Antwoorden per CyFun-maatregel, met de nee-rijen erbij.
Vraagt een klant of u de CyFun-maatregelen toepast, dan heeft een deel van het antwoord een vastlegging die Opafra al schreef. De antwoorden hieronder volgen de ID's uit CyFun 2025 van het CCB en zijn in eigen woorden, en ze bevatten de maatregelen die Opafra niet beantwoordt.
18 maatregelen gelezen. Alle 18 staan hieronder.
We lazen in september 2026 de maatregelen in het CyFun 2025-boekje (niveau Important) die raken aan toegang, logging, back-ups, kwetsbaarheden en leveranciers. Opafra beantwoordt er 3 volledig, 9 gedeeltelijk en 6 niet. Een rij met het label sleutelmaatregel is een sleutelmaatregel van het CCB; bij de andere rijen gaat het om een maatregel. De maatregelen zijn in eigen woorden weergegeven, omdat het CCB overname van uittreksels alleen toestaat voor niet-commercieel gebruik. Zie de pagina over CyFun.
3 maatregelen
Ja, uit de vastlegging
Het antwoord is een vastlegging die Opafra schrijft, voor werk dat via Opafra loopt.
| Maatregel | Wat de vastlegging geeft |
|---|---|
| DE.CM-06.1Worden activiteiten en diensten van externe dienstverleners beveiligd en bewaakt, zodat nadelige gebeurtenissen worden opgemerkt? | De vastlegging van toegang is wat een klant van zijn MSP in handen heeft: wie toegang kreeg tot welke server, met welke goedkeuring, hoe lang en onder welke run. Het bewaken van gebeurtenissen daarbuiten valt erbuiten. |
| PR.DS-11.2Worden de betrouwbaarheid en de integriteit van back-ups regelmatig geverifieerd en getest? | De hersteltest legt bij elke run het resultaat vast en de tijd die het herstel kostte. Dat er back-ups worden gemaakt, en hoe recent ze zijn, toont ze niet. |
| PR.AA-03.2sleutelmaatregelIs multifactorauthenticatie vereist voor toegang op afstand tot de netwerken van de organisatie? | Inloggen bij Opafra gebruikt multifactorauthenticatie, en SSH-toegang gebruikt certificaten van vijf minuten per persoon. |
9 maatregelen
Gedeeltelijk
De vastlegging is een deel van het antwoord. De rest is een beleid, een document of een systeem dat Opafra niet ziet.
| Maatregel | Wat de vastlegging geeft, en wat niet |
|---|---|
| GV.SC-02.1Melden externe dienstverleners elke overdracht, beëindiging of overgang van personeel met fysieke of logische toegang tot bedrijfskritische systeemelementen? | Het logboek van rolwijzigingen toont wijzigingen binnen Opafra. De melding aan de klant is een proces. |
| PR.AA-01.1Worden identiteiten en inloggegevens beheerd? | Elke run en verbinding is gekoppeld aan een met naam genoemde persoon, en de SSH-certificaten komen uit de eigen autoriteit van de organisatie. De directory van uw organisatie valt erbuiten. |
| PR.AA-03.3sleutelmaatregelLiggen gebruiksbeperkingen, verbindingsvereisten en autorisatieprocedures voor toegang op afstand vast in documentatie? | De vastlegging van toegang is het bewijs dat de procedure is gevolgd. De documentatie zelf is niet van Opafra. |
| PR.AA-05.1Worden toegangsrechten en autorisaties gedefinieerd, beheerd, gehandhaafd en beoordeeld? | De toegangsreview toont iedereen met toegang tot een omgeving, de beslissing per persoon, de beoordelaar, de datum en de wijzigingen. Accounts op uw servers beoordeelt u waar ze staan. |
| PR.AA-05.3Geldt het principe van minimale rechten? | Rollen en toekenningen met een einddatum bestaan in Opafra. Dat het principe wordt toegepast, is een beleidsverklaring. |
| PR.AA-05.4sleutelmaatregelHeeft niemand beheerdersrechten voor routinematige dagelijkse taken? | Toegang per goedkeuring, met een venster of een certificaat van vijf minuten, ondersteunt dit. Het dekt alleen toegang die via Opafra loopt. |
| PR.AA-05.6Wordt functiescheiding gewaarborgd bij het beheer van toegangsrechten? | Aanvrager en goedkeurder worden beide vastgelegd, en een toegangsverzoek kan niet worden goedgekeurd door wie het deed. Zelfgoedkeuring van runs kan worden geblokkeerd, en de vastlegging markeert elke run waarvoor het is toegestaan. Functiescheiding buiten Opafra is uw beleid. |
| PR.PS-04.1Worden logs bijgehouden, gedocumenteerd en bewaakt? | Runs, goedkeuringen, toekenningen, aanmeldingen, rolwijzigingen en exports staan in het auditlog, met wie, wat en wanneer. Bewaking gebeurt in uw SIEM, dat het log via de API kan ophalen. |
| ID.RA-08.1sleutelmaatregelIs er een plan voor het beheer van kwetsbaarheden? | Patchruns en hun termijnen worden vastgelegd, en ook de reden als een patch wordt overgeslagen. Opafra scant niet op kwetsbaarheden, en het plan zelf is uw document. |
6 maatregelen
Nee, niet van Opafra
Dit zijn de rijen waar het eerlijke antwoord nee is, of waar het antwoord een document is en geen vastlegging.
| Maatregel | Waarom niet |
|---|---|
| GV.SC-05.1Liggen de afspraken met leveranciers vast in contracten? | Nee. Dit ligt aan de kant van de afnemer en is een kwestie van beleid. |
| GV.SC-07.1Worden leveranciers minstens jaarlijks beoordeeld op risico, en opnieuw bij wijzigingen? | Nee. Ook dit ligt aan de kant van de afnemer: een beoordeling is een document en geen vastlegging van Opafra. |
| GV.SC-08.1Worden leveranciers betrokken bij de planning voor incidenten? | Nee. Dit is beleid aan de kant van de afnemer en geen vastlegging van Opafra. |
| PR.DS-11.1sleutelmaatregelStaan back-ups op een ander systeem? | Nee. Opafra legt niet vast waar back-ups staan. |
| PR.PS-01.1Is er een basisconfiguratie? | Nee. Een basisconfiguratie is een document of een norm voor uw servers, en Opafra beantwoordt het niet vanuit de vastlegging. |
| PR.PS-04.2Wordt een betrouwbare tijdbron gebruikt voor logvermeldingen? | Nog niet vermeld. De tijdbron voor logvermeldingen is niet gepubliceerd, dus dit wordt niet beantwoord vanuit de vastlegging. |
Beantwoord het hele formulier zelf.
Een ja of gedeeltelijk antwoord hier geldt voor werk dat via Opafra loopt. Het zegt niets over systemen die er niet doorheen lopen, en het is bewijs voor een antwoord, geen verklaring dat iemand aan een eis voldoet. Elk antwoord wijst naar een vastlegging op de bewijspagina.
Beveiligingsvragen die deze pagina niet dekt, gaan naar het contact op de beveiligingspagina.
Voor de CAIQ van CSA staat het antwoordpakket in het Engels.
Stuur ons uw vragenlijst.
Noem het sjabloon dat uw klanten gebruiken. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.