BgZ: PvE Netwerkbeveiligingseisen

Legacy code

M202

Status

Omschrijving

De GTK Leverancier MOET een security-by-default ontwikkelmethodiek gebruiken conform internationaal erkende best practices.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.25, A.8.28, A.8.29

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M224

Status

Omschrijving

High-risk applicaties MOETEN in een omgeving draaien, die gescheiden is van andere omgevingen (door virtualisatie, containers of dedicated server).

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M209

Status

Omschrijving

Alle systemen MOETEN gehardened zijn volgens een industriestandaard zoals CIS, STIG, Microsoft Security Baseline en afwijkingen MOETEN vastgelegd zijn.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.8, A.8.19

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M222

Status

Omschrijving

Secure Boot MOET geactiveerd zijn.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M219

Status

Omschrijving

Onnodige software en features MOETEN van systemen verwijderd worden en de installatie van nieuwe software en plugins MOET beperkt zijn.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M220

Status

Omschrijving

Credentials MOETEN beschermd zijn door op Windows systemen Credential Guard te activeren en cached credentials uit te zetten.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M221

Status

Omschrijving

Geïnstalleerde software MOET digitaal ondertekend zijn.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M230

Status

Omschrijving

Het beleid rondom software MOET de volgende eisen bevatten:

• Software wordt via een configuration management tool geïnstalleerd en geconfigureerd

• Software wordt regelmatig gecheckt op kwetsbaarheden

• Van alle geïnstalleerde software is een Software Bill of Material (SBOM) beschikbaar.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.9

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M225

Status

Omschrijving

Alle componenten MOETEN een moderne EDR/XDR tool met gecentraliseerd beheer hebben draaien waarbij de logging/alerts uit deze tooling actief worden bekeken en opgevolgd.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.7

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M226

Status

Omschrijving

Er MOETEN maatregelen geïmplementeerd zijn om software exploits te detecteren, blokkeren en mitigeren zoals Data Execution Prevention (DEP) en Address Space Layout Randomization (ASLR) op Windows systemen.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M227

Status

Omschrijving

Het patchbeleid MOET ten minste de volgende eisen bevatten:

• Security Updates worden maandelijks geïnstalleerd

• Kritieke security updates (CVSS 1≥ 8) worden binnen 72 uur geïnstalleerd.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.19

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M216

Status

Omschrijving

Het uitvoeren van ongeautoriseerde of malicious code MOET beperkt worden door:

• Alleen toegestane applicaties en scripts kunnen uitgevoerd worden

• Monitor op pogingen om dit te omzeilen.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M217

Status

Omschrijving

Attack Surface Reduction (ASR) rules MOETEN op Windows servers geactiveerd zijn.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M231

Status

Omschrijving

De GTK Leveranciers MOETEN een beleid hebben m.b.t. reguliere scans van protocolstacks en m.b.t. encryptie.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.89.4 | Voorwaarden GTK 9.4 (1.4)

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M210

Status

Omschrijving

Logdata MOET centraal en buiten het netwerkcomponent/server opgeslagen worden op zodanige wijze op dat deze niet door (de beheerders van) de componenten waaruit deze afkomstig is, gewijzigd kan worden.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M229

Status

Omschrijving

Het backup beleid MOET de volgende eisen bevattten:

• Alle data (inclusief logging) en configuratie worden gebackupped

• Backups worden dagelijks gecontroleerd of deze geslaagd zijn

• Backups worden tenminste 2x per jaar getest

• Backups worden Offsite bewaard

• Backups worden versleuteld (AES-256) opgeslagen

• Encryptie wordt toegepast voor transport.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.1310.4.4 | TTA - Logging 10.4.4

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M223

Status

Omschrijving

Logging MOET NEN7513 compliant zijn.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.159.1 | Voorwaarden Twiin Deelnemer 9.1 (2.4)

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M218

Status

Omschrijving

Gevoelige informatie MOET versleuteld worden volgens de volgende eisen:

• Pas kanaalversleuteling toe conform de eisen in 10.1.12

• Genereer private Keys uitsluitend in HSMs

• Wissel sleutels uit op een veilige manier

• Pas Bring Your Own Key toe bij leveranciers

• Gebruik quantum-safe encryptie

• Ondersteun crypto-agility.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.2410.2.7 | Generieke functie - Netwerkbeveiliging 10.2.7 10.4.7 | Network level security 10.4.7

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M203

Status

Omschrijving

De GTK Leverancier MOET beleid voor accountbeheer hebben met de volgende eisen:

• Accounts worden centraal beheerd

• Password policies zijn toegepast

• Multifactor authentication voor alle beheeraccounts zijn toegepast

• Principe Least Privilege voor alle accounts is gehanteerd

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M228

Status

Omschrijving

De rechten van User accounts MOETEN beperkt zijn zodanig dat het Operating Systeem niet gewijzigd kan worden:

• Activeer user account control (UAC) op Windows

• Onder Linux wordt het werken onder root geminimaliseerd door het account root niet in te zetten voor reguliere werkzaamheden.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.3

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M207

Status

Omschrijving

Accounts met verhoogde rechten MOETEN beveiligd zijn met:

• Multifactor Authentication

• Auditlogging

• Just-In-Time access

• Enforce password policies voor complexiteit, uniciteit en geldigheidsduur

• Forceer 4-ogen principe bij changes

• Zorg ervoor dat beheerders van een GTK geen onopgemerkte ongeoorloofde toegang tot zorgdata kunnen verschaffen of hebben en monitor hierop.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.2, A.8.510.4.4 | TTA - Logging 10.4.4

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M208

Status

Omschrijving

Het wachtwoordbeleid MOET de volgende eisen bevatten:

• Minimale passwordlengte voor accounts: 12+ characters

• Passwordcomplexiteit vereist

• Password mag niet eerder gebruikt zijn

• Account wordt vergrendeld na 5 verkeerde inlogpogingen

• Account kan alleen handmatig weer worden vrijgegeven

• Maximale geldigheidsduur van een password is 1 jaar

• Check op gelekte wachtwoorden.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M214

Status

Omschrijving

Het gebruik van accounts MOET de volgende eisen bevatten:

• Sessies verlopen na 15 minuten

• Accounts worden meteen disabled na uitdiensttreding

• Accounts worden na 30 dagen inactiviteit geblokkeerd.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M205

Status

Omschrijving

Het principe "least-privilege" permissie MOET toegepast worden.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M206

Status

Omschrijving

Het register van Windows systemen MOET beveiligd zijn tegen ongeoorloofde wijzigingen met ten minste de volgende maatregelen:

• forceer register permissie via Group Policies

• Monitor gevoelige registry keys (met een SIEM oplossing of via de eventlog).

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M201

Status

Omschrijving

De GTK Leverancier MOET door toepassing van voldoende beschikbaarheidsmaatregelen voor een beschikbaarheid zorgen die past bij de behoefte van de bediende zorgaanbieders, daarbij met name redundantie van systemen en datacenters meegewogen wordt. Per toepassing is er dan een gespecificeerde eis.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.14

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M215

Status

Omschrijving

Het netwerkverkeer tussen de de GTK's MOET gefilterd worden met de volgende eisen:

• Sta alleen inkomend/uitgaand verkeer van/naar bekende GTK's toe

• Zorg dat alle gepubliceerde DNS-records met relevantie voor Veilig Netwerk DNSSEC-ondertekend en valideerbaar zijn

• DNS clients checken valideren DNSSEC.

Vereiste

Rollen

Functie

Referenties

PvE | Netwerkbeveiliging 10.4.7 (TW-F-NB-050 en TW-F-NB-051)

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M213

Status

Omschrijving

Alle open poorten die niet voor het Veilig Netwerk noodzakelijk zijn MOETEN gefilterd worden.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.20, A.8.21PvE | Netwerkbeveiliging 10.4.7

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M211

Status

Omschrijving

Netwerk segmentatie MOET toegepast zijn waarbij de volgende eisen zijn meegenomen:

• Internet-facing netwerkcomponenten staan in een DMZ

• Netwerkzones zijn logisch gescheiden door firewalls

• ACLs hebben "deny by default" policies

• Isoleer zoveel mogelijk datastromen

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.22PvE | Netwerkbeveiliging 10.4.7

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M212

Status

Omschrijving

Intrusion detectie signatures MOETEN gebruikt worden om ongewenst verkeer te detecteren.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.20, A.8.21

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.080

Status

Omschrijving

GTK's in hun rol als DNS Server MOETEN er voor zorgen dat de name records behorende bij de hostnames van GTK’en zijn ondertekend volgens DNSSEC.

Vereiste

Rollen

Functie

Referenties

https://afsprakenstelsel.medmij.nl/asverplicht/mmverplicht/verantwoordelijkheden-core MedMij Core: core.dns.300

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.090

Status

Omschrijving

Elk GTK, in zijn rol als DNS resolver in het Domain Name System, MOET controleren of de ontvangen name records zijn voorzien van ondertekening volgens DNSSEC en valideert deze volgens DNSSEC. Indien deze controle en validatie niet beide slagen, ziet hij af van verbinding met de betreffende hostname.

Toelichting

Het gebruik van DNSSEC vermindert de kwetsbaarheid van het Domain Name System voor bijvoorbeeld DNS spoofing.

Vereiste

Rollen

Functie

Referenties

https://afsprakenstelsel.medmij.nl/asverplicht/mmverplicht/verantwoordelijkheden-core MedMij Core: core.dns.301 https://datatracker.ietf.org/doc/html/rfc5452#section-3 RFC5452: Sectie 3

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.020

Status

Omschrijving

Alle transacties in het kader van Twiin MOETEN zijn beveiligd met Mutual Transport Layer Security (mTLS).

Vereiste

Rollen

Functie

Referenties

https://datatracker.ietf.org/doc/html/rfc8705

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.040

Status

Omschrijving

Transacties MOETEN in het kader van Twiin worden versleuteld volgens TLS, zoals bedoeld in eis TW-F-NB-043.

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.030 / BgZ-2a-NS-03

Status

Omschrijving

GTK Verzender en GTK Ontvanger maken gebruik van TLS versies en -algoritmen die zijn geclassificeerd als beveiligingsniveau "goed" in de ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS), 2025-5 van het NCSC.

Zij MOETEN gebruik maken van de volgende cryptografische algoritmes:

• Certificate Verification: ECDSA, RSA en EdDSA*

• Key exchange: ECDHE* is afgewaardeerd van goed naar voldoende. Met X25519MLKEM768, SecP256r1MLKEM768, SecP384r1MLKEM1024 zijn er alternatieven, maar deze algoritmes zijn (relatief) nieuw en maken nog geen deel uit van de TLS standaarden. ECDHE moet daarom nog gebruikt worden.

• Bulk encryption: AES-256-GCM of ChaCha20-Poly1305

• Hash functions: SHA-512 of SHA-384 of SHA-256

Toelichting

Het is verplicht om alle algoritmen aan te bieden die in de genoemde richtlijnen als "goed" zijn geclassificeerd. Hiermee wordt er voor gezorgd dat wanneer onverhoopt een algoritme in veiligheidsniveau daalt er andere alternatieven overblijven van niveau goed.

*Deze algoritmen zijn afgewaardeerd naar beveiligingsniveau ‘voldoende’. Maar zijn geen (beschikbare) varianten die geclassificeerd is met beveiligingsniveau ‘goed’. Hierdoor is het noodzakelijk om ook deze algoritmen op het niveau ‘voldoende’ te gebruiken.

Vereiste

Rollen

Functie

Actor

GTK Ontvanger   GTK Verzender  

Referenties

https://www.ncsc.nl/transport-layer-security-tls/richtlijnen2025-05

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M204

Status

Omschrijving

TLS netwerkverkeer tussen GTK's MOET voldoen aan de volgende eisen:

• Aansluiten van alle componenten aan SIEM

• Inspecteer traffic ahv "Use cases"

• Gebruik uitsluitend PKIO-certificaten

• Gebruik CAA DNS-records

• Maak allow-list naar GTK's, op basis van certificaten

Vereiste

Rollen

Functie

Referenties

PvE | Netwerkbeveiliging 10.4.7 (TW-F-NB-042)

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.010 / BgZ-2a-NS-02

Status

Omschrijving

Om zich te kunnen authenticeren, MOETEN alle systemen betrokken bij transacties in het kader van Twiin een geldig PKIo-certificaat overleggen. Gebruikte PKIo-certificaten dienen te zijn uitgegeven onder de CA “Staat der Nederlanden Private Services CA – G1”. Deze omvatten:

• UZI-servercertificaat of

• PKIoverheid Private Services CA – G1 certificate

Toelichting

Het betreft de systemen in de rol van token-server en -client, notification-server en -client en resource-server en -client.

Vereiste

Rollen

Functie

Referenties

PvE | Netwerkbeveiliging Zie 10.4.7 | Network level security

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.060 / BgZ-2a-NS-05

Status

Omschrijving

Systemen die de geldigheid van het UZI-servercertificaat van de andere Systemen dienen te controleren, ZOUDEN MOETEN voldoen aan de verplichting van het Certification Practice Statement (CPS) UZI-register.

Vereiste

Rollen

Functie

Referenties

https://www.zorgcsp.nl/certification-practice-statement-cps Certification Practice Statement (CPS): Artikel 4.5.2 https://www.zorgcsp.nl/certificate-revocation-lists-crl-s

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

BgZ-2a-NS-06

Status

Omschrijving

GTK Verzender en GTK Ontvanger MOETEN de geldigheid van een PKIo-servercertficaat controleren op basis van de afspraken in het Certification Practice Statement (CPS) PKIoverheid.

Vereiste

Rollen

Functie

Actor

Referenties

https://cps.pkioverheid.nl/pkioverheid-cps-unified-v5.4.html Certification Practice Statement Policy Authority PKIoverheid Unified v5.4: Hoofdstuk 2

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.070

Status

Omschrijving

Systemen die de geldigheid van het PKIo-servercertificaat van de andere Systemen dienen te controleren, MOETEN dit volgens van de meest recent gepubliceerde Certificaten Revocatie Lijst (CRL) of via het Online Certificate Status Protocol (OCSP), minimaal ieder uur, doen.

Vereiste

Rollen

Functie

Referenties

https://cps.pkioverheid.nl/pkioverheid-cps-unified-v5.4.html Certification Practice Statement Policy Authority PKIoverheid Unified v5.4: Paragraaf 2.2

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M001

Status

Omschrijving

Het is AANBEVOLEN om een centraal loket in voor cybersecurityincidenten in te richten met een major impact voor alle Twiin Deelnemers.

Vereiste

Rollen

Functie

Toetsingscategorie

Niveau

Legacy code

M101

Status

Omschrijving

Elke Twiin Deelnemer MOET een Disaster recovery plan opstellen waarin is vastgelegd:

• welke partijen zijn essentieel voor de bedrijfsvoering

• Alternatieven voor leveranciers en distributiekanalen

• Communicatiekanalen naar Twiin Deelnemers

• Stappenplan voor herstel.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.5.30

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M102

Status

Omschrijving

De Twiin Deelnemer MOET het volgende contractueel vastleggen met haar leveranciers:

• Afspraken over handelen bij cyberaanval

• Clausules bij overname

• Duidelijke afspraken over de dienstverlening

• SLA afspraken (uptime, RPO/RTO)

• Afspraken over datasoevereiniteit

• Afspraken over een exit strategie (zie ook M103)

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M103

Status

Omschrijving

De Twiin Deelnemer MOET een Exit strategie opstellen om over te stappen naar een andere GTK Leverancier waarbij rekening gehouden is met:

• Een opzegtermijn die voldoende is om te migreren

• Logging, data en configuratiegegevens worden pas verwijderd na succesvolle migratie

• Een onafhankelijke partij controleert of alle data succesvol gemigreerd is

Vereiste

Rollen

Functie

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M104

Status

Omschrijving

Alle persoonsgebonden accounts MOETEN met Multi Factor Authentication (MFA) beveiligd zijn.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.5

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M105

Status

Omschrijving

De Twiin Deelnemer MOET een proactief beveiligingsbeleid voeren waarin de volgende eisen zijn opgenomen:

• Systemen worden jaarlijks gepentest volgens de MIAUW-standaard met opvolging van de aanbevelingen.

• Gebruikers en beheerders krijgen periodieke awareness training.

Vereiste

Rollen

Functie

Referenties

https://github.com/brennodewinter/Informatiebeveiligingsonderzoek

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M106

Status

Omschrijving

Het is AANBEVOLEN om een Data Loss Prevention (DLP) tool uit te rollen.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.12

Toetsingscategorie

Niveau

Legacy code

M107

Status

Omschrijving

Het is AANBEVOLEN om jaarlijks een awareness campagne te organiseren.

Vereiste

Rollen

Functie

Toetsingscategorie

Niveau

Legacy code

M108

Status

Omschrijving

Toegang tot web-based content MOET beperkt worden met de volgende maatregelen:

• Gebruik een oplossing om web-verkeer te filteren op basis van categorieën, reputatie en content type

• Blokkeer onveilige website bij de gateway (proxy).

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.23

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

M109

Status

Omschrijving

De Twiin Deelnemer MOET een beleid hebben m.b.t. reguliere scans van protocolstacks en m.b.t. encryptie.

Vereiste

Rollen

Functie

Referenties

NEN7510-1:2024 A.8.24, A.8.8 9.4 | Voorwaarden GTK 9.4 (1.4) Netwerk

Toetsingscategorie

Toetsingsvorm

Niveau

Legacy code

5.050 / BgZ-2a-NS-04

Status

Omschrijving

GTK Verzender en GTK Ontvanger MOETEN minimaal ieder uur door middel van CRL of OCSP de geldigheid van de certificaten van systemen waarmee transacties plaatsvinden controleren.

Vereiste

Rollen

Functie

Actor

Toetsingscategorie

Toetsingsvorm

Niveau