Waarom deze maatregelen zijn toegevoegd
De nieuwe maatregelen sluiten aan op hoe organisaties nu werken: in de cloud, met veel externe software en met dreigingen die snel veranderen. Ze zijn niet automatisch verplicht. U beoordeelt per maatregel of hij nodig is op basis van uw risico’s. In de praktijk zijn de meeste voor vrijwel elke organisatie relevant.
Organisatorisch: dreigingen, cloud en continuïteit
Bij 5.7 Threat intelligence verzamelt en beoordeelt u informatie over dreigingen die voor uw organisatie relevant zijn. Voor een kleinere organisatie kan dat bestaan uit het volgen van NCSC-adviezen en meldingen van leveranciers, met een vaste afspraak wie ze beoordeelt.
Maatregel 5.23 gaat over informatiebeveiliging bij het gebruik van clouddiensten. U legt vast hoe u clouddiensten selecteert, gebruikt, beheert en beëindigt. Maatregel 5.30 vraagt dat de ICT-voorzieningen gereed zijn voor bedrijfscontinuïteit: herstelvereisten zijn bepaald en worden getest.
Fysiek: bewaking van locaties
Maatregel 7.4 vraagt om bewaking van gebouwen en ruimtes op ongeautoriseerde fysieke toegang. Denk aan alarmsystemen, camerabewaking of toegangsregistratie. De omvang hangt af van wat er op de locatie aanwezig is. Een kantoor zonder eigen serverruimte vraagt minder dan een locatie met kritieke apparatuur.
Technologisch: configuratie, data en code
Zeven nieuwe maatregelen zijn technologisch. Ze sluiten direct aan op de inrichting van werkplekken, Microsoft 365 en eigen applicaties.
- 8.9 Configuratiebeheer: vastgestelde, veilige configuraties voor systemen en controle op afwijkingen.
- 8.10 Verwijderen van informatie: gegevens verwijderen wanneer ze niet meer nodig zijn.
- 8.11 Maskeren van gegevens: persoonsgegevens en gevoelige data afschermen, bijvoorbeeld in testomgevingen.
- 8.12 Voorkomen van datalekken: maatregelen die ongewenst delen van gevoelige informatie signaleren of blokkeren.
- 8.16 Monitoren van activiteiten: afwijkend gedrag in netwerken en systemen opmerken en opvolgen.
- 8.23 Webfiltering: toegang tot schadelijke of ongewenste websites beperken.
- 8.28 Veilig programmeren: principes voor veilige softwareontwikkeling toepassen.
Hoe toont u aan dat ze werken?
Bij de nieuwe maatregelen vraagt een auditor vaak door, omdat ze bij veel organisaties recent zijn ingericht. Zorg voor concreet bewijs. Een vastgelegde baseline voor laptops en een rapport van afwijkingen, een DLP-beleid met de meldingen van de afgelopen maand, of een verslag van een hersteltest van een kritieke applicatie. Een beleidstekst alleen is zelden voldoende.