NIS2 en geprivilegieerde toegang: wat de auditor u zal vragen te tonen

Bij een conformiteitsaudit brengt één eenvoudige vraag een organisatie vaak in moeilijkheden: "Wie logde vorige dinsdag in met het beheeraccount van de productieserver, en wat heeft hij gedaan?" Als het antwoord stilte is, gaat het niet langer alleen om een technisch probleem. Het wordt een tekortkoming in de conformiteit.

Een scenario dat we regelmatig tegenkomen

Neem een middelgrote organisatie die onder NIS2 valt sinds de inwerkingtreding van de Belgische wet van 26 april 2024. Haar IT lijkt in goede staat: firewall up-to-date, antivirus uitgerold, back-ups getest. Toch toont het onderzoek van de geprivilegieerde toegang een klassiek beeld.

Het "admin"-account van het domein wordt door drie interne technici gedeeld. Het wachtwoord van een industriële installatie werd sinds de installatie nooit gewijzigd. Twee onderhoudsfirma's loggen in via VPN met inloggegevens die jaren geleden per e-mail werden doorgestuurd, waarvan één voor een beëindigd contract. En geen enkele opname toont wat er tijdens die verbindingen gebeurde.

Niets daarvan is spectaculaire nalatigheid. Het is de gewone opeenstapeling van praktische beslissingen door de jaren heen. Maar voor een auditor is elk van die elementen een vaststelling.

Wat de tekst zegt

De NIS2-richtlijn legt in artikel 21, lid 2, een basis van risicobeheersmaatregelen op. Verschillende ervan raken rechtstreeks aan geprivilegieerde toegang: het beleid inzake toegangscontrole en beheer van activa (punt i), het gebruik van multifactorauthenticatie (punt j), de beveiliging van de toeleveringsketen, met inbegrip van de relaties met dienstverleners (punt d), en de incidentenbehandeling (punt b), die veronderstelt dat men kan reconstrueren wat er gebeurd is.

In België vertaalt het CyberFundamentals-kader (CyFun) van het Centrum voor Cybersecurity België die vereisten in concrete maatregelen, waarmee een organisatie kan aantonen dat ze passende en evenredige maatregelen heeft genomen. De norm ISO/IEC 27001:2022 dekt dezelfde thema's, met name via haar maatregelen voor geprivilegieerde toegangsrechten en logging.

Wat de auditor wil zien

Een auditor neemt geen genoegen met een geschreven beleid. Hij vraagt verifieerbare elementen. In de praktijk komen bijna altijd vijf bewijsstukken terug:

• een inventaris van de geprivilegieerde accounts, telkens met een benoemde houder;
• het bewijs dat MFA wordt toegepast op die accounts, en niet alleen voor e-mail is ingeschakeld;
• een spoor van de beheersessies: wie, op welk systeem, wanneer, en idealiter wat er werd gedaan;
• een proces voor dienstverleners: toegang beperkt in de tijd, ingetrokken bij het einde van het contract, zonder gedeeld wachtwoord;
• een periodieke herziening van die rechten, gedateerd en gedocumenteerd.

Het punt dat het vaakst ontbreekt, is het derde. Systeemlogs tonen soms dat er een verbinding was, zelden wat er daarna gebeurde. En net die informatie ontbreekt op de dag dat een incident moet worden geanalyseerd.

Het bastion als structureel antwoord

Om die tekortkomingen coherent weg te werken, is de meest doeltreffende oplossing om alle beheerstoegang via één controlepunt te laten verlopen: een bastion voor geprivilegieerde toegang, of PAM. Gebruikers melden zich daar aan met een tweede factor, krijgen enkel toegang tot de systemen die bij hun rol horen, en elke sessie wordt opgenomen.

Die tools waren lang voorbehouden aan grote organisaties, vanwege de licentiekosten. Open source oplossingen zoals Vauban veranderen dat: de code is auditeerbaar, de tool draait op de eigen infrastructuur en het budget gaat naar de implementatie in plaats van naar de licentie.

De tool volstaat op zich niet. Eerst moet men weten welke accounts beschermd moeten worden, bepalen wie tot wat toegang heeft, en daarna de herziening van de rechten organiseren. Maar eens hij in gebruik is, levert hij in één keer meerdere bewijsstukken die de auditor verwacht.

Wat u moet onthouden

Geprivilegieerde toegang concentreert het risico: daar zoekt een aanvaller naar, en daar kijkt een auditor eerst naar. Voor een NIS2- of CyFun-audit is de nuttige vraag niet "hebben we een toegangsbeleid?", maar "kunnen we met bewijzen aantonen wie toegang had tot onze kritieke systemen en wat hij er deed?".

Cyber Praxis voert CyFun-audits uit en begeleidt de invoering van die controles, van de inventaris van toegangen tot het bastion.