Door Anoniem: NEN7510

Door Anoniem: Wat heb je zelf al opgezocht? De eerste hit als ik via Google ga zoeken op “cryptografische eisen inrichting epd”:

https://2019.rejo.zenger.nl/files/70113.pdf

Het document bevat zo te zien ook generieke eisen die je zelf kunt vertalen naar cryptografische building blocks. Welke vragen blijven precies over na je eigen zoektocht?

Door Anoniem:
Welke cryptografische maatregelen moet je volgens de NEN7510 nemen?

Door Anoniem:
Welke cryptografische maatregelen moet je volgens de NEN7510 nemen?

Door Anoniem:
Ik kan mij voorstellen dat wanneer dingen over het web gaan bijvoorbeeld dat je heel specifiek verschillende keuzes kunt maken. Mag ik zelf kiezen welke dat zijn? Of zijn er vanuit de overheid ook specificaties dat ik bijvoorbeeld expliciet TLS 1.3 moet gebruiken bijvoorneeld en geen 1.0 etc.

En op welke levels/domeinen raden jullie mij aan om cryptografische maatregelen te nemen.

Door Anoniem:
Welke cryptografische maatregelen moet je volgens de NEN7510 nemen?

Door Anoniem: Lees je studieboek , en vraag advies aan je studiebegeleider.

Door Anoniem:
Zie ISO 27001/27002.

Door Anoniem: Generatie kloofje, ik vind het knap van je als je ze kan bereiken op school.

Door Anoniem:
Vergat ik te melden:
Het doet me denken aan de oude grap van de blauwe dns records die op zijn. Het hulpje wordt er op uitgestuurd. :P

Houd je hier maar aan, dan zit je m.i. safe: https://www.ncsc.nl/documenten/publicaties/2021/januari/19/ict-beveiligingsrichtlijnen-voor-transport-layer-security-2.1. De initiële vraag vermeldt trouwens “juridisch”. Wat die wettelijke eisen zijn wordt hiermee niet beantwoord, maar daar ben je zo te zien ook niet naar op zoek? Wat bedoel je trouwens met “levels”?

Door Anoniem:Dan heb je nog richtlijnen maar je hebt geen eenduidig procedure/inrichting volgens mij van als je dat volgt dan ben je er.
Klopt dat?

Door Overcome:
Ja, dat klopt. Het heeft voornamelijk te maken met het idee dat een "one size fits all" niet bestaat in informatiebeveiliging, doordat het threat model per situatie verschillend is, en ook nog eens permanent aan verandering onderhevig is. Dat is ook de reden dat je v.w.b. informatiebeveiliging permanent in een PDCA cyclus zit. Zie b.v. het NIST cyber framework dat hier een mogelijke invulling aan geeft: https://www.nist.gov/cyberframework.

De vraag is: waar beveilig je je tegen? Script kiddies? State-sponsored hackers? Netwerkaanvallen? Fysieke aanvallen? Integriteitsproblemen? Onbetrouwbare tussenpersonen? Je zult je threat model duidelijk moeten krijgen, met in het achterhoofd dat cryptografische maatregelen één klasse is van vele klassen met mitigerende maatregelen die getroffen kunnen worden. Toegegeven: het is voor veel requirements die je opstelt min of meer een vereiste om goede crypto te hebben, maar zeker niet voor alle maatregelen. Ik weet te weinig van wetgeving af om te zeggen dat specifieke cryptografische maatregelen vanuit een juridisch oogpunt genomen moeten worden. Wat ik wel weet is dat de wetgever snel vervalt in termen als "beheerste uitvoering van bedrijfsprocessen". Daar kan crypto zeker invulling aan geven. De recommended practices (zie de NCSC URL die ik eerder gaf) kunnen vervolgens sterk sturend zijn.

Let erop dat technische maatregelen zoals cryptografische algoritmen, sleutellengten en protocollen slechts het topje van de ijsberg zijn. Denk aan het PPT model: People, Processes, Technology. Je kunt je blindstaren op de techniek, maar dat is vaak maar 10% - 20% van de uiteindelijke oplossing. Alles kan om zeep worden geholpen door onkundige gebruikers, slechte awareness, dubbelzinnige of onwerkbare processen, afwezige documentatie, legacy ellende etc. Prima, die aandacht voor de juiste crypto, maar meer dan een puzzelstuk in het grote geheel is het niet.

Laatste opmerking: stel een threat model van het EDP op, en bekijk welke threats gemitigeerd kunnen worden door welke cryptografische oplossingen. De eerste Google hit geeft me https://www.researchgate.net/publication/234822392_Security_in_the_dutch_electronic_patient_record_system, dat een begin kan zijn. En daar zul je het mee moeten doen :-).