2.8 Maatregelen gecontroleerd wijzigen
- Mens
| Mens | WN | WN | WN | WN | Aanwezig | Gebruikt | Gestuurd | |
|---|---|---|---|---|---|---|---|---|
| No. | Vereiste | 1 | 2 | 3 | 4 | |||
| WM1 | Voor bewustwording, gedragsregels en training van bedienaars, beheerders en overig ondersteunend personeel wordt verwezen naar paragraaf 2.7 de maatregelenset “bewustwording en training” van de Cybersecurity Implementatierichtlijn Objecten | X | X | X | X |
- Procedures en Organisatie
| Procedures en Organisatie | WN | WN | WN | WN | Aanwezig | Gebruikt | Gestuurd | |
|---|---|---|---|---|---|---|---|---|
| No. | Vereiste | 1 | 2 | 3 | 4 | |||
| WP1 | Er is een geborgde procedure voor het (laten) inventariseren en registreren van alle Configuration Items (CI’s) met bijbehorende settings/configuraties in een Configuration Management Database (CMDB). Deze CMDB dient actueel te worden gehouden | X | X | X | X | |||
| WP2 | Er is een geborgde wijzigingsprocedure voor het doorvoeren van wijzigingen aan ICS/SCADA, ondersteunende ICT-systemen, beveiligings- en netwerkomgeving. Alle wijzigingen worden conform de wijzigingsprocedure geregistreerd. Updates en patches dienen via de reguliere wijzigingsprocedure te verlopen | X | X | X | X | |||
| WP3 | Wijzigingen mogen alleen worden aangevraagd en uitgevoerd door geautoriseerden | X | X | X | X | |||
| WP4 | Voor wijzigingen aan ICS/SCADA en overige ondersteunende ICT-systemen dient altijd een risicoafweging te worden gemaakt. De risicoafweging en de hieruit voortvloeiende maatregelen moeten zijn goedgekeurd door de Objectverantwoordelijke voordat uitvoering van werkzaamheden plaatsvindt | X | X | |||||
| WP5 | De wijzigingen worden bijgewerkt in de CMDB en jaarlijks worden de settings/configuraties van ICS/SCADA en overige ondersteunende ICT-systemen in de CMDB vergeleken met de daadwerkelijke situatie. Afwijkingen in de CMDB worden gecorrigeerd | X | X | X | X | |||
| WP6 | Wijzigingen in ICS/SCADA en overige ondersteunende ICT-systemen moeten vooraf aan de implementatie in productie worden getest in een testomgeving (inclusief verslaglegging) om te bewerkstelligen dat er geen nadelige gevolgen zijn voor de functionaliteit van het systeem of de beveiliging van de organisatie. Afwijken hiervan is uitsluitend mogelijk indien hiervoor toestemming is gegeven en schriftelijk is vastgelegd. Testen in de productieomgeving mag uitsluitend na voorafgaande goedkeuring en vastlegging hiervan. Alle testgegevens dienen zorgvuldig te worden gecontroleerd en beschermd | X | X | |||||
| WP7 | Gegevensdragers en updates van software en firmware van technische systemen dienen eerst gescand te worden op malware voordat zij aan ICT- of IA-systemen worden gekoppeld en/of geïnstalleerd | X | X | X | X | |||
| WP8 | De authenticiteit/integriteit van de software voor ICS/SCADA en overige ondersteunende ICT-systemen moet worden gecontroleerd voorafgaand aan de implementatie op operationele systemen | X | X | |||||
| WP9 | Bij noodwijzigingen die buiten het reguliere wijzigingsproces om zijn doorgevoerd als gevolg van incidenten met een bijzonder (urgent) karakter worden achteraf alsnog de gebruikelijke procedures gevolgd en de CMDB-administratie bijgewerkt | X | X | X | X | |||
| WP10 | Voor elke wijziging is een terugvalscenario opgesteld waarin is vastgelegd waaruit de terugval bestaat, onder welke condities tot een terugval wordt overgegaan en wie daartoe kan besluiten. Direct na de implementatie van een wijziging dient een test plaats te vinden om te verifiëren dat de wijziging is gelukt of dat op het terugvalscenario moet worden overgegaan | X | X | |||||
| WP11 | Naar aanleiding van een wijziging uitgeschakelde beveiligingsmaatregelen worden weer geactiveerd alvorens de wijziging te sluiten | X | X | X | X | |||
| WP12 | Er wordt gebruik gemaakt van testvoorzieningen, om de door te voeren wijzigingen en/of security patches vooraf te testen | X | X | X | X |
- Techniek
| Techniek | WN | WN | WN | WN | Aanwezig | Gebruikt | Gestuurd | |
|---|---|---|---|---|---|---|---|---|
| No. | Vereiste | 1 | 2 | 3 | 4 | |||
| WT1 | Ontwikkel-, test-, acceptatie, productie en Leeromgeving (OTAPL) behoren te worden gescheiden om het risico van onbevoegde toegang tot of veranderingen aan de productieomgeving te verlagen door minimaal de volgende maatregelen: a. Functionele scheiding van de ontwikkel, test, acceptatie, productie en leeromgeving; b. De omgevingen zijn qua systemen en netwerk logisch of fysiek van elkaar gescheiden; c. Gebruikers dienen voor elke omgeving met andere gebruikersprofielen te kunnen werken; d. Voor de gebruikers is het helder in welke omgeving er wordt gewerkt; e. Elke omgeving dient conform de logrichtlijnen handelingen in logfiles vast te leggen die alleen toegankelijk is voor geautoriseerden; f. Er is een geborgd proces voor versiebeheer van de OTAPL | X | X | X | X | |||
| WT2 | Indien leverbaar dient het ICS/SCADA-systeem en bijbehorende ICT-systemen de mogelijkheid te ondersteunen om de geïnstalleerde componenten en hun kenmerken te kunnen rapporteren | X | X | X | X |