Categorie A: Veilige configuratie van technische apparatuur

1. Het minimaliseren en afschermen van de functionaliteit van technische systemen conform erkende practices en richtlijnen.

a. Functies en software applicaties die niet

noodzakelijk zijn voor de correcte werking van een systeem of netwerkelement worden verwijderd of gedeactiveerd.

b. Het gebruik van netwerkpoorten, -protocollen en -diensten is slechts toegestaan als daaraan een gevalideerde bedrijfstoepassing ten grondslag ligt.

c. Besturingssystemen, software omgevingen en

netwerkapparaten worden, voor zover beschikbaar, geconfigureerd conform CIS benchmarks.

2. Het verifiëren en uitrollen van kritieke security patches voor software die wordt toegepast in de technische infrastructuur.

a. Door leveranciers ter beschikking gestelde kritieke security patches worden structureel op instanties van de betreffende software uitgerold.

b. Een kritieke security patch wordt slechts dan geïnstalleerd als de integriteit en de bron waarvan deze afkomstig is met succes zijn geverifieerd.

c. Bij het verifiëren en uitrollen van kritieke security patches wordt een zo kort mogelijke doorlooptijd gerealiseerd.

d. Indien de in onderdeel c bedoelde doorlooptijd niet haalbaar is, worden tijdelijk compenserende mitigaties getroffen om de risico’s zoveel mogelijk te beperken.

3. Het actief en geautomatiseerd beschermen van beheerwerkstations die voor beheerdoeleinden worden ingezet tegen malware.

a. Op beheerwerkstations zijn mechanismen actief die kwaadaardige malware geautomatiseerd detecteren en deactiveren.

b. De onder a bedoelde mechanismen worden geautomatiseerd actueel gehouden.

4. Het door middel van een gestructureerd proces reguleren en tot een minimum beperken van toegang voor beheerdoeleinden van apparatuur en software van de netwerkaanbieder.

a. Voor toegang om beheerwerkzaamheden te verrichten wordt uitsluitend gebruik gemaakt van persoonsgebonden accounts die specifiek voor dat doel zijn uitgegeven.

b. Toegangsrechten van beheerpersoneel worden beperkt tot functies en gegevens die de desbetreffende medewerker aantoonbaar nodig heeft ter vervulling van de rol of taak.

c. Alle accounts en toegangsrechten die voor beheerdoeleinden zijn uitgegeven, worden periodiek op juistheid en noodzaak geëvalueerd en geactualiseerd.

d. Alle beheertoegang vereist Multi Factor Authenticatie. De beheertoegang is herleidbaar naar individuele medewerkers.

5. Het onderhouden van een actuele inventaris van technische assets en het actief toezien op het voorkomen van toelating van ongeautoriseerde hardware en software in de technische infrastructuur.

a. Er is een actuele inventaris van hardware en software assets die geautoriseerd in bedrijf zijn in de technische infrastructuur van de netwerkaanbieder.

b. In de inventaris van hardware en software assets zijn zowel de functionele beschrijvingen als de eigenaren van alle technische assets geregistreerd.

c. De netwerkaanbieder ziet er actief op toe dat zich in de technische infrastructuur geen ongeautoriseerde apparatuur bevindt.

d. De netwerkaanbieder ziet er actief op toe dat in de technische infrastructuur geen ongeautoriseerde software applicaties actief zijn.

Categorie B: Veilige configuratie van netwerken

1. Het structureel opdelen van de technische netwerkinfrastructuur in fysiek of logisch afgescheiden zones waarvan de buitengrenzen actief worden beschermd.

a. De technische infrastructuur is aan de hand van door de netwerkaanbieder vastgestelde criteria, classificaties of vertrouwensniveaus in fysiek of logisch afgescheiden segmenten opgedeeld.

b. De netwerkaanbieder onderhoudt een actueel overzicht van alle technische koppelingen met betrekking tot netwerksegmenten onderling en met betrekking tot externe technische netwerken.

c. De netwerkaanbieder hanteert een eenduidig beleid ten aanzien van verkeersstromen die op de grens met externe technische infrastructuren zijn toegestaan.

d. Het onder c bedoelde beleid en de uitvoering ervan worden periodiek op juistheid en volledigheid geëvalueerd en geactualiseerd.

2. Het uitsluitend verlenen van toegang tot apparatuur en software van de netwerkaanbieder aan derde partijen die uitbestede beheertaken verrichten via een afgeschermde virtual desktop omgeving.

a. Alle beheertoegang door personeel van derde partijen verloopt via een specifiek voor dat doel ingerichte virtual desktop omgeving.

b. Toegang tot de virtual desktop omgeving wordt uitsluitend verleend vanaf werkstations die conform security richtlijnen van de netwerkaanbieder zijn geconfigureerd en die configuratie voorafgaand technisch is geverifieerd.

c. Toegang tot de virtual desktop omgeving vereist Multi Factor Authenticatie (MFA), niet zijnde het gebruik van SMS, waarbij de authenticatiemiddelen aan individuele medewerkers van de derde partij worden uitgereikt.

d. De virtual desktop omgeving beperkt de toegang tot systemen en netwerkelementen waarop de derde partij beheerwerkzaamheden moet verrichten.

3. Het gericht beschermen met cryptografische technieken van netwerkverbindingen die voor beheerdoeleinden worden ingezet.

a. Op netwerkverbindingen waarover beheertaken worden verricht, wordt zowel de vertrouwelijkheid als de integriteit van de gegevensuitwisseling cryptografisch beschermd met een beveiligingssterkte van minimaal 112 bits.

b. De cryptografische sleutels die voor de versleuteling worden ingezet, worden per sessie, per vastgestelde tijdeenheid of per vastgesteld aantal datablokken vernieuwd.

c. Bij gebruik van (3)TDES worden maximaal 2^20 datablokken met dezelfde cryptografische sleutels vercijferd.

d. Gebruik van (3)TDES wordt uiterlijk 31 december 2023 uitgefaseerd.

4. Het uitsluitend verrichten van bedrijfsinterne beheertaken vanaf afgescheiden beheerwerkstations met geminimaliseerde communicatievoorzieningen.

a. Bedrijfsinterne beheerwerkstations van waaraf beheerwerkzaamheden worden verricht, worden gescheiden van reguliere werkplekken.

b. De netwerkaanbieder ziet er op toe dat bedrijfsinterne beheerwerkstations geen toegang hebben tot openbare communicatienetwerken en – diensten.

5. Het cryptografisch beschermen van te beschermen kritieke gegevens bij transport door technische infrastructuren.

a. Te beschermen kritieke gegevens worden bij transport met minimaal 112 bits sterkte versleuteld.

b. De cryptografische sleutels die voor de versleuteling, bedoeld in onderdeel a, worden ingezet, worden

per sessie, per vastgestelde tijdeenheid of per

vastgesteld aantal datablokken vernieuwd.

c. Gebruik van (3) TDES wordt uiterlijk 31 december 2023 uitgefaseerd en tot die tijd wordt bij dit gebruik verzekerd dat maximaal 2^20 datablokken met dezelfde sleutel worden vercijferd.

d. Met uitzondering van signaleringsverkeer ziet de netwerkaanbieder erop toe dat de versleuteling, bedoeld in onderdeel a, in alle gevallen end-to-end is.

Categorie C: Bewaking van technische infrastructuur

1. Het onderhouden van voorzieningen voor near real-time detectie van mogelijke beveiligingsincidenten die een passende risico-gedreven doorsnede van de technische infrastructuur bestrijken en de netwerkaanbieder aantoonbaar in staat stellen om de aanwezigheid van geavanceerde dreigingsactoren waar te nemen.

a. De technische infrastructuur van de netwerkaanbieder wordt actief bewaakt met security monitoring oplossingen die geautomatiseerd en in real-time melding maken van mogelijke security incidenten.

b. Alarmen en waarnemingen afkomstig uit de security monitoring, bedoeld in onderdeel a, worden tijdig en vervolgens structureel geanalyseerd en opgevolgd.

c. Security monitoring oplossingen zijn aantoonbaar geconfigureerd om bijvoorbeeld lateral movement technieken, data exfiltratie en misbruik van accounts met hoge toegangsrechten te detecteren.

d. Configuraties van security monitoring oplossingen worden structureel getoetst op het vermogen om geavanceerde dreigingsactoren waar te nemen.

2. Het onderhouden van voorzieningen om historische manifestaties van geavanceerde dreigingen en aanvalsvectoren in de technische infrastructuur op te sporen.

a. De netwerkaanbieder onderhoudt een structurele historie van systeem- en netwerkdata met een retentietijd van minimaal drie maanden.

b. De data, bedoeld in onderdeel a, omvatten in elk geval een selectie van logbestanden van systemen en netwerkelementen, DNS en netflow-gegevens en packet captures van netwerkverkeer die de netwerkaanbieder met risicoafwegingen kan onderbouwen.

c. De netwerkaanbieder beschikt over analytische oplossingen waarmee de data, bedoeld in onderdeel a, met gebruik van dreigingsindicatoren kunnen worden doorzocht.

3. Het actief toetsen van de technische infrastructuur op mogelijke kwetsbaarheden en het structureel opvolgen van bevindingen die daaruit voortvloeien.

a. De netwerkaanbieder verzamelt structureel rapportages over kwetsbaarheden in de hardware en software die in de technische infrastructuur worden ingezet.

b. De netwerkaanbieder past een combinatie van geautomatiseerde vulnerability scans, penetratietesten en red team oefeningen toe om kwetsbaarheden in de technische infrastructuur op te sporen.

c. De netwerkaanbieder hanteert een structurele en geformaliseerde proces om kwetsbaarheden die door middel van de activiteiten, bedoeld in onderdeel b, aan het licht zijn gekomen te analyseren, prioriteren en indien noodzakelijk deze op te lossen.

Categorie D: Security assurance op software en beheerdiensten

1. Het opleggen van vergelijkbare beveiligingsverplichtingen aan beheerdienstverleners die uitbestede beheertaken verrichten in de technische infrastructuur en in de fysieke werkomgeving van de netwerkaanbieder.

a. De netwerkaanbieder komt contractueel met de beheerdienstverlener overeen dat in de technische en fysieke werkomgeving die voor dienstverlening aan de netwerkaanbieder worden ingezet beveiligingsmaatregelen worden getroffen die overeenkomen met de op dat moment geldende beveiligingsmaatregelen van de netwerkaanbieder.

b. De netwerkaanbieder komt contractueel met de beheerdienstverleners overeen dat kwetsbaarheden en vermoedens van beveiligingsincidenten in de werkomgeving, bedoeld in onderdeel a, terstond worden gemeld aan het beveiligingsaanspreekpunt van de netwerkaanbieder.

c. Voor zover uitbestede beheertaken geheel of gedeeltelijk buiten Nederland worden verricht, brengt de netwerkaanbieder structureel in kaart in hoeverre de door de overheid vastgestelde en richting netwerkaanbieder gecommuniceerde juridische of politieke context van het land waar vandaan de beheertaken worden verricht tot specifieke beveiligingsrisico’s kan leiden en treft vervolgens passende maatregelen om deze te beheersen.

2. Het opleggen van de contractuele verplichting aan toeleveranciers dat bij de ontwikkeling en levering van software oplossingen gangbare beveiligingspractices worden toegepast.

De netwerkaanbieder komt contractueel met de softwareleveranciers overeen dat:

a. een Secure Software Development Life-Cycle (SSDLC) wordt toegepast die aantoonbaar conformeert aan een erkende standaard of richtlijn;

b. software, inclusief generieke componenten, op het moment van ingebruikname volledig is gepatcht, voldoet aan door de netwerkaanbieder vastgestelde hardening vereisten en is opgewaardeerd naar versies waar nog actief support op wordt verleend;

c. terstond melding wordt gemaakt van kwetsbaarheden in de geleverde software en dat wordt voorzien, conform vastgestelde oplostijden en al naar gelang de ernst van de kwetsbaarheid, in updates of patches om die kwetsbaarheden te verhelpen.

3. Het uitsluitend in productie nemen van software die met succes een onafhankelijke beveiligingsevaluatie of penetratietest heeft ondergaan.

a. Op softwareproducten wordt voorafgaand aan uitrol een passende technische beveiligingsevaluatie of penetratietest verricht, door de netwerkaanbieder of door een onafhankelijke derde partij.

b. De netwerkaanbieder legt de verplichting op aan de softwareleveranciers dat wordt aangetoond dat productiesoftware die in de infrastructuur van de netwerkaanbieder wordt uitgerold overeenkomstig is aan de geëvalueerde software, bedoeld in onderdeel a.

c. De netwerkaanbieder stuurt actief op opvolging van bevindingen uit de beveiligingsevaluatie, bedoeld in onderdeel a, en neemt het software product in gebruik op voorwaarde dat eventuele bevindingen, die naar hun aard dusdanig ernstig en/of urgent zijn, dienen te worden opgelost.

4. Het structureel beoordelen van beheerdienstverleners en softwareleveranciers op naleving van contractuele beveiligingsafspraken.

a. De netwerkaanbieder toetst structureel en met passende instrumenten de naleving van contractuele beveiligingsafspraken.

b. Indien er tekortkomingen worden geconstateerd, komt de netwerkaanbieder met de desbetreffende beheerdienstverlener of softwareleverancier een verbeterplan met tijdlijnen overeen.

Categorie E: Human resource security

1. Het gericht uitvoeren van een programma om het beveiligingsbewustzijn van bedrijfsintern beheerpersoneel te verhogen.

a. De netwerkaanbieder voert voor beheerpersoneel een gericht bewustzijnsprogramma uit met betrekking tot spear-phishing.

b. De netwerkaanbieder verricht periodiek onaangekondigde spear-phishing campagnes om te toetsen of het personeel die campagnes herkent en conform interne beleidsregels reageert.

2. Het structureel screenen van personeel van derde partijen die uitbestede beheertaken verrichten alvorens hen toegang wordt verleend tot apparatuur en software van de netwerkaanbieder.

Personeel van een derde partij dat uitbestede beheertaken verricht:

a. is op persoonsgegevensniveau bij de netwerkaanbieder bekend en geadministreerd;

b. heeft voorafgaand aan het verkrijgen van toegang aantoonbaar een passend en schriftelijk bekrachtigde achtergrondonderzoek ondergaan.