De beveiligingsbaseline

De maatregelen van de baseline vormen zeven lagen die elkaar opvangen: faalt een laag, dan begrenzen de andere wat een aanvaller kan bereiken.

Ieder toegangsverzoek doorloopt de drie functies die de zero-trust-benadering van NIST SP 800-207 onderscheidt. Informatiebronnen leveren de context: de inventaris, de bewaking en het identiteitsbeheer. Beslispunten staan het verzoek toe of weigeren het: de toegangsvoorziening, de beleidstoetsing, de zonecontrole en de toelatingscontrole. Handhavingspunten voeren de beslissing uit: het netwerkbeleid, de toelating van software en de toegangsgateway. De beveiligingsbewaking sluit de kring: zij volgt het gedrag tijdens gebruik, meldt afwijkingen en laat het cluster zelf ingrijpen waar dat vooraf is toegestaan en beproefd.

De maatregelen van de baseline zijn ingedeeld in elf domeinen.

Iedere beveiligingsvoorziening heeft een vaste plaats en een vaste functie.

De eisen van de referentieset zijn afgeleid van de beheersmaatregelen uit NIST SP 800-53, revisie 5, en per onderwerp gekoppeld aan de beheersmaatregelen uit ISO/IEC 27002:2022, de basis van de nummering van BIO2. Een koppeling stelt maatregelen niet gelijk en bewijst geen naleving.

De referentieset geeft enkele ISO-nummers een andere titel en koppelt ze daardoor aan een ander onderwerp. Op vier punten is de koppeling daarom gecorrigeerd, in lijn met de nummering die de baseline zelf gebruikt.

Release 5.2.0 van NIST SP 800-53, van augustus 2025, voegt maatregelen toe voor een vaste opbouw van logregels, voor ontwerpen op cyberweerbaarheid en voor oorzaakanalyse bij foutherstel, en verbreedt de integriteitscontrole naar alle software. Omdat die maatregelen buiten de standaardselecties van NIST vallen, is de referentieset niet aangepast; de CISO-functie beoordeelt bij de herziening van de baseline of zij voor het platform gelden.

Van de 53 eisen zijn er 38 gedekt, 14 aangevuld en één deels gedekt. Gedekt betekent: in het ontwerp belegd en in een leverfase gepland. Aangevuld betekent hetzelfde, nadat de baseline op grond van de toetsing is aangevuld of aangescherpt. Deels gedekt is alleen de versleuteling van al het verkeer tussen knooppunten.

Een aantal maatregelen van de baseline dekt een eis uit de referentieset maar gedeeltelijk. Die grenzen zijn bekend en blijven zichtbaar bij de beoordeling van het restrisico.

Vier eisen uit de referentieset waarvoor bij de toetsing een keuze nodig was, zijn als volgt ingevuld.

De eis dat al het verkeer tussen knooppunten versleuteld is, is deels gedekt. Het platform versleutelt het verkeer tot de ingang van ieder cluster, op alle beheerpaden en naar geheimenbeheer, databases en opslag. Tussen de knooppunten van een gehost applicatiecluster kan de netwerklaag het verkeer niet versleutelen, omdat gehoste besturing dat niet ondersteunt. Tot het dienstennetwerk er is, versleutelen toepassingen hun onderlinge verkeer zelf, en is iedere onversleutelde stroom een uitzondering met einddatum.

Bij iedere nieuwe dienst in het groeipad toetst de beveiligingsadviseur het ontwerp vóór het ontwerpbesluit aan de acht onderwerpen van de referentieset. De eisen zijn een ondergrens: het dreigingsmodel van de dienst kan aanvullende maatregelen vragen. Voegt een dienst een nieuw type onderdeel toe, dan wordt de dekking aangevuld met de maatregelen voor dat onderdeel; blijkt een eis niet gedekt, dan wordt de baseline uitgebreid.

De toetsing aan de referentieset leverde tien aanvullende maatregelen en zeven aangescherpte normen op; de uitwerking van softwarelevering, beheertoegang en geheimen voegde er drie maatregelen aan toe. De aanvullingen vallen in bestaande domeinen, behalve die voor beleid, documentatie en naleving: dat domein is toegevoegd, omdat het bewijs daarvoor vooral uit documenten en besluiten komt.

Twaalf maatregelen dragen elk aan drie of meer eisen bij en dekken samen 25 van de 53 eisen. Valt er één weg, dan verzwakt de dekking van meerdere eisen tegelijk. Daarom vragen zij het meeste bewijs en gaan zij bij de inrichting van de baseline voor: eerst identiteit en het beheerpad, dan versiebeheer en beleid, daarna softwareketen, logging, netwerk en herstel.

Eisen uit de referentieset die het platform al door zijn opbouw vervult, zoals met het onveranderbare besturingssysteem van de knooppunten, vragen per cluster weinig extra beheer; het bijhouden van beelden, uitzonderingen en bewijs blijft wel werk voor platformbeheer. Eisen die mensenwerk blijven, zoals de periodieke beoordeling van logboeken, het dreigingsmodel en de afspraken met leveranciers, hebben een eigenaar en een ritme, zodat de inspanning zichtbaar blijft.

De beveiligingsarchitectuur van het platform is gedocumenteerd en opgenomen in het managementsysteem voor informatiebeveiliging (ISMS) van RWS: de architectuur en de vertrouwensgrenzen, de maatregelen, hun technische invulling en de koppeling aan BIO2, de referentieset en de SAK-versies waartegen zij is opgesteld. Zij wordt bijgewerkt bij iedere nieuwe versie en bij ieder ontwerpbesluit dat een maatregel raakt, en jaarlijks door de CISO-functie vastgesteld.

Voor het platform en voor iedere platformdienst is er een dreigingsmodel dat vóór de vrijgave voor productie is beoordeeld: per platformcluster, voor de vlootbrede voorzieningen die beide cellen kunnen raken en per dienst in het groeipad. Het wordt jaarlijks en bij een grote wijziging herzien, en een dreiging zonder maatregel staat in het risicoregister.

Beveiligingseisen zijn onderdeel van iedere levering. Iedere dienstbeschrijving wordt getoetst aan de baseline en ieder ontwerp van een nieuwe dienst aan de referentieset en de toepasselijke SAK-eisen. Bij de oplevering is er per maatregel bewijs van een gemeten of beproefde werking, niet alleen van een aanwezige instelling, en zonder beoordeling door de beveiligingsadviseur en een besluit over het restrisico is er geen vrijgave.

De naleving van de baseline wordt doorlopend bewaakt en gerapporteerd: met een nalevingsoverzicht per cluster, dagelijks bijgewerkt uit de compliancescan, de toelatingscontrole en de beleidsafwijkingen, en met een kwartaalrapportage aan het bestuur over de open afwijkingen en uitzonderingen.

Voor beleid en documentatie stelt de referentieset vijf eisen, die de baseline als volgt dekt.

Iedere uitzondering op de baseline staat in het uitzonderingsregister in de opslagplaats Beleid, met een compenserende maatregel, een eigenaar en een einddatum van ten hoogste zes maanden na het besluit. Zij geldt pas na het besluit van de bevoegde verantwoordelijke, niet al bij registratie, en blijft in het nalevingsoverzicht zichtbaar als afwijking met aanvaard risico, niet als naleving. Zonder verlenging geldt de afwijking na de einddatum weer als open.

De eerste levering begint met drie bekende uitzonderingen op de baseline, elk met een compenserende maatregel en een vast einde.

De CISO-functie is eigenaar van de baseline en herziet haar jaarlijks, en daarnaast na een significant incident, na een nieuwe versie van BIO2 of van de referentieset en bij een nieuwe dienst in het groeipad. De jaarlijkse herziening verwerkt nieuwe versies van de SAK’s, het patchbeleid, de bewaartermijnen van het SOC, het forensisch beleid, het classificatieschema en de cryptografietabel van RWS, en gemeten afwijkingen van de normen.

Een wijziging van de baseline loopt via een beoordeeld wijzigingsvoorstel in de opslagplaats Beleid. Nieuwe en strengere regels gaan, net als ander beleid, in twee fasen van melden naar afdwingen. Een regel die al wordt afgedwongen, gaat niet blijvend terug naar alleen melden; tijdelijk terugzetten kan alleen als terugvaloptie tijdens een uitrol, per uitrolgolf, of als goedgekeurde uitzondering met einddatum.