Beveiligingsbeleid: Het wordt beschouwd als een vitale infrastructuur die onmisbaar is voor de toekomst.

In de bank- en nutssector definiëren toezichthouders bepaalde systemen als kritiek. Een kritiek systeem is een systeem waarvan het uitvallen onaanvaardbare schade kan toebrengen aan klanten, markten of de openbare veiligheid. Zo gelden voor een betaalplatform bij een clearingbank of een SCADA-netwerk bij een energiedistributeur de hoogste beheersverplichtingen, waaronder continue monitoring, gedocumenteerd wijzigingsbeheer en aantoonbare veerkracht.

De beleidsomgeving – een verzameling regels die zijn opgebouwd uit firewalls, cloudcontroles en microsegmentatie – bepaalt welke systemen toegang tot elkaar hebben, welke communicatie wordt geblokkeerd en welke uitzonderingen van kracht blijven. Deze regels vormen samen de beveiligingsbeleidslaag: de governance-laag die bedrijfsdoelstellingen vertaalt naar toegangsbeslissingen over gedistribueerde uitvoeringspunten.

Een verkeerd geconfigureerde hashregel tijdens een cloudmigratie kan een betaaldienst loskoppelen van het afwikkelingsplatform; op dezelfde manier kan een tijdelijke regel die brede toegang verleent vanuit een ontwikkelsubnet tot de productieomgeving maandenlang van kracht blijven nadat de productie daadwerkelijk is gestart, omdat er niemand verantwoordelijk is voor het verwijderen ervan.

Firewallregels, segmentatiebeleid en toegangsbeslissingen hebben allemaal directe gevolgen voor operationele risico's, en wanneer de beleidsomgeving faalt, vallen de essentiële diensten die eraan ten grondslag liggen ook uit.

Dit maakt het beleidskader tot een essentiële infrastructuur op zich.

Ze worden nog steeds als routinetaken afgehandeld.

Desondanks beheren veel gereguleerde organisaties hun beleidsomgeving nog steeds als puur operationele taken. Regels worden toegevoegd via wijzigingsverzoeken en het cumulatieve effect wordt zelden getoetst aan de oorspronkelijke bedoeling. Het eigenaarschap raakt versnipperd doordat de rollen van leiders veranderen, en de reden voor het bestaan ​​van een bepaalde regel kan alleen worden achterhaald in een wijzigingsverzoek, als dat er al is.

Een Chief Information Security Officer (CISO), die nooit zou toestaan ​​dat een betalingsplatform zonder continue monitoring of gedocumenteerde afhankelijkheden zou functioneren, zou de afwezigheid van beide in het beleidskader dat bepaalt of een platform toegankelijk is, kunnen accepteren. We kunnen deze situatie omschrijven als een situatie met gevolgen op infrastructuurniveau, maar met een beheersmatig niveau dat beperkt blijft tot de dagelijkse gang van zaken.

In de banksector zou een beleidsfout die de communicatie tussen afwikkelingssystemen verstoort, leiden tot een verstoring van cruciale bedrijfsdiensten. De Financial Conduct Authority (FCA) zou dergelijke fouten nauwlettend in de gaten houden, aangezien het wegvallen van een dergelijke dienst aanzienlijke schade kan veroorzaken.

In de gezondheidszorg en de energiesector verschillen de gevolgen, maar het mechanisme is hetzelfde: een verkeerde configuratie die toegang mogelijk maakt vanuit een bedrijfsnetwerk tot de klinische systemen van een NHS-instelling, of tot de operationele technologie van een energiedistributeur, creëert kwetsbaarheden in de levering van essentiële diensten. Dit zijn geen hypothetische risico's, maar reële operationele gevolgen van het behandelen van het beheer van kritieke infrastructuur als een routineklus. Voor een beter begrip van het belang van proactieve planning, zie ons artikel "Voordat u begint: vragen over essentiële infrastructuur".

Regelgevende prognoses bevestigen dezelfde trend.

De regelgeving in het Verenigd Koninkrijk stelt steeds hogere eisen, wat dezelfde conclusie ondersteunt: beveiligingsbeleid voor toegang tot kritieke diensten moet worden beheerd met een mate van discipline die in verhouding staat tot de infrastructuur. Het operationele veerkrachtschema van de Financial Conduct Authority (FCA) vereist dat gereguleerde bedrijven kritieke bedrijfsdiensten identificeren en continu aantonen dat de ondersteunende infrastructuur binnen de vastgestelde tolerantiegrenzen voor impact blijft.

De toezichthouder op de gas- en elektriciteitsmarkt (Ofgem) beoordeelt essentiële dienstverleners aan de hand van het Cyber ​​Assessment Framework van het National Cyber ​​Security Centre (NCSC) en onderzoekt of specifieke beveiligingsdoelstellingen continu worden behaald. De Cyber ​​Security and Resilience Bill, die naar verwachting later dit jaar wet wordt, zal soortgelijke verplichtingen opleggen aan datacenters , managed service providers en kritieke leveranciers.

Deze frameworks zijn niet voorschrijvend en gedetailleerd; geen ervan definieert de firewallregels die een organisatie moet hebben of hoe het retailbeleid moet worden geconfigureerd. Wat ze vereisen is bewijs: dat wat de beleidsomgeving toestaat ook is wat bedoeld was, en dat de organisatie dit consistent kan aantonen in plaats van het bewijsmateriaal voor elke evaluatie opnieuw op te bouwen.

Waarom voldoet het huidige systeem niet aan deze norm?

De meeste beleidsomgevingen zijn nooit ontworpen om aan deze standaard te voldoen. Sterker nog, de meeste beleidsomgevingen zijn zelfs helemaal niet bewust of opzettelijk gecreëerd. Beleidsregels ontstaan ​​vaak als bijproduct van implementatieprocessen. Elk project en elke migratie voegt nieuwe regels toe, en er worden er maar heel weinig verwijderd.

Na verloop van tijd wordt het 'beleidsoppervlak' – de volledige reeks regels en toegangsbeslissingen over de verschillende implementatielagen heen – groter dan de groep mensen die het begrijpen aankan, en bereikt het systeem een ​​punt waarop het weliswaar nog kan worden bediend, maar niet meer kan worden uitgelegd.

In gereguleerde sectoren zoals de bank-, energie- en gezondheidszorgsector was dit houdbaar onder de vorige regelgeving: periodieke beoordelingen, op controles gebaseerde audits en nalevingskaders die de vraag stelden of er controles bestonden in plaats van hun effectiviteit. Maar dat is niet langer voldoende. De nieuwe norm vereist doorlopend bewijs dat de toegang opzettelijk is.

De bevindingen van de Financial Conduct Authority (FCA), na een jaar van zelfevaluaties van de operationele weerbaarheid, illustreren hoe dit er in de praktijk uitziet. In gevallen waarin gereguleerde bedrijven weinig of geen openstaande beveiligingslekken meldden in de infrastructuur die hun kritieke bedrijfsdiensten ondersteunt, achtte de FCA het bewijs vaak onvoldoende om vast te stellen of de lekken daadwerkelijk niet bestonden of simpelweg niet waren ontdekt.

Deze les is direct van toepassing op het beheer van beveiligingsbeleid: geen enkele organisatie kan met recht beweren dat toegangslekken onder controle zijn zonder aan te tonen wat het beleid toestaat, hoe het is getest en of de lekken zijn verholpen.

Governancevereisten op infrastructuurniveau

Vaak is het antwoord een oproep tot meer transparantie en documentatie. Maar documentatie geeft slechts een momentopname weer; het biedt niet de doorlopende zekerheid die toezichthouders verwachten.

Een CISO in een gereguleerd bedrijf heeft meer nodig dan alleen een overzicht van wat het beleid toestaat. Configuratie en effectieve toegang zijn niet hetzelfde. Beveiligingsteams moeten begrijpen hoe regels, paden, objecten en implementatielagen op elkaar inwerken om te bepalen wat er daadwerkelijk kan communiceren.

Om aan deze norm te voldoen, moeten twee dingen met elkaar in overeenstemming worden gebracht: aantonen dat de omgeving daadwerkelijk toelaat wat de bedoeling was, en dit zonder voorafgaande waarschuwing kunnen bewijzen.

We maken een onderscheid tussen waar de beleidsintentie wordt gedefinieerd en waar deze wordt afgedwongen. De intentie wordt centraal beheerd en onderhouden, terwijl de handhaving gedistribueerd blijft over firewalls, cloudbeheer en microsegmentatie in hybride, multi-cloud- en multi-vendoromgevingen.

Die intentie wordt continu geverifieerd in plaats van slechts op beoordelingsmomenten gecontroleerd: voorgestelde wijzigingen worden getoetst aan het beleid voordat ze in productie worden genomen, en de effectieve toegang wordt continu beoordeeld om onnodige blootstelling, inconsistenties tussen implementatielagen en afwijkingen van de bedrijfsdoelstellingen op te sporen. Wat is toegestaan ​​en wat is gewijzigd, wordt bewaard als bewijsmateriaal.

Dezelfde functionaris voor informatiebeveiliging die nooit een betalingsplatform zou accepteren dat zonder continue monitoring, geverifieerde wijzigingscontrole en gedocumenteerde afhankelijkheden functioneert, zou deze norm moeten toepassen op de beleidsomgeving die bepaalt of een platform al dan niet toegankelijk is.

De Financial Conduct Authority (FCA), het Cyber ​​Assessment Framework van het National Cyber ​​​​Security Center (NCSC) en de Cyber ​​Security and Resilience Bill wijzen allemaal op dezelfde fundamentele vraag: Kan deze organisatie consequent aantonen dat de infrastructuur die haar kritieke diensten ondersteunt, wordt beheerd volgens de normen die voor die diensten vereist zijn?

Het beantwoorden van deze vraag vereist kennis (echte kennis, geen aanname of reconstructie na nauwkeurige analyse) van wat het beleidsklimaat op een bepaald moment toelaat, en of datgene wat het toelaat ook de bedoeling was. Deze onmisbare infrastructuurvragen vormen in deze context een cruciaal uitgangspunt.