Scope van de opdracht
Uitvoering van de opdracht
Voor deze opdracht is een koppeling gerealiseerd tussen het Information Security Management System en de kwetsbaarheidsinformatie van het Nationaal Cyber Security Centrum. Via deze koppeling werden nieuwe meldingen en kwetsbaarheden automatisch verwerkt binnen de applicatie en zichtbaar gemaakt op het ISMS-dashboard. Hierdoor ontstond een actueel overzicht van beveiligingsrisico’s die van invloed kunnen zijn op de organisatie.
De binnenkomende kwetsbaarheden werden geregistreerd op basis van de beschikbare CVE-informatie en vervolgens beoordeeld op toepasbaarheid binnen de eigen omgeving. Hierbij werd onderzocht of de betreffende hardware, software of dienst daadwerkelijk aanwezig was binnen de organisatie en of aanvullende maatregelen noodzakelijk waren. Op basis van deze beoordeling werden mitigerende maatregelen voorgesteld en gekoppeld aan de verantwoordelijke functionarissen.
Naast de integratie met externe kwetsbaarheidsinformatie is aandacht besteed aan het beheren van de opvolging. Hierbij werd inzichtelijk gemaakt welke kwetsbaarheden nog open stonden, welke reeds waren afgehandeld en welke maatregelen reeds waren geïmplementeerd. Door deze informatie te integreren binnen het ISMS ontstond een centraal overzicht waarin risico’s, kwetsbaarheden en beheersmaatregelen gezamenlijk konden worden beheerd.
Om het aantal meldingen beheersbaar te houden is daarnaast gewerkt aan mechanismen om kwetsbaarheden vooraf te beoordelen op relevantie. Hierdoor konden meldingen die geen betrekking hadden op de technologieën binnen de organisatie sneller worden gefilterd en konden medewerkers zich richten op de kwetsbaarheden die daadwerkelijk aandacht vereisten.
Lessons Learned
Tijdens de uitvoering van deze opdracht bleek de technische integratie van externe kwetsbaarheidsinformatie een uitdagend onderdeel van het project. Het verwerken van grote hoeveelheden gegevens uit externe bronnen vereiste een zorgvuldige inrichting van de gegevensverwerking en de koppeling met het bestaande ISMS. Juist deze automatisering leverde uiteindelijk veel tijdswinst op en zorgde ervoor dat actuele informatie direct beschikbaar kwam voor de organisatie.
Daarnaast werd duidelijk dat niet iedere gemelde kwetsbaarheid automatisch relevant is voor de eigen omgeving. Dagelijks verschijnen grote aantallen nieuwe meldingen, waarvan slechts een beperkt deel daadwerkelijk betrekking heeft op aanwezige systemen en applicaties. Zonder aanvullende filtering ontstaat al snel een grote hoeveelheid informatie die de aandacht afleidt van de meest urgente risico’s.
Een belangrijke les was daarom het ontwikkelen van een systeem waarmee kwetsbaarheden vooraf kunnen worden beoordeeld op relevantie. Door automatisch te kijken naar gebruikte technologieën, leveranciers en aanwezige systemen kon de hoeveelheid handmatige beoordeling aanzienlijk worden verminderd. Hierdoor ontstond meer ruimte om aandacht te besteden aan de kwetsbaarheden die daadwerkelijk impact kunnen hebben op de organisatie.
Tot slot bleek dat kwetsbaarheden veel beter beheersbaar worden wanneer zij onderdeel zijn van een breder proces voor risicobeheer. Door meldingen direct te koppelen aan risico’s, maatregelen, verantwoordelijke eigenaren en werkprocessen ontstaat niet alleen meer overzicht, maar kan ook sneller worden gestuurd op prioriteiten en opvolging. Hiermee wordt kwetsbaarheidsmanagement een integraal onderdeel van de continue verbetering van informatiebeveiliging binnen de organisatie.
Of het nu gaat om informatiebeveiliging, teamontwikkeling, projectleiding of technologie: ik geloof dat de beste oplossingen ontstaan door samen het gesprek aan te gaan. Ik maak graag tijd vrij voor een kennismaking.