (dziets binnen of buiten de buitengrenzen van de organisatie automatisch vertrouwen);
e) gebruikmaken van 'least privilege' (minste rechten) en dynamische toegangsbeveiligingstechnieken (zie 5.15, 5.18 en 8.2); het omvat het authenticeren en autoriseren van verzoeken om informatie of aan systemen op basis van contextuele informatie zoals authenticatie-informatie (zie 5.17), gebruikersidentiteiten (zie 5.16), gegevens over het 'endpoint device' van de gebruiker, en gegevensclassificatie (zie 5.12);
f) personen die verzoeken indienen altijd authenticeren en autorisatieverzoeken aan informatiesystemen altijd valideren op basis van informatie, waaronder authenticatie-informatie (zie 5.17) en gebruikersidentiteiten (zie 5.16), gegevens over het 'endpoint device' van de gebruiker, en gegevensclassificatie (zie 5.12), bijvoorbeeld krachtige authenticatie (bijv. multifactor, zie 8.5) afdwingen.
De vastgestelde uitgangspunten voor het ontwerpen van beveiligde systemen en systeemarchitecturen behoren indien van toepassing te worden toegepast op de uitbestede ontwikkeling van informatiesystemen via de contracten en andere bindende overeenkomsten tussen de organisatie en de leverancier aan wie de organisatie uitbesteedte organisatie behoort ervoor te zorgen dat de praktijken van leveranciers voor het ontwerpen van beveiligde systemen aansluiten op de behoeften van de organisatie.
De uitgangspunten voor het ontwerpen van beveiligde systemen en de vastgestelde ontwerpprocedures behoren regelmatig te worden beoordeeld om te waarborgen dat ze doelmatig bijdragen aan verbeterde normen voor beveiliging binnen het ontwerpprocese behoren ook regelmatig te worden beoordeeld om ervoor te zorgen dat ze actueel blijven in de zin dat ze nieuwe potentiële dreigingen afwenden en toepasbaar blijven bij verbeteringen die worden toegepast in de technologieën en oplossingen.
Overige informatie
Uitgangspunten voor het ontwerpen van beveiligde systemen kunnen worden toegepast op het ontwerp of de configuratie van allerlei technieken, zoals:
--- storingstolerantie en andere technieken met het oog op veerkracht;
--- segmentatie (bijvoor virtualisatie of containerisatie); --- bestendigheid tegen manipulatie.
Er kunnen technieken voor beveiligde virtualisatie worden gebruikt om interferentie te voorkomen tussen toepassingen die op hetzelfde fysieke apparaat draaienls een virtuele instantie van een toepassing door een aanvaller wordt gecompromitteerd, wordt alleen die instantie getroffene aanval heeft geen effect op andere toepassingen of gegevens.
Technieken voor weerstand tegen manipulatie kunnen worden gebruikt om manipulatie van informatiecontainers te detecteren, hetzij fysiek (bijven inbraakalarm), hetzij logisch (bijven gegevensbestand)en kenmerk van dergelijke technieken is dat de poging om de container te manipuleren, wordt geregistreerdovendien kan de beheersmaatregel voorkomen dat gegevens met succes worden geëxtraheerd door ze te vernietigen (het geheugen van het apparaat kan bijvoorbeeld worden gewist).