Naar de inhoud
    Opafra
    Nederlands (België)
    Vraag een demo aan

    Het bewijs per CyFun-sleutelmaatregel, geleverd door het werk zelf.

    Bij een CyFun-verificatie wordt per sleutelmaatregel nagegaan wat u kunt aantonen. Opafra schrijft vier vastleggingen terwijl het werk gebeurt: wie toegang had, de review daarvan, een herstel dat werkte en wat er is gewijzigd. Waar een vastlegging een sleutelmaatregel beantwoordt, staat die eerst; de andere IDs zijn maatregelen. Elke vastlegging is bewijs voor een maatregel uit het CyFun-kader. De score per sleutelmaatregel is het gemiddelde van documentatie en implementatie, dus bewijs van de uitvoering telt mee. Lees ook de pagina over CyFun en die over de Belgische NIS2-wet.

    1. Toegang

      Wie bij de server kwam, met wiens goedkeuring en hoe lang

      Elke toekenning begint als een verzoek met een reden, wordt goedgekeurd door een met naam genoemd persoon en eindigt vanzelf op het ingestelde tijdstip. Op een server die voor certificaten is ingericht, gebruikt elke verbinding een certificaat dat vijf minuten geldig is.

      Fig. 1, vastlegging van toegang voor toekenning #a91c op prod

      Access record /grant #a91c on prod

      Sample
      Requested
      Alex Moreau @alex at 13:58:12, for patch nginx across prod
      Approved
      Dana Okafor @dana at 14:02:40
      Window
      14:05:00 to 16:05:00, 2h
      Ended
      Expired on its own
      Connections made under grant #a91c
      TimeServerThroughCertificate
      14:32:11web-01run #4f2a5 min
      14:32:11web-02run #4f2a5 min
      14:32:12web-03run #4f2a5 min

      Sleutelmaatregelen: deze vastlegging beantwoordt PR.AA-03.3 (toegang op afstand wordt geautoriseerd en beperkt) en PR.AA-03.2 (multifactorauthenticatie voor toegang op afstand). Hieronder staat de maatregel ID.AM-08.11.

      De eis waarop dit antwoordtCyFun 2025, ID.AM-08.11 (2023: PR.MA-2.1)

      Onderhoud op afstand wordt vooraf goedgekeurd en de uitvoering ervan wordt vastgelegd.

      De vastlegging toont het verzoek, de goedkeurder, het venster en elke verbinding eronder. De sessie zelf wordt niet opgenomen, zie de grenzen onderaan.

    2. Toegangsreview

      De review van die toegang, ondertekend

      Op het interval dat u instelt gaat de beoordelaar iedereen met toegang tot een omgeving langs, behoudt of verwijdert elke persoon en ondertekent, zodat de review een document is en geen herinnering.

      Fig. 2, toegangsreview van prod voor het kwartaal, ondertekend
      Access review of prodSample
      1 July to 30 September 2026, reviewed by Ada Lovelace
      The reviewer’s decision for each person with access to prod
      PersonAccessDecision
      Ada LovelaceOwnerOwner roleKept
      Bo ChenAdminNo grant on prodKept, no access
      Alex MoreauOperatorGrants, 2 hours at a timeKept
      Dana OkaforOperatorStanding grant, approverKept
      Eli NovakViewerView on stagingRemoved, left the team
      Signed off

      Ada Lovelace, Owner, 2026-10-05 10:14. 1 change made.

      Sleutelmaatregel: de review hoort bij PR.AA-05.4 (geen beheerdersrechten voor routinetaken). Tijdelijke toekenningen met een einddatum in plaats van vaste rechten ondersteunen dat. Hieronder staat de maatregel PR.AA-05.

      De eis waarop dit antwoordtCyFun 2025, PR.AA-05

      Toegangsrechten en autorisaties liggen vast in beleid, worden beheerd, gehandhaafd en beoordeeld, met minimale rechten en functiescheiding. Niemand heeft beheerdersrechten voor dagelijkse taken.

      De review bewijst de beoordeling van toegang die via Opafra loopt. Accounts die op de servers zelf bestaan, beoordeelt u waar ze staan.

    3. Hersteltest

      Een herstel dat werkte, met de tijd die het kostte

      De tijd van de eerste stap tot de geslaagde smoketest is het getal waar een klant of auditor om vraagt. Een plan dat volgens schema draait, herstelt op een scratch-host en legt die tijd bij elke run vast.

      Fig. 3, hersteltest #7c3e van db-01, geslaagd

      Restore test /db-01 to restore-01

      Sample
      Backup
      2026-10-11 02:00
      Started
      2026-10-11 03:00:04
      Result
      Passed
      Time to restore
      4m 10s
      1. 1Pick the latest backup of db-012s
      2. 2Restore onto restore-013m 41s
      3. 3Start the database18s
      4. 4Smoke test: table and row counts match9s
      5. 5Remove the scratch copy6s

      De eis waarop dit antwoordtCyFun 2025, PR.DS-11.2 (2023: PR.IP-4.2)

      De betrouwbaarheid en integriteit van back-ups worden regelmatig geverifieerd en getest. De begeleidende tekst noemt minstens jaarlijks, of vaker op steekproefbasis.

      De vastlegging bewijst een herstel. Ze toont niet dat er back-ups worden gemaakt, of hoe recent ze zijn.

    4. Wijziging

      Wat er veranderde, goedgekeurd voor de exacte revisie

      Een wijziging is een plan. Een persoon of de AI-composer maakt het concept, het wordt per host vooraf getoond, goedgekeurd voor één revisie en uitgevoerd. Past u het plan na de goedkeuring aan, dan vervalt de goedkeuring.

      Fig. 4, vastlegging van de wijziging voor run #4f2a, revisie 7

      Change record /Patch nginx across prod, run #4f2a

      Sample

      @alex → AIDry-run passedApproved by @danaAudited · #4f2a

      Origin
      Drafted by the AI composer for @alex
      Targets
      web-01, web-02, web-03 in prod
      Dry run
      3 hosts, 12 changes, 0 destructive
      Approved
      Dana Okafor at 14:32:07, for revision 7 only
      Outcome
      Completed on 3 hosts, 4 steps

      Diffweb-02

      /etc/nginx/nginx.conf+3/−2
      --- a/etc/nginx/nginx.conf
      +++ b/etc/nginx/nginx.conf
      @@ -1,7 +1,7 @@
       user  www-data;
      −worker_processes  4;
      +worker_processes  auto;
       pid /run/nginx.pid;
      @@ -31,6 +31,7 @@
           ssl_prefer_server_ciphers on;
      −    ssl_protocols TLSv1.2;
      +    ssl_protocols TLSv1.3;
      +    ssl_session_tickets off;

      De eis waarop dit antwoordtCyFun 2025, PR.PS-06.2 (2023: PR.IP-3.1)

      Wijzigingen en uitzonderingen worden getest en gevalideerd voordat ze in operationele systemen terechtkomen.

      De proefrun per host is die test vooraf. De goedkeuring, gebonden aan de revisie die draait, voegt Opafra daaraan toe.

    Vragenlijsten

    Dezelfde vastleggingen beantwoorden de vragenlijst. Ook waar het antwoord nee is.

    Het antwoordpakket noemt de vragen per ID, in eigen woorden, met wat de vastlegging geeft en de rijen waar Opafra niet helpt.

    Wat dit is en niet is

    Bewijs voor een maatregel, geen oordeel.

    De vastleggingen zijn bewijs voor de hierboven genoemde maatregelen. Ze zeggen niet dat een organisatie een bepaald niveau haalt, en Opafra is geen certificering of verificatie: de score geeft de beoordelaar. Valt uw organisatie onder Uitvoeringsverordening (EU) 2024/2690, dan vraagt punt 6.7.2(h) dat verbindingen van dienstverleners pas komen na een autorisatieverzoek en voor een bepaalde periode. Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs.

    Opafra legt vast wat er via Opafra loopt: plannen, runs, toekenningen en het inloggen bij Opafra zelf. Werk op een server buiten Opafra om staat niet in deze vastleggingen.

    Zie de vastleggingen voor uw eigen servers.

    Vertel ons wat u beheert. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.

    Vraag een demo aan