Deelproject 3.1 Veilig beheer van infrastructuur

Om ervoor te zorgen dat ICT-systemen, zoals servers, netwerkcomponenten en cloudomgevingen, veilig en betrouwbaar zijn, moeten ze goed beheerd en onderhouden worden. Zo voorkom je dat een onveilige server toegang geeft tot gevoelige persoonsgegevens of dat een verouderde router tijdens een toetsweek uitvalt. Een stabiele en goed ingerichte infrastructuur vormt de basis voor de digitale veiligheid en continuïteit van processen binnen je organisatie. Daarmee is het beheren van infrastructuur een belangrijk onderdeel van informatiebeveiliging en privacy.

Resultaat van dit deelproject

Systemen en hardware zijn opgenomen in het CMDBCMDB staat voor configuratiemanagementdatabase. Het is een database waarin alle zogeheten configuratie-items van de IT-omgeving van een organisatie zijn opgeslagen. Denk aan informatie over gebruikte hardware, software, onderlinge relaties, versienummers, licenties en configuratiebaselines.
Infrastructurele wijzigingen maken onderdeel uit van het changemanagementproces
Infrastructurele maatregelen zijn onderdeel van de beveiligingsbaseline
Onderhoudsmaatregelen zijn ingepland en worden uitgevoerd volgens planning

Let op

Bij norm SM.08 uit dit deelproject werk je alleen aan het derde en vierde punt van volwassenheidsniveau 3.
Bij norm SM.11 uit dit deelproject werk je alleen aan het eerste punt van volwassenheidsniveau 3.

ICT uitbesteed?

Beheer je je infrastructuur niet zelf? Dan maak je afspraken over het onderhoud van je infrastructuur binnen het deelproject 2.9 Managen van leveranciersrisico’s.

Onderdeel van bestaande processen

Het beheren van infrastructuur is in de praktijk onderdeel van bestaande processen, zoals je configuratiemanagementproces, changemanagementproces, patchmanagementproces en het proces voor het uitvoeren van BIV-classificaties. Met deze processen zorg je ervoor dat je overzicht hebt over systemen, de juiste maatregelen toepast en bij elke wijziging binnen je ICT-landschap maatregelen herziet. In dit deelproject controleer je of je binnen bestaande processen voldoende rekening houdt met het beheren van de infrastructuur.

Wie doet wat

Het schoolbestuur zorgt er binnen andere deelprojecten voor dat er een changemanagementproces en een ingericht CMDB is. En dat een BIV-classificatieschema en een beveiligingsbaseline zijn vastgesteld.
De IBP’er zorgt ervoor dat binnen deze bestaande processen en de beveiligingsbaseline de juiste infrastructurele maatregelen opgenomen zijn.
De proceseigenaren van de betreffende processen zorgen ervoor dat infrastructuur hier voldoende deel van uitmaakt en dat bij wijzigingen ook altijd de beoordeling op infracomponenten plaatsvindt.
Eigenaren van de infracomponenten zorgen dat de juiste maatregelen zijn toegepast en dat onderhoud tijdig plaatsvindt.

Aan de slag

1 Stel beleid op voor de beveiliging van infrastructuur

Begin met het opstellen van het informatiebeveiligingsbeleid. Maak hiervoor gebruik van deelproject 1.3 Beleid en strategie voor IBP bepalen. Hierin beschrijf je hoe de beveiliging van de componenten van je infrastructuur is geregeld binnen je organisatie.

2 Neem de componenten van je infrastructuur op in je CMDB

In deelproject 1.6 Overzicht creëren van systemen en hardware heb je een configuratiemanagementdatabase (CMDB) ingericht. Bepaal welke componenten van je infrastructuur centraal vastgelegd moeten worden en ken een eigenaar toe aan elk van deze componenten. Denk hierbij aan:

Servers en virtual machines (VM’s): fysiek en virtueel (inclusief cloud-VM’s).
Netwerkapparatuur: routers, switches, firewalls, load balancers.
Storage: centrale storage, cloudDe cloud (Nederlands: wolk) staat voor een netwerk dat met alle computers die erop aangesloten zijn, een soort “wolk van computers” vormt. Als je op je werkstation bezig bent, weet meestal niet op hoeveel of op welke computer(s) de software draait of waar die computers precies staan. storage.
Middleware en databases: SQL/NoSQL databases, applicatieservers.
Cloud-resources: accounts, resource groups, kernservices (compute, storage, networking).
Security-componenten: certificaten, VPN gateways.

3 Beoordeel de beveiligingsbaseline

In deelproject 2.7 Beveiligingseisen en -maatregelen vastleggen in een beveiligingsbaseline heb je een beveiligingsbaseline opgesteld. Controleer of de beveiligingsbaseline voldoende infrastructurele maatregelen bevat en scherp deze indien nodig aan. Gebruik het BIV-classificatieschema om alle infrastructurele componenten te classificeren. Deze classificatie kan je uiteraard ook per type component uitvoeren als bijvoorbeeld alle routers een vergelijkbaar risicoprofiel hebben.

4 Plan onderhoudswerkzaamheden in

Zorg dat maatregelen die vanuit het BIV-classificatieproces en de beveiligingsbaseline zijn vastgelegd, volgens planning worden ingepland en uitgevoerd. Worden technische updates als het patchen van systemen door je leveranciersAanbieders van ICT- of leermiddelen. uitgevoerd? Zorg dan dat hierover periodiek gerapporteerd wordt.

5 Informeer en train medewerkers

Zorg dat medewerkers worden geïnformeerd over de verantwoordelijkheden die voortvloeien uit het beleid en de vastgelegde maatregelen. Zorg ervoor dat de medewerkers over de juiste kennis en vaardigheden beschikken om aan hun verantwoordelijkheden te voldoen. Dit kun je onder andere doen door het aanbieden van trainingen.

Netwerkarchitectuurplaten

Om scholen te ondersteunen bij het inrichten van een veilige en toekomstbestendige ICT-infrastructuur, zijn vanuit de FORA overzichtsplaten gemaakt van netwerkinfrastructuren voor verschillende typen schoollocaties. Deze platen bevatten overzichten van gangbare infrastructuurcomponenten, aangevuld met concrete beveiligingsmaatregelen die aansluiten op het ROSA certificeringsschema. Je kunt de platen gebruiken als ondersteuning bij het bepalen van de juiste maatregelen voor de infrastructuur van je school. Je vindt de platen op de pagina Referentieontwerpen Netwerkinfrastructuur op de FORA website.

Afdrukken