Logging- en monitoringbeleid

Het document waarin staat wat er wordt vastgelegd, hoe lang dat bewaard blijft, wie ernaar kijkt en waarop wordt gereageerd. Zonder logging kunt u na een incident niet reconstrueren wat er gebeurd is.

Wat erin hoort

• welke gebeurtenissen worden vastgelegd, per systeem
• welke gegevens per gebeurtenis worden bewaard
• hoe lang logbestanden bewaard blijven, en waarom die termijn
• hoe logbestanden beschermd zijn tegen wijzigen en wissen
• wie er periodiek naar kijkt en met welke frequentie
• waarop direct wordt gealarmeerd in plaats van achteraf gekeken
• hoe u omgaat met persoonsgegevens in logbestanden

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging, met instemming van de ondernemingsraad waar het medewerkers raakt. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, en bij elk nieuw systeem dat in gebruik wordt genomen. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

twee tot vier pagina's, met een tabel per systeem.

Fouten die er het vaakst in zitten

• Logging staat aan maar niemand kijkt ernaar, waardoor incidenten pas maanden later opvallen.
• Logbestanden staan op hetzelfde systeem dat ze moeten bewaken, dus een aanvaller wist ze mee.
• De bewaartermijn is te kort, waardoor u na ontdekking niet meer kunt terugkijken.
• Er wordt zoveel gelogd dat niemand er nog doorheen komt.

Wat u per systeem vastlegt

De laatste twee kolommen zijn wat dit beleid onderscheidt van een lijst met technische instellingen. Zonder ingevulde kolom 'wie kijkt' is het archivering en geen monitoring.

Registreren is niet hetzelfde als bewaken

De meest voorkomende bevinding: alles wordt keurig gelogd en niemand kijkt ernaar. Dat is geen monitoring maar archivering. Het verschil merkt u pas bij een incident, wanneer blijkt dat de sporen er al maanden stonden.

Spreek daarom twee dingen af. Ten eerste een handvol gebeurtenissen waarop direct gealarmeerd wordt: een beheeraccount dat 's nachts inlogt, een groot aantal mislukte aanmeldpogingen, een export van veel gegevens tegelijk. Ten tweede een vast moment, bijvoorbeeld maandelijks, waarop iemand steekproefsgewijs terugkijkt en dat vastlegt.

Kies de bewaartermijn op ontdekkingstijd

Aanvallers zitten gemiddeld weken tot maanden in een netwerk voordat ze opvallen. Een bewaartermijn van twee weken betekent dat u bij ontdekking niet meer kunt zien hoe ze binnenkwamen. Zes tot twaalf maanden is voor de meeste organisaties een verdedigbare keuze; onderbouw hem vanuit uw risicoanalyse.

Verhouding tot de Cyberbeveiligingswet

Ondersteunt maatregel 2 over incidentbehandeling en maatregel 6 over meten of maatregelen werken. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Bijlage A bevat expliciete maatregelen over logging en over het beschermen van logbestanden. Zie de ISO 27001-checklist voor het volledige overzicht.

De koppen die het beleid compleet maken

Naast de tabel per systeem werkt het logging- en monitoringbeleid het best met een paar vaste koppen die de tabel toelichten en de organisatie eromheen vastleggen.

• Doel: waarom er gelogd wordt, in relatie tot de risicoanalyse.
• Reikwijdte: welke systemen wel en welke bewust niet onder het beleid vallen.
• De tabel per systeem met wat, hoe lang en wie kijkt.
• Escalatie: wat er gebeurt zodra iets opvalt, met een verwijzing naar het incidentresponsplan.
• Omgang met persoonsgegevens in logbestanden, en wie daar toegang toe heeft.

Die kop over escalatie wordt het vaakst overgeslagen, terwijl het precies het scharnierpunt is tussen dit beleid en de rest van het dossier. Zonder die kop eindigt het beleid bij het signaleren, en blijft onduidelijk wie het daarna oppakt. Twijfelt u of uw eigen logging voldoende dekking geeft, loop het na met de gratis check.

Verschil met het incidentresponsplan

Het logging- en monitoringbeleid en het incidentresponsplan raken elkaar precies op dat scharnierpunt. Het monitoringbeleid beschrijft hoe iets opvalt: welke gebeurtenis, wie kijkt ernaar, wanneer wordt er gealarmeerd. Het incidentresponsplan beschrijft wat er gebeurt zodra dat alarm er is: wie wordt gebeld, welke stappen volgen, binnen welke termijn wordt er gemeld. Een beleid dat alleen registreert zonder door te verwijzen naar het responsplan levert op papier twee losse documenten op die in de praktijk naadloos op elkaar moeten aansluiten.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Mag ik het gedrag van medewerkers loggen?

Voor beveiligingsdoeleinden mag dat, mits het proportioneel is, u het vooraf hebt vastgelegd en de ondernemingsraad is betrokken. Gebruik het niet voor beoordeling.

Hoe lang moet ik logbestanden bewaren?

De wet noemt geen termijn. Zes tot twaalf maanden is gebruikelijk; in de zorg gelden via NEN 7513 aanvullende eisen.

Moet de escalatiekop naar het incidentresponsplan verwijzen?

Dat is de duidelijkste vorm. Zo hoeft u de stappen niet in twee documenten te herhalen en blijft er één plek waar de procedure staat.

Hoort de reikwijdte ook te benoemen wat er niet gelogd wordt?

Ja, dat voorkomt discussie achteraf over wat wel en niet onder het beleid valt, bijvoorbeeld bij privégebruik van apparatuur.

Is een aparte kop voor persoonsgegevens verplicht?

Niet wettelijk, maar wel verstandig zodra logbestanden herleidbaar zijn tot medewerkers. Dat raakt ook de AVG.