Plone-websites

16 Pages·2017·0.21 MB·Dutch

Sjabloon gap analyse standaard beveiligingsmaatregelen (Plone-websites)

Applicatie: Plone, cms voor de Nuffic-websites Nuffic.nl, Studyinholland.nl, Wilweg.nl, de Neso-websites, Hollandalumni.nl, Nudirect, Levenlangleren en Transfer.
Datum:
Ingevuld door: Hanneke Clement 22 april 2013 ( versie 0.1)
ICT: 4 juni 2013 (versie 0.2)
Hanneke Clement:11 juli 2013 (tevens OWASP beantwoord) (versie 0.3)
ICT: 16 juli 2013 (versie 0.4)
Hanneke Clement: september (versie 0.5)
Hanneke Clement: 7 oktober (versie 0.6)
ICT: 11 november 2013 (versie 0.7)
Hanneke Clement: 29 september (versie 0.9)

Toelichting: de nummers verwijzen naar het document “Baseline van informatiebeveiligingsmaatregelen”.
De kolom “voldoet Ja/Nee” wordt ingevuld door de functioneel beheerder. ICT doet de eindbeoordeling hiervan

*De maatregelen bij 3 zijn voor de intern gehoste applicaties al getroffen. Vandaar dat bij 3 alleen externe hostingpartijen moeten aangeven in hoeverre zij voldoen aan de
eisen. De overige maatregelen zijn grotendeels voor intern en extern gehoste applicaties.

Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
2.1 Functiescheiding voor medewerkers die werken aan Nvt
applicaties/activiteiten die betrekking hebben op Er is geen sprake van uitvoering, controle en fiattering
informatieverwerking. Dit houdt in dat taken betreffende de
uitvoering, controle en fiattering niet door dezelfde persoon
worden uitgevoerd. Functiescheidingen zijn het uitgangspunt in
de procesbeschrijvingen in MAVIM.
3.2* Externe hostingpartij: Ja Alle ruimten bij Intermax zijn TIER 3 locaties
Ruimten met ICT infrastructuur zijn afgeschermd door
toegangscontrole, zodat alleen bevoegd personeel toegang kan
krijgen.
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 1
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
3.3* De externe hostingpartij heeft maatregelen getroffen om de Ja Zie 4.15
serverruimte te beveiligen tegen calamiteiten. DC Rotterdam-Weena
Ons datacenter Rotterdam-Weena is gelegen op de tweede verdieping
van Gebouw Weena en is voorzien van de laatste nieuwe technieken,
waaronder:
 100m2 raised computervloer, gekoeld volgens ‘cold corridor’ principe met
ruimte voor 48 19” racks.
 Afgeschermde colocatie ruimte die 24x7 uitsluitend toegankelijk is voor
geautoriseerde klanten.
 Bewaking en beveiliging op drie niveau’s: door middel van proximity
readers, camera’s en digitale codesloten op 19” racks. Bovendien buiten
kantoortijden bewakingspersoneel voor de bewaking in en om het gebouw.
Beveiligingsniveau volgens BORG klasse 3.
 Redundante Uniflair 3x 180KW underflow koelinstallatie met
luchtbevochtigingssysteem. De aanvoertemperatuur wordt gereguleerd
tussen 25 en 26 graden Celcius bij een relatieve luchtvochtigheid van 43%
(+/- 5%).
 Parallel redundante MGE nobreak UPS installatie van 120kVA,
aangesloten op 3x 315 Amp. Enecovoeding met E.on gecertificeerd groene
stroom.
 Cummins 227kVA dieselelectrische noodstroom aggregaat,
volautomatisch geschakeld bij stroomuitval. Autonome draaitijd zonder
bijtanken: circa 12 uur bij huidige belasting.
 Volautomatische Kidde blusinstallatie met nietschadelijk FM200 Oxyreduct
blusgas, voorzien van optisch VESDA (Very Early Smoke Detection)
systeem met aspiratiesysteem.
 Automatisch 24x7 melden alarmeringssysteem op alle kritische
componenten van het netwerk, servers, services, koeling, stroom
en noodstroom.
 Eigen 24x7 storingsteam met een maximale responsetijd van 30 minuten
tijdens en maximaal 4 uur buiten kantoortijden.

DC Rotterdam-Spaanse Kubus (R-iX)
Het tweede datacentrum van Intermax is enkele kilometer verderop in Rotterdam
gesitueerd. Dit DC werd in november 2009 nieuw opgeleverd en werd ontwikkeld
in samenwerking met de Rotterdam Internet eXchange en het
Ontwikkelingsbedrijf Rotterdam.

In dit DC heeft Intermax een eigen ‘cage’. Dit is een volledig afgeschermd
gedeelte in een ruimte van totaal 700m2. Een overzicht van de faciliteiten:
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 2
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
 700m2 gecoate computervloer, gekoeld volgens ‘hot corridor’ principe.
Hierin is een aparte cage van Intermax met ruimte voor 40 19” racks.
 Afgeschermde en apart bewaakte ruimte die 24x7 uitsluitend toegankelijk is
voor geautoriseerde klanten.
 Bewaking en beveiliging op vijf niveau’s: door middel van proximity readers,
biometrische toegangscontrole, camera’s, aparte toegangscontrole op de
Intermax cage en digitale codesloten op alle 19” racks. Bovendien
24x7 bewakingspersoneel voor de bewaking in en om het gebouw. Ook zijn
trilalarmen op alle wanden van kritieke ruimten aangebracht.
Beveiligingsniveau volgens BORG klasse 4.
 Redundante Kyoto koelinstallatie (gebaseerd op vrije koeling tot een
buitentemperatuur van 22 graden) met luchtbevochtigingssysteem en
backup koelsysteem op basis van DX (met R407C koudemiddel). De
temperatuur wordt gereguleerd tussen 24 en 26 graden Celcius bij
een relatieve luchtvochtigheid van 50% (+/- 5%).
 Parallel redundante nobreak UPS installatie, aangesloten op een 1 MW
Enecovoeding met gecertificeerd groene stroom. De A-feed is voorzien van
UPS, de B-feed is short-break.
 Redundante (N+1) SDMO 500kVA dieselelectrische noodstroom
aggregaten, volautomatisch geschakeld bij stroomuitval. Autonome draaitijd
zonder bijtanken: circa 12 uur bij huidige belasting. Beschikbare
dieselvoorraad is maximaal 15.000 liter.
 Volautomatische Firepro blusinstallatie met nietschadelijke aerosol,
voorzien van optisch VESDA (Very Early Smoke Detection) systeem door
middel van aspiratie.
 Automatisch 24x7 melden alarmeringssysteem op alle kritische
componenten van het netwerk, servers, services, koeling, stroom
en noodstroom.

3.4a* Externe hostingpartij: Ja Intermax: Alle ruimten zijn TIER 3 locaties
Apparatuur is zodanig geplaatst en beveiligd dat de risico’s van
gevaren van buitenaf en de kansen op gebruik door
ongeautoriseerde personen minimaal zijn.
3.4b* Externe hostingpartij: Ja
Het plaatsen van computer apparatuur kan alleen worden
uitgevoerd door medewerkers van de technische
beheerorganisatie, volgens voorschriften van fabrikanten.
3.5a* Externe hostingpartij: ja
Apparatuur moet volgens de aanwijzingen van de fabrikant
onderhouden en gerepareerd worden, door bevoegd
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 3
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
onderhoudspersoneel onder toezicht van medewerkers van de
technische beheersorganisatie
3.5b* Externe hostingpartij: Ja Overigens: zover ik weet is noch de Nuffic-server noch Plone bedrijfskritisch. Met opmerkingen [HC1]:  Hanny Kraa op de hoogte
Om de werking van bedrijfskritische apparatuur te waarborgen gesteld.
wordt er gebruik gemaakt van onderhoudscontracten en reserve
Met opmerkingen [sb2]: De toegang tot SOL werkt via de
apparatuur
Nuffic-server dus in die zin zijn de server en Plone wel
3.6 * Voordat apparatuur en media worden afgevoerd dienen de nvt bedrijfskritisch.
opgeslagen gegevens te worden verwijderd. Dit dient te worden
uitgevoerd of goedgekeurd door P&C/ICT. Met opmerkingen [HC3]: Wie stelt dit vast? Ik zou het ook
3.8* Externe hostingpartij: Ja Intermax: UPS + generator moeten weten en het is mij niet bekend. Sol is autonoom
bereikbaar.
Bedrijfskritische apparatuur (servers) zijn aangesloten op een
noodstroomvoorziening Met opmerkingen [sb4]: HC geadviseerd om SLA aan SOL
4.4 De informatie op opslagmedia en in applicaties dient gedurende Ja De bewaarperiode is maximaal 3 jaar en dit geldt alleen voor nieuws. Bij keuze team te geven en aan hen toe te lichten hoe de SLA
de gehele bewaarperiode toegankelijk te blijven (leesbaarheid voor een upgrade van het cms kan ofwel een update van het cms worden gemonitord wordt. Het SOL team kan er dan bij HC op terug
komen als ze van mening zijn dat de beschikbaarheid van de
van zowel media als gegevensformaat). Dit om te voorkomen dat gedaan of een contentmigratie, waarbij backward compatibiliteit een eis is.
website verbeterd zou moeten worden ivm beschikbaarheid
de informatie verloren gaat als gevolg van toekomstige
van SOL.
technologische veranderingen, zoals bij veranderingen in Publicaties worden als pdf bewaard. Pdf is tot nu toe een standaard
gegevensformaat, nieuwe releases etc. bestandsformaat.
4.5a Om te voorkomen dat er gegevens verloren gaan na een Ja Intermax maakt backups op verzoek van de Nuffic.
calamiteit worden er regelmatig back-ups gemaakt.
4.5b Er zijn procedures beschreven voor back-ups en recovery Ja Intermax maakt elke dag van de week een zogenaamde incrementele kopie
schema’s. van alle data die op uw servers staan en eens in de dertig dagen een volledig
nieuwe backup van alle data. Dit gebeurt op meerdere speciaal daartoe
ingerichte servers op harde schijven. Hierbij wordt gebruik gemaakt van Quest
Netvault software en VeeAm.

De data wordt daarna gekopieerd naar een ander datacenter. Bovendien worden
zogenaamde snapshots van het opslagsysteem gemaakt als derde
veiligheidsmaatregel. Backups worden indien contractueel afgesproken
kruislings tussen twee datacentra uitgewisseld en opgeslagen.

Er worden op regelmatige basis en voor afnemers op verzoek zogenaamde
‘restore tests’ gedaan om te zien of de backups nog de vereiste kwaliteit
en integriteit hebben. Vaak gebeurt dit regelmatiger, aangezien veel klanten om
het terugzetten van data vragen. Dit is de beste test om de juiste werking van
het platform te controleren. Het backup platform wordt dagelijks gecontroleerd
op juiste werking en foutmeldingen worden behandeld als incidenten.

Standaard wordt data-at-rest niet versleuteld, tenzij anders overeengekomen.
Deze voorzieningen voor data-encryptie zijn wel aanwezig in het netwerk, maar
dienen apart te worden afgenomen als dienst.
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 4
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.

4.5c Waar data op de werkstations moet worden opgeslagen is een Nvt
voorziening getroffen voor het maken van back-ups.
4.5d Bij hoge uitzondering komt een backup van een lokale applicatie Nvt
wel op een werkstation. De functioneel beheerder is
verantwoordelijk voor deze backup.
4.5e Back-ups zijn versleuteld. De bewaarlocatie van back-ups ja nee Intermax: ja, Backups zijn op 3 locaties en kruislings opgeslagen
bevindt zich buiten de locatie waar de verwerking van gegevens Nee, Backups zijn niet versleuteld.
plaatsvindt
4.7 Voor het gebruik en beheer van de applicaties en ICT- ja Er is een Plone-handleiding beschikbaar van elke Plone-website. Naast de
voorzieningen dienen adequate instructies/handleidingen specifieke handleiding gebruiken we de basis-handleiding op [knip]
beschikbaar te zijn.
4.8a Indien de Nuffic maatwerk laat ontwikkelen, draagt zij er zorg nee Plone is open source.
voor dat de broncode op afdoende wijze technisch wordt
beschermd tegen inbreuk van derden.
4.8b De toegang tot de broncode behoort te worden afgeschermd en ja Alleen onze webontwikkelaar GWW kan op ons verzoek aanpassingen doen in
de actualisatie ervan kan alleen worden uitgevoerd door daartoe Plone.
geautoriseerde personen.
4.8c De broncode dient niet in de productieomgeving aanwezig te zijn. Nvt

4.13a Voor inlogprocedures (gebruikersnaam en wachtwoorden) is het ja Alle verkeer vanaf de loginpagina wordt verstuurd over HTTPS
gebruik van beveiligde verbindingen verplicht. Gebruikersnaam
en wachtwoorden mogen enkel verzonden worden door ze Uitzondering:
tijdens de gehele transportketen over internet te beveiligen met  Neso Indonesia, waarvan de Nuffic de hoofd-domeinnaam niet beheert en
een actueel, sterk versleutelingsalgoritme. Voor webverkeer is dit waarvoor de Nuffic dus ook geen https-certificaat kan aanschaffen.
HTTPS (certificaat, TLS, minimale CSR sleutellengte van 2048  Overige Neso-websites (SSLlabs A score voor Russia, Mexico en Brazil,
bits). overigen hebben A-score), LLL (SSLlabs scanwaarde A) en Holland alumni
(SSLlabs scanwaarde A zijn geheel onder https Met opmerkingen [HC5]: Nieuwe instellingen bij Intermax
leiden tot scanwaarden A.

Probleem bij https in China: de website Neso China inclusief het inloggen voor
editten en maken checklist, werkt via https, waardoor de site instabiel is
geworden (schijnt censuur Chinese overheid te zijn).

4.13b Bovendien dienen onbeveiligde verbindingen te worden ja Dat geldt voor al het verkeer vanaf het moment van inloggen.
geblokkeerd of omgeleid naar een beveiligde verbinding om
onbeveiligd transport uit te sluiten.
4.14 Het installeren van zogenaamde ActiveX Controls is voor de n.v.t. er is geen sprake van ActiveX controls.
gebruikers niet mogelijk zonder dat dit is vrij gegeven door de
netwerkbeheerder. Voor de vrijgave van een ActiveX control
dient
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 5
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
de wijzigingsprocedure te worden doorlopen. Alleen trusted of
signed ActiveX controls van gerenommeerde leveranciers komen
in aanmerking voor installatie na beoordeling door de technische
beheerorganisatie op beveiliging en operationele aspecten.
4.15a Het Nuffic LAN is afgeschermd van het internet door een firewall nvt
die zo geconfigureerd is dat alleen de vereiste protocollen
toegestaan zijn. Er wordt gebruik gemaakt van een router met
Network Address Translation.
4.15b Extern gehoste systemen bevinden zich ook achter een firewall. Ja
Een beschrijving hiervan aanleveren.
Zie:
Centraal wordt al het in en uitgaande http- en smtp-verkeer dat door onze
centrale Fortigate cluster loopt gecontroleerd op de aanwezigheid
van bovenstaande bedreigingen. Waar nodig wordt het verkeer geschoond
van bedreigingen die de continuïteit van de dienstverlening in gevaar
zouden kunnen brengen. Dit biedt geen 100% veiligheidsgarantie, maar kan wel
het risico op dataverlies en integriteitsverlies danig beperken.
4.15c Het initiëren van verbindingen door derden, rechtstreeks naar Ja
systemen binnen het LAN, is niet toegestaan. Denk hierbij
bijvoorbeeld aan programmatuur voor VOIP, remote desktop of
bestandsuitwisseling.
4.15d Alle systemen die rechtstreeks benaderbaar moeten zijn door Nvt
systemen van buiten het Nuffic netwerk (LAN) zijn in een
afgeschermde zone geplaatst, de DeMilitarized Zone. Systemen
die in de DMZ staan zijn dus niet veilig om informatie in op te
slaan!
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 6
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
4.16 Systeem beheertaken mogen alleen worden uitgevoerd door de ja Intermax is de preferred externe hostingspartij van de Nuffic
technische beheersorganisatie, met voldoende gekwalificeerde
systeembeheerders.
4.17 Het beschikbaar zijn van security updates en security ja Dit is in overleg met Wanne en Jasper een maandelijkse update geworden,
aanbevelingen van de fabrikant moeten beiden actief worden waarbij hotfixes altijd meteen worden uitgevoerd.
gemonitord door de technische beheerorganisatie en op redelijke
termijn worden geïmplementeerd. Het bovenstaande geldt
uiteraard ook voor extern geplaatste systemen.
4.18 Bij extern gehoste systemen is de externe technische ja De Security Manager kan een verzoek doen om een rapportage.
beheersorganisatie belast met de uitvoering van de beveiliging
en dient hierover periodiek te rapporteren aan de Er is een afspraak tussen Intermax en Wanne de Kler waarbij de laatste updates
Proceseigenaar en de Security manager. Periode in overleg, krijgt over security patches e.d..
tenminste per kwartaal.
4.19 Een medewerker meldt security incidenten en inbreuken ja Als Intermax een melding stuurt, stuurt de functioneel beheerder van Plone die
incidenten (waaronder inbreuken op de beveiliging van door aan Wanne en Jasper. Afgesproken met Intermax.
persoonsgegevens) zo spoedig mogelijk en tenminste op de dag
van ontdekking bij de Proceseigenaar en de Security Manager.
De Security manager registreert de incidenten. De security
incidenten worden afgehandeld en dienen als input voor de
incident-rapportages.

5.1a Voor interne gebruikers: ja Aan- en afmeldingen worden uitgevoerd op basis van het formulier in/uit dienst.
Als het gebruikers account geen netwerk account is, hoe is dan De identiteit van de aanvrager is op basis van het e-mailadres.
de procedure geregeld voor het aanmaken en
verwijderen/wijzigen van accounts bij in- en uitdiensttreding en bij
functiewijziging? En hoe wordt de identiteit vastgesteld van de
aanvrager?
5.1b Voor extern personeel wordt voor het definiëren en toekennen ja Aan- en afmeldingen worden uitgevoerd op basis van het formulier in/uit dienst
van bevoegdheden een overeenkomstige procedure als voor het van HRM en op basis van verzoeken voor Neso-collega’s gedaan door
eigen personeel toegepast. medewerkers van Positionering.
De identiteit van de aanvrager is op basis van het e-mailadres. Een e-mailadres
is altijd persoonlijk dus geen [email protected].

Neso en Nuffic websites: er wordt alleen een account aangemaakt (zowel in de
Active Directory als in Plone) voor een persoonlijk account van de medewerker
in kwestie. Een voorbeeld van een e-mailadres waarop geen account wordt
aangemaakt is counsellor@nesox,org of [email protected].

Holland alumni Neso Alumni Officers hebben toegang tot een (beperkt) admin
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 7
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
account waarmee ze report news en events kunnen gebruiken. Het in/uit dienst
formulier is leidend bij het bepalen wie als Neso alumni officers werkzaam zijn.
5.2a Per informatiesysteem wordt door de functioneel beheerder een ja Super users maken nieuwe gebruikers aan. De functioneel beheerder kan dit
Maxtrix gemaakt en beheerd. In de matrix worden de functies en ook.
rollen met elkaar in verband gezet. Deze moeten gelijklopen met Er zijn een matrixen.
de functies en rollen die zijn vastgelegd in de AO van de afdeling
of in de procesbeschrijvingen. De matrix is zo de leidraad en het 1.1 Matrix Nuffic-websites
controlemiddel om de gevraagde autorisatie wel of niet toe te
kennen. De matrix wordt goedgekeurd door de Proceseigenaar. Matrix HAn
De matrix mag alleen worden aangepast na goedkeuring van de

Proceseigenaar.
De rol van de administrator van een applicatie Er zijn geen administrators die beheerderrechten heeft over de inrichting.
(netwerkbeheerder,
databasebeheerder en functioneel beheerders) moet duidelijk
worden omschreven.
Een administrator is een beheerder die beheerderrechten
heeft over de inrichting van het systeem.
5.2b De administrator (netwerkbeheerder, databasebeheerder en ja De functioneel beheerder legt alle issues vast in Lighthouse, de rapportagetool
functioneel beheerders) moet goed zijn geïnstrueerd en zijn/haar met GWW. Evt. aanpassingen worden verwerkt in de Plone
handelen moet goed worden gedocumenteerd. gebruikershandleiding. Andere rollen zijn nvt.
5.3a Om deze risico’s (van verbindingen met derden) te beperken nvt
wordt gebruik gemaakt van beveiligde verbindingen en worden er
logboeken bijgehouden.
5.3b De firewall houdt een logboek bij over een periode van circa twee ja
maanden
5.4 Systeemdocumentatie wordt beschermd tegen ongeautoriseerde Technische en functionele documentatie wordt beheerd door zowel Nuffic als
toegang want deze documentatie kan gevoelige gegevens GWW. Deze documentatie wordt afgeschermd door een systeem met gedeelde
bevatten. Systeemdocumentatie wordt opgenomen in een rechten. Software is inline gedocumenteerd en vanwege de aard van de
afgeschermd gedeelte van het netwerk. onderliggende objectendatabase Zope, is daarmee het datamodel beschreven.
Alle software wordt onderhouden vanuit een afgeschermde Gitlab omgeving.

5.5 Accounts voor het netwerk en applicaties worden, na de laatste ja Zover het hier Accounts voor Plone betreft: de Procedure voor In- en
werkdag van de medewerker, geblokkeerd. Na maximaal één uitdiensttreding en functiewijzigingen is van toepassing.
maand wordt het account verwijderd. De Procedure voor In- en
uitdiensttreding en functiewijzigingen is van toepassing.
5.7.1 Een wachtwoord wordt beschouwd als vertrouwelijke informatie ja De functioneel beheerder en super users kunnen wachtwoorden resetten, maar
en mag niet gedeeld worden met anderen. Om te voorkomen dat niet inzien noch aanpassen.
wachtwoorden bekend raken of op andere wijze worden
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 8
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
gecompromitteerd zijn de onderstaande maatregelen getroffen. Team ICT adviseert voor interne gebruikers bij voorkeur via Surfconnect gebruik
te maken van de AD. Deze richting gaan we voor de Informatiebeveiliging op.
Als dit voor interne gebruikers via LDAP gaat, dan moet de Nuffic iets regelen
met Surf en intermax waarbij een situatie zoals bij Nudirect gaat gelden. Wordt
door HC ingepland voor 2014.

5.7.1a Wachtwoorden dienen tenminste iedere 6 maanden vervangen nee Bij logins van webapplicaties is dit niet gewoonlijk.
te
worden. Zie 5.7.1d
5.7.1b Bij wijziging van het wachtwoord wordt gecontroleerd of het oude nee Bij logins van webapplicaties is dit niet gewoonlijk.
en nieuwe wachtwoord niet gelijk zijn.
5.7.1c Eerder gebruikte wachtwoorden zijn niet toegestaan (met een Nee Bij logins van webapplicaties is dit niet gewoonlijk.
historie van minimaal tien).
Zie 5.7.1d
5.7.1d Wachtwoorden zijn minimaal 8 tekens lang. nee Dit is wel een advies, maar geen eis.

Twitter en Facebook accepteren vanaf 6 tekens. Social media login is essentieel
voor HAn/Career, dus zij zullen dit blijven aanbieden.
Nieuwe concept baseline geeft aan dat login mogelijkheden via social media aan
Security manager voorgelegd dienen te worden.

Toelichting Holland alumni: Alleen geregistreerde gebruikers (gebruikerstypen
internationale studenten, alumni, DHEI en HAA) kunnen na inlog de
databasefunctionaliteiten benutten. Voor overige gebruikers is dit afgeschermd.
Ingelogde gebruikers kunnen via ‘in de database zoeken’ en via de database
een bericht sturen naar maximaal 5 databaserecords tegelijkertijd. Het versturen
van dit bericht verloopt via het systeem, persoonlijke e-mailadressen zijn
afgeschermd en dus niet inzichtelijk voor andere geregistreerden.

De Nuffic gaat in 2014 voldoen aan het Nuffic beveiligingsbeleid voor de Plone-
websites. 
We zullen dit procedureel oplossen door Nuffic-medewerkers hun password te
laten resetten en hen te vragen een nieuw wachtwoord aan te maken van
minimaal 8 tekens dat niet gelijk is aan het voorgaande wachtwoord. Na 6
maanden wordt de Nuffic-medewerkers verzocht het password te resetten.
In de eerste release van 2015 zullen we deze procedure in Plone laten inbouwen
zodat het automatisch gebeurd.

Bestandsnaam: Sjabloon gap analyse standaard maatregelen 9
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013
Nr Maatregel Voldoet Motivatie
Ja Nee zowel bij ja als nee. Bij ja aangeven hoe wordt voorzien in de maatregel.
5.7.3a Wachtwoorden in applicaties dienen te worden beheerd door de nee Functioneel beheerder, noch super users kunnen bij de wachtwoorden van
Functioneel Beheerders. Hoe is dit wachtwoord beheer gebruikers van de websites. Zij kunnen wel accounts resetten en gebruikers
geregeld? aanmaken/verwijderen.
5.7.3b Voor toegangsbeveiliging van applicaties wordt bij nee Voor toegang tot Plone via de AD voor Nufficmedewerkers wordt gewerkt. Voor
Voorkeur gebruik gemaakt van toegangsbeveiliging via de Active niet-Nuffic medewerkers is dit natuurlijk niet mogelijk en niet wenselijk.
Directory. Als dat niet mogelijk is worden aan wachtwoorden in
applicaties dezelfde eisen gesteld als aan de Active Directory Zie 5.7.1d
(zie
hierboven).
5.7.3c Gebruikers krijgen bij het aanmaken van een account een nee Gebruikers moeten zelf een wachtwoord kiezen en ingeven.
eenmalig wachtwoord toegezonden wat bij het aanmelden dient
te worden gewijzigd
5.7.3d Indien een externe gebruiker zijn geregistreerde wachtwoord ja Gebruikers kunnen met het reeds geregistreerde e-mailadres via de website hun
vergeten is kan hij zelf online binnen de applicatie een nieuw wachtwoord opvragen. Als dit niet werkt, kan contact worden opgenomen met de
eenmalig wachtwoord aanvragen, dat wordt gemaild naar het webmaster.
oorspronkelijke e-mail adres. Indien bovengenoemde De webmaster is een super user en kan een wachtwoord resetten op reeds
automatische online procedure binnen de applicatie niet werkt geregistreerde e-mailadressen. Of het verzoek authentiek is of niet, is niet te
kan beoordelen. Een geldig e-mailadres is wel nodig.
de gebruiker contact opnemen met de technische ICT beheerder Uitzondering:
om het wachtwoord en/of e-mail adres te laten wijzigen. De 1. marktinformatie – hiervoor is een aanmeldformulier dat ingevuld moet worden.
technische ICT beheerder dient volgens zich te vergewissen dat Vervolgens bepaalt Renze Kolster of iemand toegang krijgt.
het verzoek authentiek is en kan worden uitgevoerd. Omschrijf 2. branding – hiervoor is een aanmeldformulier dat ingevuld moet worden.
hoe de technische ICT beheerder zich ervan vergewist dat het Vervolgens bepaalt Ellen Ruifrok of iemand toegang krijgt.
verzoek authentiek is. 3. Holland alumni – hiervoor is een registratieformulier dat ingevuld moet
worden. Gebruikerstypen Alumni en Internationale student: toegang wordt
toegekend zonder beoordeling/approval.
Gebruikerstypen: de aanvragen van gebruikerstypen DHEI en HAA
(Nederlandse hogeronderwijsinstellingen en Holland Alumni verenigingen)
komen in een dashboard terecht met ‘pending review’ status. Noor Groenendijk /
Suzanne Kormeling hebben toegang tot dit dashboard (status ‘private’) en
bepalen of deze aanvragers toegang krijgen door ‘approval’ wel/niet toe te
kennen.

5.7.3e Omschrijf hoe de technische ICT beheerder zich ervan n.v.t. GWW maakt geen interne gebruikers aan.
vergewist dat een verzoek van een interne gebruiker voor een Aan- en afmeldingen voor interne gebruikers worden uitgevoerd op basis van het
wachtwoord wijziging authentiek is en kan worden uitgevoerd. formulier in/uit dienst.
Bestandsnaam: Sjabloon gap analyse standaard maatregelen 10
Auteur: Team ICTsvdberg
Versie nr.: 0.4
Datum: 16 juli 2013