Laat leveranciers en engineers bij klantservers komen, pas na goedkeuring en voor een bepaalde tijd.
Vraagt een klant wie er vorig kwartaal bij zijn servers kwam, dan is het antwoord nu een chatthread en een stapel SSH-logs. Hier is elke toekenning een verzoek, een goedkeuring en een venster, en uw klant kan degene zijn die goedkeurt. Voor een klant onder de Cyberbeveiligingswet bent u een leverancier, en die klant moet aantoonbaar kunnen maken hoe uw toegang is geregeld.
Wie het vroeg, wie goedkeurde, hoe lang, en elke verbinding die eronder is gemaakt.
Dit is de hoofdvastlegging van de bewijspagina. U voegt haar toe wanneer een klant, een auditor of een vragenlijst erom vraagt.
Access record /grant #a91c on prod
- Requested
- Alex Moreau @alex at 13:58:12, for patch nginx across prod
- Approved
- Dana Okafor @dana at 14:02:40
- Window
- 14:05:00 to 16:05:00, 2h
- Ended
- Expired on its own
| Time | Server | Through | Certificate |
|---|---|---|---|
| 14:32:11 | web-01 | run #4f2a | 5 min |
| 14:32:11 | web-02 | run #4f2a | 5 min |
| 14:32:12 | web-03 | run #4f2a | 5 min |
In het antwoordpakket beantwoordt deze vastlegging BIO2-maatregel 8.05.01: externe leveranciers krijgen pas toegang na een beoordeling vooraf die voorwaarden en duur vastlegt.
De eis waarop dit antwoordtCyberbeveiligingsbesluit, artikel 10 en 15
Artikel 10 vraagt een schriftelijk leveranciersbeleid en een controle van uw rechtstreekse leveranciers. Artikel 15 vraagt een toegangsbeleid waarin autorisaties worden verleend, bewaakt, gebruikt, gewijzigd en ingetrokken. De toelichting herhaalt het steeds: schriftelijk vastgelegd en aantoonbaar toegepast.
Deze artikelen rusten op uw klant als entiteit onder de wet. Voor die klant bent u de leverancier, en dit is de vastlegging die u kunt tonen. Valt uw organisatie zelf onder Uitvoeringsverordening (EU) 2024/2690, dan vraagt punt 6.7.2(h) dat verbindingen van dienstverleners pas komen na een autorisatieverzoek en voor een bepaalde periode.
Vijf stappen, elk op de vastlegging.
- Aangevraagd met een reden
- De persoon vraagt toegang tot één omgeving en zegt waarom, zodat de reden vanaf de eerste minuut in de vastlegging staat.
- Goedgekeurd door een met naam genoemd persoon
- Een toegangsverzoek kan niet worden goedgekeurd door wie het deed. De goedkeuring bewaart de naam van de goedkeurder en het tijdstip.
- Beperkt tot een venster
- De toekenning loopt van een begin tot een einde die bij de goedkeuring zijn ingesteld, bijvoorbeeld de twee uur van een onderhoudswerk.
- Beëindigd zonder dat iemand eraan hoeft te denken
- Als het venster sluit, sluit de toegang. Niemand hoeft te onthouden een sleutel in te trekken, en niemand hoeft elke sleutel te vervangen omdat één persoon vertrok.
- Elke verbinding in de lijst
- Elke verbinding onder de toekenning staat in de lijst met de server en de run waartoe ze behoorde. Op een server die voor certificaten is ingericht, gebruikt elke verbinding een certificaat dat vijf minuten geldig is.
Laat de klant ja zeggen tegen wat er op zijn servers gebeurt.
Een wijziging of toekenning op de servers van een klant kan wachten op de eigen goedkeurder van die klant. De goedkeuring wordt vastgelegd met de naam van de goedkeurder en de revisie waarvoor ze geldt, zodat “de klant ging akkoord” een vastlegging is en geen e-mail die u moet zoeken. Zie hosting en managed hosting en managed serviceproviders.
Patch nginx across prod
Upgrade nginx to 1.25.3@alex → AIDry-run passedApproval requiredAudit
- Revision
- Covers revision 7 only.
- Targets
- web-01, web-02, web-03 in prod, derived from the targets
- Approver
- Must hold access to prod
Wat Opafra niet vastlegt.
Opafra legt vast wat er via Opafra loopt. Toegang die op een andere weg een server bereikt, staat niet in deze vastleggingen, en accounts die op de servers zelf bestaan, beoordeelt u waar ze staan.
Laat uw klanten zien wie bij hun servers kwam.
Vertel ons hoeveel servers u voor klanten beheert en wie er toegang toe nodig heeft. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.