Beleid kwetsbaarheden en patchmanagement

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Regelt hoe de organisatie technische kwetsbaarheden vindt, beoordeelt en binnen vaste termijnen verhelpt. Behandelt bescherming tegen malware, basisconfiguraties en hardening, scannen en penetratietesten, patchtermijnen per risico en het kwetsbaarhedenregister met een maandrapportage aan de directie.

Onderwerpen. 3. Bescherming tegen malware; 4. Configuratiebeheer en hardening; 5. Kwetsbaarheden vinden; 6. Beoordelen en verhelpen; 7. Registreren en rapporteren.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor het vinden, beoordelen en verhelpen van technische kwetsbaarheden, voor het beheren van de configuratie van systemen en voor de bescherming tegen malware. Het legt vast wie scant, wie beoordeelt, binnen welke termijn een kwetsbaarheid verholpen is en waaruit dat blijkt, zodat bekende zwakke plekken niet de ingang worden voor een aanval. Het gaat over de ISO-beheersmaatregelen 8.7, 8.8 en 8.9.

Voor wie. Het beleid is primair bedoeld voor de beheerorganisatie, de systeemeigenaren en de CISO. De gedragsregels over downloaden en installeren gelden voor iedereen die met een apparaat of account van de organisatie werkt: medewerkers, inhuur, stagiairs en leveranciers.

Waarop. Alle ICT-middelen waarmee de organisatie informatie verwerkt: werkplekken, mobiele apparaten, servers, netwerkcomponenten, databases, applicaties, koppelingen en clouddiensten. Is het beheer van die middelen of een dienst uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor de leverancier. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen het melden en afhandelen van incidenten en de procedure voor meldingen van buiten (CVD), beide in het beleid beveiligingsincidenten, het doorvoeren van een patch als wijziging (beleid wijzigingsbeheer), het veilig bouwen van eigen software (beleid veilige softwareontwikkeling) en de inrichting van het netwerk (beleid netwerkbeveiliging).

2. Uitgangspunten#

1. Wat de organisatie niet kent, kan zij niet patchen. Het overzicht van ICT-middelen uit het beleid bedrijfsmiddelenbeheer is de basis voor scannen, patchen en configuratiebeheer. #
2. De termijn voor het verhelpen van een kwetsbaarheid volgt uit de kans op misbruik en de verwachte schade, met het impactniveau van het systeem als maat voor die schade. #
3. Een systeem draait alleen wat het nodig heeft. Wat overbodig is, gaat uit of eraf, en de gewenste configuratie is vastgelegd, zodat een afwijking meetbaar is. #
4. Kan een kwetsbaarheid niet op tijd worden verholpen, dan is er een vastgelegde risicoafweging met tijdelijke maatregelen, een einddatum en een eigenaar. #
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Bescherming tegen malware#

1. [beheerorganisatie] zorgt dat op alle werkplekken, servers en mailvoorzieningen antimalware-software draait die zichzelf en de bijbehorende herstelsoftware automatisch bijwerkt. Een apparaat dat langer dan zeven dagen geen update heeft ontvangen, verschijnt als afwijking in het beheeroverzicht en is binnen een week hersteld of van het netwerk gehaald. [8.07.03] #
2. De antimalware-software scant alle omgevingen (werkplekken, servers, mailverkeer en apparaten die verbinding maken met het netwerk), alle downloads vóór ze worden geopend of opgeslagen en alle bestanden die via mail, een koppeling of een opslagmedium binnenkomen, vóór gebruik. De scanlogging is voor de beheerorganisatie en de CISO in te zien. [8.07.04] #
3. Downloaden is beperkt op basis van risico en noodzaak. Uitvoerbare bestanden en scripts van internet houdt de werkplekbeveiliging standaard tegen; een uitzondering vraagt de gebruiker aan bij de servicedesk en de beheerorganisatie legt de toekenning vast. [8.07.01] #
4. Medewerkers krijgen bij indiensttreding en daarna elk jaar voorlichting over veilig surfen, phishing en het klikken op onbekende links. Een phishing-simulatie maakt deel uit van het jaarprogramma bewustwording; de deelname en de uitkomst staan in het verslag van dat programma. [8.07.02] #

4. Configuratiebeheer en hardening#

1. Voor elk type systeem (werkplek, server, netwerkcomponent, database, clouddienst) stelt de beheerorganisatie een basisconfiguratie vast, gebaseerd op een erkende baseline zoals de CIS Benchmarks of de richtlijnen van de leverancier. Overbodige diensten, poorten, software en accounts staan uit of zijn verwijderd en standaardwachtwoorden zijn vóór ingebruikname vervangen. De basisconfiguraties zijn vastgelegd en worden jaarlijks herzien. [8.09.01] #
2. De beheerorganisatie legt van elk systeem de werkelijke configuratie vast in [configuratieregister], met de verwijzing naar de basisconfiguratie en de goedgekeurde afwijkingen. Een wijziging van de configuratie loopt via het beleid wijzigingsbeheer. [8.09.01] #
3. De beheerorganisatie meet elk kwartaal geautomatiseerd de afwijkingen van de basisconfiguratie. Een afwijking is binnen een maand hersteld of staat als uitzondering vastgelegd met een risicoafweging en een einddatum. [8.09.01] #
4. Alleen beheerders installeren software of activeren functies. Gebruikers hebben op hun werkplek geen beheerrechten; de technische handhaving daarvan staat in het beleid wijzigingsbeheer. [8.09.01, 8.07.01] #

5. Kwetsbaarheden vinden#

1. De beheerorganisatie scant alle ICT-middelen ten minste maandelijks op kwetsbaarheden en misconfiguraties, en opnieuw na een grote wijziging. Waar mogelijk gebruikt zij agents op de eindpunten, zodat ook apparaten buiten kantoor meetellen. De scanresultaten staan in het kwetsbaarhedenregister (hoofdstuk 7). [8.08.01, 8.08.02] #
2. De CISO volgt de waarschuwingen van het NCSC en de sectorale CERT. Een waarschuwing die een gebruikt product raakt, zet de CISO binnen één werkdag door aan de systeemeigenaar en de beheerorganisatie, met een registratie van de doorzetting en de reactie. [8.08.01] #
3. De CISO stelt jaarlijks een testprogramma vast waarin elk informatiesysteem wordt gecontroleerd op technische naleving van de beveiligingseisen, met een kwetsbaarheidsanalyse, een penetratietest of een red-teamtest. Welke vorm per systeem, bepaalt de CISO op basis van het impactniveau. [8.08.04] #
4. Systemen die vanaf internet bereikbaar zijn, worden continu op kwetsbaarheden gescand, bijvoorbeeld met een geautomatiseerde externe scan, en ten minste jaarlijks met een penetratietest getest. [8.08.04, 8.08.05] #
5. Bij elke nieuwe release of grote update van een internetbereikbaar systeem volgt een penetratietest, waar mogelijk geautomatiseerd. Een bevinding met hoog risico die niet op een andere manier kan worden beperkt, houdt de release tegen: het systeem gaat dan niet in productie. Het testrapport hoort bij de wijziging in het wijzigingsregister. [8.08.05] #
6. Penetratietesten voert een partij uit die onafhankelijk is van de bouwer en de beheerder van het systeem, met een vooraf afgesproken methode en reikwijdte. De CISO bewaart de rapporten en de opvolging in [register testrapporten]. [8.08.04, 8.08.05] #

Alleen als: Bouwt je organisatie zelf software, apps of koppelingen? «Ja»

7. Voor software die de organisatie zelf bouwt, scant de bouwstraat de broncode en de gebruikte bibliotheken bij elke build automatisch op bekende kwetsbaarheden. Een kritieke bevinding in een bibliotheek stopt de build. Elke applicatie heeft een actuele lijst van gebruikte componenten (SBOM), zodat een nieuwe kwetsbaarheid in een bibliotheek direct te vinden is. [8.08.05, 8.08.01] #
8. De penetratietest bij een release van een zelfgebouwde internetbereikbare applicatie staat in de releaseprocedure als poort; de ontwikkelaar levert het testrapport aan bij de wijzigingsaanvraag. [8.08.05] #

Alleen als: Bouwt je organisatie zelf software, apps of koppelingen? «Nee, alleen inkoop en configuratie»

9. De organisatie bouwt zelf geen software. Bij inkoop en contractverlenging eist zij van de leverancier een penetratietest bij elke grote release van een internetbereikbaar systeem, inzage in het rapport en het verhelpen van hoge bevindingen vóór de release in productie gaat. De contracteigenaar controleert dat bij elke release. [8.08.05] #

6. Beoordelen en verhelpen#

1. Elke gevonden kwetsbaarheid krijgt van de systeemeigenaar, op advies van de beheerorganisatie, een risico-inschatting op basis van kans op misbruik en verwachte schade. Daarin wegen de ernstscore van de leverancier of het CVE-register, het impactniveau van het systeem en de bereikbaarheid vanaf internet mee. Op basis van die vastgelegde afweging kiest de systeemeigenaar de maatregel: patchen, de configuratie aanpassen, de functie uitzetten of het systeem afschermen. [8.08.02] #
2. De beheerorganisatie verhelpt een kwetsbaarheid binnen de termijn die bij het risico hoort, gerekend vanaf het moment dat de kwetsbaarheid bekend is: [8.08.01, 8.08.02] #

3. Bij hoge kans en hoge schade zijn de beperkende maatregelen uiterlijk binnen een week getroffen. Bij actief misbruik in het wild handelt de beheerorganisatie dezelfde dag en meldt zij de stand aan de CISO. [8.08.01] #
4. Kan de patch niet binnen de termijn, of is er nog geen patch, dan treft de systeemeigenaar direct tijdelijke maatregelen op basis van een vastgelegde risicoafweging, bijvoorbeeld de functie uitzetten, de toegang beperken of extra bewaking. De afweging noemt het restrisico, de einddatum en wie het restrisico accepteert, en staat in het kwetsbaarhedenregister. [8.08.03] #
5. Software waarvoor de leverancier geen beveiligingsupdates meer levert, vervangt de systeemeigenaar binnen [termijn uitfaseren]. Zolang dat niet is gebeurd, staat het systeem afgeschermd en als risico in het risicoregister, met een risico-eigenaar. [8.08.03] #
6. Na het verhelpen stelt de beheerorganisatie met een herhaalscan vast dat de kwetsbaarheid weg is. Pas dan sluit zij de melding in het kwetsbaarhedenregister. [8.08.01] #

Alleen als: Wie beheert je IT? «Eigen beheer»

7. De eigen beheerorganisatie installeert beveiligingsupdates voor werkplekken, servers en netwerkcomponenten volgens een vast maandelijks venster, met een spoedprocedure voor de weektermijn. Patchen loopt als standaardwijziging via het beleid wijzigingsbeheer; een spoedpatch mag achteraf worden geregistreerd. [8.08.01] #

Alleen als: Wie beheert je IT? «Regie: eigen organisatie stuurt, beheer is uitbesteed» of «Volledig uitbesteed»

8. Het beheer is uitbesteed. Het contract met de beheerpartij bevat de termijnen uit de tabel hierboven, de plicht om binnen één werkdag te melden welke systemen een kritieke waarschuwing raakt, en een maandelijkse rapportage over openstaande kwetsbaarheden en de patchstand. [8.08.01] #
9. De organisatie ontvangt de scanresultaten zelf of laat de scan doen door een andere partij dan de beheerder, zodat zij de rapportage van de beheerpartij kan controleren. De contracteigenaar legt de vergelijking elk kwartaal vast. [8.08.02, 8.08.04] #

Alleen als: Wie beheert je IT? «Volledig uitbesteed»

10. Omdat er geen eigen beheerorganisatie is, wijst de organisatie een contractmanager aan die de patchrapportage elke maand bespreekt met de leverancier, het verslag vastlegt en afwijkingen aan de CISO meldt. [8.08.01] #

7. Registreren en rapporteren#

1. Alle open kwetsbaarheden met risico gemiddeld of hoger staan in [kwetsbaarhedenregister], met systeem, risico, eigenaar, termijn en status. Termijnoverschrijdingen zijn zichtbaar en de beheerorganisatie houdt het register dagelijks bij. [8.08.01, 8.08.02] #
2. De CISO rapporteert maandelijks aan de directie het aantal open kwetsbaarheden per risiconiveau, de termijnoverschrijdingen, de geaccepteerde restrisico's en de patchstand. [8.08.01, 8.08.03] #

Alleen als: Welke eigen security-capaciteit heb je? «Geen eigen ISO; informatiebeveiliging is een neventaak»

3. Er is geen eigen informatiebeveiligingsfunctionaris met voldoende tijd. De scans en de risico-inschatting voert een externe partij uit; [functionaris informatiebeveiliging] bespreekt de maandrapportage met die partij, legt de besluiten vast en zet open punten uit bij de systeemeigenaren. [8.08.02] #

Alleen als: Welke eigen security-capaciteit heb je? «Een ISO of CISO in deeltijd» of «Een eigen team (CISO met ISO's)»

4. De informatiebeveiligingsfunctionaris beoordeelt elke maand de scanresultaten, filtert valse meldingen, legt dat vast en zet open punten uit bij de systeemeigenaren. [8.08.02] #

8. Rollen en verantwoordelijkheden#

9. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De systeemeigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

10. Samenhang#

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid bedrijfsmiddelenbeheer (het overzicht van ICT-middelen), het beleid wijzigingsbeheer (patches en configuratiewijzigingen als wijziging, lijst van toegestane software), het beleid veilige softwareontwikkeling (scannen van eigen code en bibliotheken), het beleid beveiligingsincidenten (CVD en misbruik van een kwetsbaarheid), het beleid informatieclassificatie (impactniveau als maat voor de schade), het beleid informatiebeveiliging bij inkoop en contractbeheer (termijnen en rapportages in contracten) en het beleid screening, bewustzijn en opleiding (voorlichting en phishing-simulatie).

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (10, waarvan 9 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• beheerorganisatie: de eigen afdeling of de leverancier die de systemen beheert
• configuratieregister: het systeem waarin de configuraties staan, bijvoorbeeld de configuratiedatabase van het beheertool
• register testrapporten: de plek waar pentestrapporten en opvolging staan, bijvoorbeeld het managementsysteem
• patchtermijn hoog en hoog: standaard een week, de BIO 2.0 noemt een week als grens voor tijdelijke maatregelen
• patchtermijn hoog: standaard een maand
• patchtermijn gemiddeld: standaard drie maanden
• termijn uitfaseren
• kwetsbaarhedenregister: het systeem waarin open kwetsbaarheden staan, bijvoorbeeld de scantool of het ticketsysteem
• functionaris informatiebeveiliging
• lijneigenaar kwetsbaarhedenbeheer: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd ICT
• registratie van controles
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur