Informatieveiligheid binnen bedrijven beperkt zich niet langer tot het stapelen van perimeterbescherming. De ervaringen die door de CNIL in 2024 zijn gepubliceerd over massale datalekken tonen aan dat de geëxploiteerde kwetsbaarheden vaak structureel zijn: onvoldoende isolatie tussen frontend en backend, gebrek aan bruikbare logging, niet-geauditeerde onderaannemers. We bespreken hier de technische en regelgevende aspecten die de verdedigingshouding van een organisatie daadwerkelijk veranderen.
Logging en isolatie van datastromen: de twee terugkerende blinde vlekken
De meerderheid van de compromitteringen die door de CNIL in 2024 zijn geanalyseerd, deelt een gemeenschappelijk kenmerk: de getroffen bedrijven beschikten niet over voldoende logging om de aanvalsketen te reconstrueren. Loggen betekent niet gewoon logs op een plek opslaan. De CNIL raadt een systeematische logging van applicatie-, API-, systeem- en netwerktoegang aan, gekoppeld aan geautomatiseerde waarschuwingen die een snelle verificatie door een menselijke operator mogelijk maken.
De effectieve isolatie van gegevens tussen applicatielagen is de tweede les. Een aanvaller die een webserver compromitteert, zou nooit direct toegang moeten hebben tot de bedrijfsdatabases. We raden aan om netwerken te segmenteren in vertrouwenszones, met strikte filterregels tussen elk segment, en periodiek te controleren of deze regels niet zijn omzeild door infrastructuurwijzigingen.
Om deze praktijken verder te verdiepen, bieden de informatie van de website Simpler Computing gedetailleerde benaderingen voor structuren die hun beveiligingsarchitectuur nog niet hebben geformaliseerd.
Transpositie NIS2 in Frankrijk: concrete verplichtingen voor bedrijven
De NIS2-richtlijn wijzigt diepgaand de reikwijdte van bedrijven die onderworpen zijn aan verplichtingen op het gebied van cyberbeveiliging. De transpositie in het Franse recht verplicht de betrokken entiteiten om een verantwoordelijke voor de informatiebeveiliging (RSSI) aan te stellen, een jaarlijkse risicoanalyse uit te voeren en elke significante gebeurtenis binnen 24 uur te melden.
De voorziene sancties kunnen oplopen tot 2% van de wereldwijde omzet of 10 miljoen euro. Dit niveau van boete plaatst de naleving van cyberbeveiliging op hetzelfde niveau als de naleving van de AVG in termen van financieel risico.
De veelvoorkomende fout is om NIS2 te beschouwen als een documentair oefening. Het opstellen van een beveiligingsbeleid zonder de technische uitvoering te verifiëren, biedt geen bescherming tegen aanvallen of sancties. We zien dat de bedrijven die het beste profiteren van deze regelgevende druk, degenen zijn die de risicoanalyse integreren in hun projectbeheercyclus, niet in een vast jaarlijks rapport.
Verwachte technische en organisatorische maatregelen
- Implementatie van een proces voor incidentdetectie met actuele compromitteringsindicatoren en een gedefinieerde escalatieprocedure voordat een crisis zich voordoet.
- Integratie van beveiligingseisen in de contracten met onderaannemers, inclusief een auditrecht en een meldplicht in geval van compromittering van hun eigen informatiesysteem.
- Periodieke controle van de beveiliging van leveranciers die toegang hebben tot gegevens of systemen, door middel van technische tests of gestructureerde vragenlijsten.
Cyber Resilience Act: wat verandert voor software en verbonden apparaten in bedrijven
De Europese verordening 2024/2847, ook wel de Cyber Resilience Act (CRA) genoemd, gepubliceerd in het Publicatieblad van de EU op 20 november 2024, introduceert ontwerpeisen voor beveiliging voor alle producten met digitale elementen. Concreet moet elke software of verbonden apparaat dat op de markt wordt gebracht in de EU voldoen aan veiligheidscriteria vanaf het moment van lancering.
Voor de gebruikende bedrijven is de impact indirect maar reëel. Softwareleveranciers en fabrikanten van apparatuur moeten gedurende de verwachte levensduur van het product beveiligingsupdates leveren. Een product zonder patchondersteuning kan niet langer legaal worden verkocht. Dit verandert de manier waarop leveranciers worden geëvalueerd: het criterium voor softwareonderhoud wordt een criterium voor naleving van regelgeving, niet alleen een commercieel voordeel.
Bedrijven die gebruikmaken van op maat gemaakte softwareoplossingen of industriële verbonden apparaten moeten nu al anticiperen op de vraag naar de beveiligingslevenscyclus van deze producten. Een IoT-sensor die zonder updatebeleid wordt uitgerold, wordt een kwetsbaarheidspunt en een risico op niet-naleving.
Beheer van onderaannemers: de schakel die beveiligingsbeleid negeert
De massale datalekken die door de CNIL zijn geanalyseerd, tonen aan dat compromittering regelmatig via een leverancier plaatsvindt. Een onderaannemer die toegang heeft tot uw informatiesysteem met hoge privileges en zonder toezicht, vormt een risico dat gelijkstaat aan het ontbreken van een firewall.
De CNIL raadt aan om expliciet in de contracten de beveiligingseisen voor onderaannemers op te nemen. Dit gaat verder dan een algemene vertrouwelijkheidsclausule:
- Definieer de verwachte beschermingsmaatregelen (versleuteling, multi-factor authenticatie, isolatie van toegang) met controleerbare criteria.
- Voorzie in een technisch auditrecht, uitgeoefend ten minste één keer per jaar of na elk incident dat door de leverancier is gemeld.
- Eis een snelle melding in geval van compromittering van het systeem van de onderaannemer, zelfs als de gegevens van uw bedrijf niet direct lijken te zijn aangetast.
Een niet-geauditeerde onderaannemer is een open deur naar uw informatiesysteem. Alleen contractuele formaliteiten zijn niet voldoende: zonder technische verificatie blijft het declaratief.
Bedrijven die hun informatieveiligheid in 2024 versterken, kunnen zich niet langer beperken tot het beschermen van hun eigen perimeter. Tussen NIS2, de Cyber Resilience Act en de feedback van de CNIL, vereist het regelgevend kader nu een uitgebreide aanpak voor de hele digitale waardeketen. Beveiliging speelt zich net zo goed af in contracten en audits als in firewalls.
