1. SP-1 Inleiding tot de Security Policies

Transcriptie

1 1. SP-1 Inleiding tt de Security Plicies 1 Kader In hfdstuk 4 van het Infrmatiebeveiligingsbeleid Universiteit Twente (IB) wrden de security-deelplicies geïntrduceerd deze plicies beschrijven vr specifieke deelgebieden van de UT ICT-vrzieningen de beveiligingseisen en het prces daarmheen. De plicies zijn niet pgenmen in het beleidsdcument, maar zijn er wel nverbrekelijk mee verbnden. Om het verschil te duiden in terminlgie kunnen we nderscheid maken in plicies (beleid), standards (standaarden) en guidelines (richtlijnen). Plicies kunnen beschuwd wrden als dwingende regelgeving die als tetsing gebruikt dient te wrden bij implementatie van maatregelen. Bij standaarden is er sprake van gekzen en vastgelegde acties, met behulp van prcedure beschrijvingen, die exact weergeven he de inrichting met plaatsvinden. Bij richtlijnen kan gedacht wrden aan adviserend en suggesties cnfrm in de praktijk gebruikte middelen en methden. Security Plicies dienen daarte beschuwd te wrden als Wetbek ICT. Genmen maatregelen in de ICT diensten en vrzieningen dienen in de basis cnfrm de plicies geïmplementeerd te zijn. De Security Plicies zijn in dit dcument nderverdeeld in deelplicies zals gegeven in de inhudspgave. Specifieke deelplicies wrden aangeduid met SP-nummer waarbij het nummer plpt vanaf 1. Vr al deze deelplicies geldt het vlgende: De deelplicy is dr het Cllege van Bestuur vastgesteld in het kader van het Infrmatiebeveiligingsbeleid Universiteit Twente, afgekrt Infrmatiebeveiligingsbeleid. Uitgangspunt vr de deelplicy is de Gedragscde ICT- en Internetgebruik Universiteit Twente, afgekrt Gedragscde-ICT. Van de lezer wrdt verwacht dat deze de Gedragscde-ICT kent en ernaar handelt. Op de beveiligingswebsite van de UT kunnen alle vrnemde stukken ingezien wrden. Daarnaast liggen papieren versies ter inzage bij de Secretaris van de UT, bij de dienst ICTS en bij de dienst Student & Onderwijs (S&O). 2 Delstelling 2.1 Het del van de Security Plicies in zijn algemeenheid is m vr de belangrijkste deelgebieden van de UT ICT-vrzieningen de ndzakelijke mate van beveiliging te definiëren en te reguleren. De nadruk ligt daarbij p de gebruikelijke aspecten: beschikbaarheid, in de zin van (vldende) functineren, niet in de zin van servicelevels f kwaliteitsnrmen; vertruwelijkheid; integriteit; cntrleerbaarheid. Daarbij wrdt telkens de ptimale balans gezcht tussen de vlgende vier factren (citaat uit het UT Infrmatiebeveiligingsbeleid): Vereiste veiligheid: hierbij wrdt van het risic nemende principe uitgegaan dat preventieve maatregelen alleen zinvl zijn als de ksten lager zijn dan de waarschijnlijk geachte schade bij ntstentenis van die maatregelen; Security Plicies UNIVERSITEIT TWENTE. Pagina 1 van 31

2 Bendigde beheersinspanning: hierbij wrdt uitgegaan van ndzakelijk en vldende beheer; Aanvaardbaar gebruikersngemak: naast het dienende karakter van beveiliging wrdt hierbij tevens uitgegaan van het ervaringsfeit, dat maatregelen die significant ngemak verrzaken, mzeild f genegeerd zullen wrden en dat dit vrkmen dient te wrden dr verlaging van het ngemak en gede vrlichting, in plaats van dr cntrle en repressie; Effectiviteit van handhaving: het uitgangspunt hier is dat regels alleen zin hebben als ze gehandhaafd kunnen wrden en k daadwerkelijk gehandhaafd wrden als gede handhaving niet mgelijk f betaalbaar is, is de afweging m hetzij het risic ter zake te nemen en alleen curatief p te treden in ernstige gevallen, f m de bewuste functinaliteit te blkkeren. 2.2 Het del van SP-1 in het bijznder is de sleutel te zijn tt alle Security Plicies. Bij het lezen van m het even welke Security Plicy wrdt verwacht dat de lezer SP-1 kent en ernaar handelt. 3 Aanvullende Definities Als uitgangspunt vr de Security Plicies gelden de definities van de Gedragscde-ICT. Daarbvenp gelden de vlgende definities (deels afkmstig uit het Infrmatiebeveiligingsbeleid) in alfabetische vlgrde; a. Beveiligingswebsite: Centrale brn vr infrmatie betreffende infrmatiebeveiliging, raadplegen via b. CERT-UT: het Cmputer Emergency Respnse Team van de Universiteit Twente, ingesteld m in pdracht van het Cllege van Bestuur nder de verantwrdelijkheid van de Directeur ICTS cmputerveiligheidsprblemen binnen de Universiteit Twente aan te pakken en waar mgelijk te vrkmen. c. Gedragscde-ICT: Verkrte vrm van verwijzing naar de Gedragscde ICT- en Internetgebruik Universiteit Twente. d. ICTS: ICT-Servicecentrum van de Universiteit Twente. ICTS is verantwrdelijk vr de implementatie, uitvering en bewaking van ICTS gerelateerde deel van de UT infrmatiebeveiliging. ICTS neemt in dat kader de bendigde preventieve, vrlichtende en curatieve maatregelen. e. IM: Directie Infrmatie Management van de Universiteit Twente. IM vert de regie ver het Infrmatiebeveiligingsbeleid van de UT en draagt zrg vr de cntrle en berdeling van de uitvering ervan. f. Infrmatiebeveiligingsbeleid: Het beleid aangaande infrmatiebeveiliging van de UT zals pgesteld en vastgelegd Infrmatiebeveiligingsbeleid Universiteit Twente. g. Opdrachtgever: de pdrachtgever in de zin van deze plicies is degene die ten aanzien van een bepaalde ICT vrziening, zals een werkplek f server, f een netwerkvrziening, in frmele zin de pdrachtgever is. Opdrachtgevers bevinden zich meestal p management- f nderzeksniveau. Beheerders zals nderscheiden in de Gedragscde-ICT zijn veelal pdrachtgever de term beheerder wrdt vermeden in dit stuk, m verwarring met systeembeheer e.d. te vrkmen. h. UTSO: de UT Security Officer, handelend in pdracht van de Directeur ICTS in samenwerking met de Infrmatie Manager. De UTSO is verantwrdelijk vr de uitvering en brging van het ICTS gerelateerde deel van het UT Infrmatiebeveiligingsbeleid. Security Plicies UNIVERSITEIT TWENTE. Pagina 2 van 31

3 4. Reikwijdte & Delgrep. 4.1 Deze SP-1 plicy is de sleutel tt alle Security Plicies, en staat derhalve niet p zichzelf. 4.2 Deze plicy is bestemd vr een ieder vr wie een deelplicy van tepassing is. 5 Gvernance 5.1 De gvernance ten aanzien van de Security Plicies is dr het CvB vastgesteld in het kader van het UT Infrmatiebeveiligingsbeleid en wrdt hiernder aangehaald. 5.2 Het CvB stelt de Security Plicies vast, p initiatief van IM. Daaraan vrafgaand bespreekt IM ze met de UCB (adviesrgaan CvB met betrekking tt UT bedrijfsvering). 5.3 ICTS is verantwrdelijk vr de inhud en uitvering van de Security Plicies en de cntrle daarp. Gewijzigde f nieuwe plicies wrden aan IM aangebden ter vaststelling. 5.4 De UTSO beheert de Security Plicies en draagt zrg vr de brging ervan. De UTSO betrekt CERT-UT nauw in de creatie van, cntrle p en verbetering van deze plicies. 5.5 IM draagt zrgt vr de cntrle p en berdeling van de uitvering van het beleid, met inbegrip van de Security Plicies. 5.6 Daarnaast evalueert Operatinal Audit nafhankelijk en in pdracht van het CvB het beleid, met inbegrip van de Security Plicies. 6 Handhaving & sancties 6.1 De Security Plicies bevatten dwingende minimumrichtlijnen. Het handelen in strijd met deze richtlijnen leidt in principe tt crrigerende en/f disciplinaire maatregelen. Dit kan nder andere leiden tt uitsluiting van het UTnet (quarantaine) f verdergaande maatregelen. 6.2 Znder aankndiging vraf kunnen dr f namens de UTSO cntrles uitgeverd wrden m te cntrleren f aan de Security Plicies wrdt vldaan. 7 Uitznderingen 7.1 De UTSO hudt een registratie bij van uitznderingen: situaties en tepassingen waarin tijdelijk f permanent van specifieke plicies afgeweken mag wrden en in welke mate. 7.2 De UTSO rapprteert ver de uitznderingen peridiek naar de Directeur ICTS, en treedt k tijdig met deze in verleg waar het ptentieel zwaarwegende uitznderingen betreft. 8 Incidentmelding & afhandeling 8.1 UT gerelateerde veiligheidsincidenten, de directe dreiging daarvan, evenals enigerlei inbreuk p de regels van de Security Plicies, wrden znder uitstel gemeld aan CERT-UT, te bereiken p cert@utwente.nl en telefnisch: zie vr de actuele infrmatie de UT beveiligingswebsite. 8.2 CERT-UT pereert nder auspiciën van de Directeur ICTS maar in pdracht van het CvB en heeft daarmee vergaande bevegdheden m veiligheidsincidenten te nderzeken en af te handelen. Zie hiervr k de Gedragscde-ICT. Security Plicies UNIVERSITEIT TWENTE. Pagina 3 van 31

4 9 Berepsmgelijkheden & suggesties 9.1 Suggesties vr verbetering/verandering, bezwaar tegen inhud f strekking van bepaalde Security Plicies, f klachten ver de handhaving kunnen wrden ingediend bij de UTSO p uts@utwente.nl. De UTSO rapprteert daarver peridiek naar de Directeur ICTS, en treedt k waar ndig met deze in verleg. Security Plicies UNIVERSITEIT TWENTE. Pagina 4 van 31

5 2. SP-2 Verwerving van hardware en sftware 1 Kader Bij het lezen van SP-2 wrdt verwacht dat de lezer de inleidende plicy SP-1 kent en ernaar handelt. 2 Delstelling Preventie is meer dan het halve werk bij beveiliging. Daarm met juist al bij het verwerven van hardware en sftware rekening gehuden wrden met de beveiligingseisen binnen de UT. Vervlgens meten deze aspecten bewaakt wrden tijdens de verdere bestaanscyclus van de hardware en sftware. Deze plicy geeft vr het prces van de verwerving van hardware en sftware de randvrwaarden ten aanzien van beveiliging, en de gevlgen daarvan van installatie tt en met het uitfaseren en afveren. 3 Aanvullende Definities a. UTware: hardware inclusief daarvr relevante pslagmedia en sftware in eigendm (kmend) van de UT en/f (verder) ntwikkeld dr de UT en in beheer genmen dr de UT. In deze plicy zal de term sms eerder p hardware slaan, sms eerder p pslagmedia, f p sftware vaak p alle drie. Dit zal te allen tijde uit de cntext duidelijk wrden, en niet expliciet benemd wrden. b. Verwerving: elke vrm van inkp-, fferte- f aanbestedingsprcedure, Call fr Prpsal (CfP), Call fr Tender (CfT), in-beheer-neming (inclusief huur), sftware ntwikkeling, enzvrts die (uiteindelijk) tt del hebben UTware te verwerven. 4 Reikwijdte & Delgrep. 4.1 Deze plicy heeft betrekking p alle UTware, ngeacht de lcatie en f deze al dan niet verbnden is met het UTnet. 4.2 Deze plicy heeft geen betrekking p hardware en sftware met directe f indirecte tegang tt UTnet die echter niet in eigendm van f in beheer bij de UT is. De plicy geldt vr de betrkken klanten en huders wel bij verwerving. 4.3 Deze plicy is bestemd vr een ieder die belast is met de verwerving van UTware en verantwrdelijk is vr de verdere bestaanscyclus daarvan. 5 Verwerving van UTware. 5.1 Bij de verwerving van UTware zal in de verwervingsbeschrijving te allen tijde een zinvlle beveiligingsparagraaf pgenmen wrden. Hierin zijn altijd pgenmen: harde eisen ten aanzien van de beveiligingsaspecten van het te verwerven prduct, k genemd: MUST s; wensen ten aanzien van hetzelfde, k genemd: SHOULD s. 5.2 De beveiligingsparagraaf van de verwerving wrdt vraf vastgesteld in cnsultatie met de UT Security Officer (UTSO). De daadwerkelijke verwerving kan pas wrden gestart nadat de UTSO het grene licht daarvr heeft gegeven. 5.3 In geval van de verwerving van kstenintensieve UTware en waar de beveiligingsparagraaf daarte aanleiding geeft kan in verleg met de UTSO, een ter zake kundige beveiligingsexpert in het verwervingsteam pgenmen wrden, ter berdeling van de ffertes en ten beheve van de nderhandelingen met leveranciers. Anderzijds kan de Security Plicies UNIVERSITEIT TWENTE. Pagina 5 van 31

6 UTSO pleggen dat, indien hiervr aanleiding is, een ter zake kundige beveiligingsexpert wrdt pgenmen. 5.4 De UTSO kan in het kader van de verwerving allerhande beveiligingseisen en wensen vaststellen in verleg met de verwervende instantie. Meer in het bijznder met aandacht besteed wrden aan minimaal de vlgende aspecten (vr zver van tepassing): minimaliseren van sftware afhankelijkheden die leiden tt nveiligheid; security patching : dit is een nderhudscyclus waardr gecnstateerde beveiligingsprblemen z tijdig mgelijk wrden pgelst hier hrt bij dat de leverancier gemelde prblemen k daadwerkelijk in behandeling neemt; cntrle van afgeleide security patches vr het nderliggende perating system dient uitgeverd te wrden. Tijdsafhankelijkheden kunnen daarbij ptreden en he gaat de leverancier daar mee m. adequate afhandeling dr de leverancier van meldingen van security incidenten; tegangsbeveiliging, en waar ndig: RBAC ( rle based access cntrl : geavanceerde tegangsbeveiliging p basis van rllen); e.e.a. dient te passen p de binnen de UT aanwezige systemen van tegangsbeveiliging en RBAC; lgging van tegang en gebruik in vereenstemming met UT en wettelijke eisen; veiligheid van nderhud en reparatie (bijvrbeeld: wat gebeurt er met een defecte harde schijf); (veilig) verwijderingsprtcl van de zijde van de leverancier bij uitfasering; enzvrts: deze psmming begt geen cmpleetheid. 5.5 Sftware-ntwikkeling in eigen beheer wrdt in het kader van deze plicy beschuwd als verwerving van sftware. 6 Installatie, gebruik en beheer van UTware. 6.1 In dit artikel wrden de gevlgen beschreven die de verwervingseisen ten aanzien van beveiliging hebben vr installatie, gebruik en beheer van de verwrven UTWare. 6.2 Veilige installatie en beheer van UTware is de peratinele verantwrdelijkheid van de betrkken ICT-functinarissen. De eindverantwrdelijkheid ligt bij de pdrachtgever. 6.3 Alle server-apparatuur wrdt geplaatst in daarte aangewezen UT cmputerruimten. Afspraken ver deze gecnditineerde ruimten wrden in samenspraak met het Facilitair Bedrijf vastgelegd in een peratinele vereenkmst. Beschikbaarheideisen van diensten zijn medebepalend vr het niveau van basisvrzieningen als temperatuurbeheersing, netveding en alarmering. 6.4 Bij de installatie met verwgen wrden f de UT veiligheid gediend is met installatie in een afgeslten mgeving, zals een afgeschermd deel van het netwerk f een separate ruimte. 6.5 Bij zwel de installatie als het verdere gebruik en beheer van UTware dienen de bij de verwerving vastgelegde beveiligingsaspecten blijvend uitgeverd c.q. ndersteund te wrden, juist k in een veranderende mgeving. Met nadruk wrdt daarbij gewezen p de specifieke aandachtspunten als mschreven in 6.4 van deze deelplicy. 6.6 Te allen tijde kan de UTSO m advies gevraagd wrden ten aanzien van de beveiligingsaspecten van UTware. 6.7 Beveiligingsincidenten wrden znder uitstel gerapprteerd aan CERT-UT. Dit laat nverlet de plicht van de gebruikers en pdrachtgevers van UTware m zrg te dragen vr adequate beveiliging met betrekking tt die UTware en de daarmee verbnden gegevens. Security Plicies UNIVERSITEIT TWENTE. Pagina 6 van 31

7 7 Uitfasering van UTware. 7.1 Veilige uitfasering van UTware is de peratinele verantwrdelijkheid van de betrkken ICT-functinarissen en gebruikers. De eindverantwrdelijkheid ligt bij de pdrachtgever. 7.2 Waar mgelijk en zinvl wrdt uitfasering in verleg met de leverancier van de UTware gedaan. 7.3 Met name wrdt bij uitfasering aandacht besteed aan de vernietiging van gegevens alvrens de UTware vrij wrdt gegeven vr afver daarbij wrdt met klem gesteld dat het simpel uitwissen van gegevens in de meeste gevallen niet betekent dat ze k werkelijk weg zijn. Richtlijnen vr het vernietigen van gegevens zijn beschikbaar bij de UTSO. In het bijznder met aandacht besteed wrden aan minimaal de vlgende aspecten afhankelijk van beveiligingsniveau en vr zver van tepassing: Datadragers zullen betruwbaar gewist f vernietigd meten wrden: Persnal Cmputer (Hard disk) Server systemen (Hard disk) Strage systemen (SAN systemen) Backup media (Tapes) Externe mediadragers (USB, CD-ROM, DVD, Memry Cards) Apparatuur (Mbiele Telefns, Digitale Camera s) Overige datadragers Security Plicies UNIVERSITEIT TWENTE. Pagina 7 van 31

8 3. SP-3 Tegangssleutels 1 Kader Bij het lezen van SP-3 wrdt verwacht dat de lezer de inleidende plicy SP-1 kent en ernaar handelt. 2 Delstelling Een tegangssleutel is, cnfrm de Gedragscde-ICT, een cmbinatie van gebruikersnaam en wachtwrd f andere authenticatiefaciliteit die een gebruiker autriseert tt het gebruik van {bij de autrisatie behrende} ICT-vrzieningen van de Universiteit Twente. Tegangssleutels wrden k wel AA-credentials genemd, waarbij AA staat vr authenticatie en autrisatie. Deze plicy legt de uitgangspunten vr tegangssleutels vast en geeft aan he in dat kader mgegaan met wrden met de uitgifte van tegangssleutels, wachtwrdbeheer en met eventuele incidenten. 3 Aanvullende Definities a. ICT-accunt: een geregistreerde rl in een ICT-vrziening. Een ICT-accunt heeft altijd een accuntnaam (een persn f een functie), en is meestal vrzien van een beveiliging p basis van een wachtwrd, sms k p basis van een certificaat f tken. 4 Reikwijdte & Delgrep. 4.1 Deze plicy heeft betrekking p alle tegangssleutels die uitgegeven zijn dr de UT in het kader van de ICT-dienstverlening en -vrzieningen. 4.2 Deze plicy is hfdzakelijk bestemd vr de ICT-functinarissen die betrkken zijn bij het beheer van ICT-accunts en tegangssleutels, f bij de cntrle daarp. 4.3 Gebruikers dienen cnfrm de Gedragscde-ICT met de aan hun verstrekte tegangssleutels m te gaan, nder verwijzing naar 5.4 hiernder. 5. Uitgangspunten 5.1 Iedere ICT-vrziening f gegevensverzameling binnen de UT wrdt beschermd dr middel van een authenticatie en autrisatie methde die aansluit bij het belang ervan. De betreffende klant f huder bepaalt de mate van dit belang en het gewenste niveau van beveiliging. De keuze van geschikte tegangssleutels vr deze vrziening f gegevensverzameling is hier een direct gevlg van. De UTSO kan hierin adviserend ptreden. 5.2 Er bestaan minimaal drie niveaus van beveiliging: publiek, nrmaal en hg: Vr het publieke niveau bestaat geen tegangsbeveiliging. Vr het nrmale beveiligingsniveau wrden minimaal tegangssleutels gebruikt bestaande uit een accuntnaam en een wachtwrd. Vr het hge beveiligingsniveau wrden per geval eisen pgesteld in verleg met de UTSO. 5.3 Alle systemen waarin persnele, financiële f studenteninfrmatie is pgeslagen vallen nder het hge beveiligingsniveau. 5.4 Het gestelde in de Gedragscde-ICT ten aanzien van tegangssleutels is nveranderd van tepassing: Security Plicies UNIVERSITEIT TWENTE. Pagina 8 van 31

9 De dr de Universiteit Twente aan Gebruiker verleende Tegangssleutel is strikt persnlijk en blijft eigendm van de Universiteit Twente. Het is niet tegestaan de Tegangssleutel aan derden te verstrekken, tenzij dit ndzakelijk is vr een adequate uitefening van de werkzaamheden en dan alleen na testemming van de Directeur ICTS. Degene aan wie de Tegangssleutel is verstrekt, is verplicht al hetgeen te den dan wel na te laten wat redelijkerwijs van hem/haar mag wrden verwacht m misbruik van de verstrekte Tegangssleutel te vrkmen. 5.5 Naast persnlijke ICT-accunts bestaan er functinele ICT-accunts deze wrden persnsgebnden geacht. 5.6 Vr functinele ICT-accunts verleende tegangssleutels geldt in deze Plicy in essentie hetzelfde als vr de persnlijke. 5.7 In vrkmende gevallen dienen niet-persnsgebnden functinele ICT-accunts tt een minimum beperkt te wrden. 6 Uitgifte van tegangssleutels. 6.1 De keuze van tegangssleutels geschikt vr een bepaalde ICT-vrziening hangt af van het gewenste beveiligingsniveau. De klant f huder en ICTS stellen dat per geval gezamenlijk vast. Eenmaal vastgesteld wrden de tegangssleutels strikt cnfrm die keuze dr ICTS geadministreerd, uitgegeven en beheerd. 6.2 Bij de uitgifte van tegangssleutels wrdt de ntvanger expliciet gewezen p de Gedragscde-ICT, p eventuele aanvullende handreikingen betreffende tegangssleutels c.q. wachtwrden, en p de te vlgen prcedure bij verlies f cmprmitteren van tegangssleutels. 6.3 De uitgifte van tegangssleutels dient vldende veilig plaats te vinden. Onversleutelde f webverkeer gelden in elk geval niet als vldende veilig. 7 Wachtwrdbeheer. 7.1 ICT-accunts met wachtwrden zijn veel vrkmende tegangssleutels. Waar het beleid ten aanzien van het beheer van wachtwrden technisch niet uitverbaar f handhaafbaar is, wrdt een aanvaardbaar alternatief gekzen in verleg met de UTSO. 7.2 Alle gebruikerswachtwrden meten peridiek gewijzigd wrden. Bij het aanmaken van een wachtwrd kan de gebruiker hulp krijgen bij het kiezen van een veilig wachtwrd. Onveilige wachtwrden wrden geweigerd. Wachtwrden dienen te vlden aan de p de beveiligingswebsite aangegeven regelgeving. 7.3 Alle serverwachtwrden meten peridiek wrden gewijzigd. Het nieuwe wachtwrd mag niet eerder gebruikt zijn. Wachtwrden dienen te vlden aan de richtlijnen p de beveiligingswebsite. 7.4 Serverwachtwrden meten veilig pgeslagen wrden in een daarte geëigend middel en vlgens een vastgelegde prcedure. Deze prcedure dient tevens te vrzien in tegangsregeling tt de wachtwrden in geval van calamiteiten. 7.5 Wachtwrden meten pgeslagen wrden in veilig versleutelde vrm, binnen cmputersystemen en daarbuiten. Security Plicies UNIVERSITEIT TWENTE. Pagina 9 van 31

10 7.6 ICT-functinarissen hebben geen tegang tt wachtwrden in nversleutelde vrm en mgen deze evenmin aftappen. 8 Certificaten. 8.1 Indien ndig wrdt vr extra beveiliging van infrmatie gebruik gemaakt van certificaten. Deze wrden gebruikt vr de versleuteling van de infrmatie. ICTS verstrekt deze certificaten, waarnder die vr Webmail. 8.2 Certificaten wrden k gebruikt vr het testemming verlenen aan sftware m te draaien binnen een bepaalde mgeving. Dit kan gezien wrden als autrisatie vr het gebruik van een applicatie, de rechten binnen de applicatie zijn verbnden met de tegangssleutel van de gebruiker. 8.3 Uitgifte en gebruik van certificaten dienen gecntrleerd plaats te vinden. Indien gebruik gemaakt wrdt van certificaten dient dit vastgelegd te wrden in de beveiligingsparagraaf van een dienst. 8.4 Algemene regels ten aanzien van het gebruik van certificaten wrden nader uitgewerkt. 9 Incidenten. 9.1 Zdra het vermeden bestaat, dr melding van de betreffende gebruiker, dr cntrles f anderszins, dat een tegangssleutel gecmprmitteerd f verlren is, dan wrdt de betreffende tegangssleutel znder uitstel geblkkeerd, en de gebruiker daarvan p de hgte gesteld. In verleg met de gebruiker wrdt vervlgens een nieuwe tegangssleutel uitgegeven. 9.2 Artikel 9.1 geldt nverkrt vr vergeten wachtwrden. ICT-accunts mgen geblkkeerd wrden indien de bijbehrende wachtwrden eenvudig te cmprmitteren zijn. ICTS heeft het recht dit laatste structureel f gericht te nderzeken. 9.3 In het geval van misbruik dr een gebruiker (k zijnde een ICT-functinaris), in de zin van de Gedragscde-ICT, f in het geval van verdenking van strafbare feiten, wrden zndig en naar rdeel van CERT-UT, in het kader van deze plicy de tegangssleutels van de betreffende gebruiker znder uitstel geblkkeerd en z ndig teruggevrderd. De gebruiker wrdt hiervan p de hgte gesteld. 9.4 In het kader van een nderzek dr CERT-UT f Justitie kan wrden afgeweken van het gestelde in artikel , in het belang van het desbetreffende nderzek. Security Plicies UNIVERSITEIT TWENTE. Pagina 10 van 31

11 4. SP-4 Security Dmeinen 1 Kader Bij het lezen van SP-4 wrdt verwacht dat de lezer de inleidende plicy SP-1 kent en ernaar handelt. 2 Delstelling Tegangssleutels, zals benemd in SP-3 Tegangssleutels, geven mgelijkheden vr beveiliging p allerlei niveaus, zelfs per server. Het is gewenst in deze cmplexe situatie enige rdening aan te brengen, dr srtgelijke systemen en vergelijkbare gebruikers nder te brengen in security dmeinen, waarvr dan k (ruwweg) dezelfde beveiligingseisen zullen gelden. Deze plicy legt de uitgangspunten vr deze security dmeinen vast en geeft vervlgens per security dmein aan wat deze precies inhudt, en welke randvrwaarden er aan de beveiliging in dat dmein gesteld wrden, in het bijznder in relatie tt de andere dmeinen: wie heeft waar tegang en nder welke vrwaarden. 3 Aanvullende Definities a. Server back-end: de back-end van een server is de functinele tegang tt een server, bedeld vr vrmen van beheer zals systeem-, applicatie- en/f databeheer. b. Server frnt-end: de frnt-end van een server is de functinele tegang tt een server, bedeld vr de vrmen van regulier gebruik, zals raadpleging, gebruik vr pslag (in geval van een strage server), en beperkt databeheer p gebruikers niveau (bijvrbeeld vr het invullen van frmulieren). c. Security Dmein: een security dmein wrdt beschuwd als een applicatie f verzameling van applicaties die een gemeenschappelijke tegangssleutel vr authenticatie f autrisatie accepteren. In het algemeen krijgt een gebruiker een interne tegangssleutel na aanmelden met gebruikersnaam en wachtwrd. d. Remte Management: via netwerk tegang hebben tt fysieke server. Hiernder vallen hardware mnitring, pwer management en remte cnsle via daarvr ingericht Management Netwerk. e. VLAN: virtual lcal area netwrk, een methde m meerdere lgische netwerken te implementeren p één fysiek netwerk. f. VPN: virtual private netwrk, een methde m een netwerk transparant en beveiligd ver een ander netwerk aan te bieden. Wrdt gebruikt m bedrijfsnetwerken ver Internet te leiden naar werkplekken p afstand. g. Bastin hst: Een extra beveiligde server die speciaal is ingericht m beveiligingsaanvallen vanuit het netwerk tegen te gaan. Daarnaast vrziet de server in tegangscntrle en tegang naar het achterliggende netwerk. Het is dus een beveiligingsmiddel m vanuit niet-vertruwde netwerken geautriseerde en beveiligde tegang te verschaffen naar servers f services. 4 Reikwijdte & Delgrep. 4.1 Deze plicy heeft betrekking p alle cmputer cnfiguraties die verbnden zijn met het UTnet. De verbinding kan daarbij vast, mbiel, direct, van de UT campus f van extern gemaakt zijn. Hierte wrden k gerekend apparatuur verbnden met het UTnet zals printers, scanners en handheld devices. Security Plicies UNIVERSITEIT TWENTE. Pagina 11 van 31

12 4.2 Deze aanvullende plicy is daarentegen alleen bestemd vr de ICT-functinarissen die betrkken zijn bij het beheer van het UTnet en de cmputer cnfiguraties p de UT campus. Vr gebruikers wrdt verwezen naar de SP-7 Werkplek beveiliging en de Gedragscde-ICT. 5 Uitgangspunten. 5.1 De UT nderscheidt de vlgende security dmeinen binnen haar netwerken: IDM dmein Opslag dmein Beheerdmein Bedrijfskritisch dmein Prductie dmein Campus dmein VPN dmein Internet dmein (p zich geen UT dmein) Quarantaine dmein Speciale delen dmeinen (registratie en beheer bij UTSO) 5.2 Security dmeinen kennen geen verlap. 5.3 Servers kunnen zich geheel binnen één dmein bevinden, maar hebben in de regel kppelvlakken met méér dmeinen. Servers kennen meestal zwel een frnt-end als een back-end (zie definities), die bij vrkeur in verschillende dmeinen liggen. In wezen vrmen servers dus de bruggen tussen dmeinen. 5.4 Werkplekken mgen zich slechts tegelijkertijd in één dmein bevinden. Security Plicies UNIVERSITEIT TWENTE. Pagina 12 van 31

13 5.5 De specifieke definitie van de in 5.1 genemde dmeinen, en de security invulling ervan, vlgen in de artikelen hiernder. Het Quarantaine dmein en de Speciale delen dmeinen zijn niet in het schema weergegeven vanwege hun uitznderlijke karakter, zie de mschrijvingen. De vlgende schematische tekening is daarbij van nut: Telichting bij het schema: Functineel gebruik: (frnt-end) Stip: de dienst is die aangebden wrdt vanuit een server. Pijl: in welke andere security dmein(en) de frnt-end beschikbaar is. tegangscntrle tt de dienst wrdt gestuurd vanuit het IDM dmein. Applicatie-, Data-, Systeembeheer: (back-end) Stip: de werkplek van waaruit beheer plaatsvindt. Pijl: welke andere security dmein(en) bereikbaar zijn vr beheer. tegangscntrle vr beheer van een server wrdt gestuurd vanuit het IDM dmein. De Firewalls, Filtering Ruters en Bastins vrzien in de beveiliging van de kppelvlakken van de security dmeinen. In de mschrijving per security dmein wrdt weergegeven welke relaties er zijn tussen de genemde security dmeinen. Werkplekken bevinden zich in het prductie dmein, het campus dmein en het internet dmein. Tevens wrdt er nderscheid gemaakt in tegang vanaf internet en tegang met behulp van VPN. Security Plicies UNIVERSITEIT TWENTE. Pagina 13 van 31

14 5.6 De UT gaat qua tegangscntrle niet uit van UT-brede single sign-n, maar van cmpartimentering in de security dmeinen. Binnen de security dmeinen is single sign-n wél telaatbaar, met aanvullende tegangseisen waar dat ndig wrdt geacht. 5.7 De tegang tt UT security dmeinen, en tt specifieke diensten binnen die dmeinen, is daarmee in essentie gebaseerd p het gebruik van tegangssleutels, cnfrm het gestelde in SP-3 Tegangssleutels. Als grndbeginsel geldt dat elk dmein zijn eigen tegangssleutel vereist, en dat diensten binnen die dmeinen waar extra beveiliging vr vereist is, additinele tegangssleutels vereisen. 5.8 De technische plssingen die gekzen wrden vr cmpartimentering in dmeinen en afscherming van specifieke diensten hangen af van het gewenste beveiligingsniveau en de beschikbare mgelijkheden. In de praktijk gebruikte middelen zijn.a. VLAN s, gescheiden fysieke netwerken, firewalls en bastins. 5.9 Deze plicy geldt als uitgangspunt en richtlijn. Uitznderingsmaatregelen zijn mgelijk, maar dienen besprken te wrden met de UTSO en wrden dr deze geregistreerd. 6 IDM dmein. 6.1 Het IDM (IDentity Management ) dmein bevat het UT IDM-systeem en kppelvlakken naar alle systemen die vanuit IDM geved wrden met RBAC (rle based access cntrl) data. 6.2 IDM dient het gehele IDM prces binnen één security dmein af te handelen. 6.3 Het IDM verkeer binnen het IDM dmein vindt versleuteld plaats p basis van wat p dat mment als sterke cryptgrafie geldt, dat wil zeggen nageneg nkraakbaar" vlgens de inzichten van dat mment. 6.4 Vr het functineel gebruik van de dienst IDM, waarnder het tekennen van autrisaties, wrden alleen frnt-ends in het prductiedmein tegestaan. 7 Opslag dmein. 7.1 Het Opslag dmein bevat de centrale pslag servers vr back-up/restre en netwerk strage, en kppelvlakken met alle in die zin ndersteunde systemen. 7.2 Opslag servers bevinden zich behalve in het Opslag dmein, uitsluitend k in het beheerdmein, ten einde beheert te kunnen wrden. 7.3 Anders dan in de zin van 7.1 en 7.2 is het Opslag dmein geheel geïsleerd van de verige dmeinen. 8 Beheerdmein. 8.1 In het beheerdmein bevindt zich die apparatuur die essentieel is vr het in stand huden van de UT ICT infrastructuur en diensten. Hier vallen nder meer actieve netwerkcmpnenten zals ruters nder, evenals applicatieservers zals vr en wrld-wide-web. De tegang tt de fysieke server via Remte Management wrdt k gerekend tt het beheerdmein. 8.2 Servers in het beheerdmein kennen altijd een back-end, en kunnen tevens een frnt-end hebben. Back-ends liggen binnen het beheerdmein zelf. Frnt-ends liggen binnen het prductie dmein en/f het Internet dmein. De servers kunnen bvendien een kppelvlak hebben met het IDM dmein, het bedrijfskritische dmein en/f het Opslag dmein. SP-5 Netwerk beveiliging c.q. SP-6 Server beveiliging zijn van tepassing p deze servers. Security Plicies UNIVERSITEIT TWENTE. Pagina 14 van 31

15 8.3 Er zijn geen werkplekken binnen het beheerdmein anders dan server cnsles. 8.4 Uitsluitend vanaf het prductiedmein en het VPN dmein hebben ICTfunctinarissen p basis van tegangssleutels tegang tt de server back-ends, vr systeembeheer, applicatiebeheer en databeheer. Deze tegang verlpt via één f meer beveiligingsmiddelen - het bastin - die het beheerdmein afschermen. Per back-end wrdt bepaald wie tegang heeft en vanaf welke dmeinen. Vanuit een back-end kunnen géén andere back-ends bereikt wrden dit kan alleen van buitenaf via het bastin. 8.5 In aanvulling p 8.4 geldt vr servers die zich tevens in het bedrijfskritische dmein bevinden, dat de tegang vanuit het beheerdmein beperkt kan wrden in functinaliteit, teneinde een functiescheiding te realiseren tussen wat vanuit het beheerdmein geadministreerd wrdt (met name systeembeheer) en wat vanuit het bedrijfskritische dmein zelf geadministreerd wrdt (met name databeheer). 8.6 Van buitenaf is er anders dan bedeld in 8.4 geen tegang tt het beheerdmein, anders dan tt de server frnt-ends, al dan niet p basis van tegangssleutels. Vr elke dienst die via frnt-ends bereikbaar is, wrdt bepaald wie tegang heeft, p welke basis en vanaf welke dmeinen. De tegang tt frnt-ends wrdt waar ndig extra beveiligd. 8.7 Ten pzichte van het bven bepaalde en in SP-5 Netwerk beveiliging, SP-6 Server beveiliging kunnen vr de servers en server cnsles binnen het beheerdmein, evenals vr de aldaar tijdelijk aanwezige gebruikers, extra beveiligingsmaatregelen van tepassing wrden verklaard, waarnder fysieke. Dit geldt in het bijznder vr servers die zich tevens in het bedrijfskritische dmein bevinden. 8.8 In aanvulling p 8.4 geldt vr het Remte Management van beheer van fysieke server hardware dat deze beperkt is tt het beheerdmein. Inrichting van tegangsbeveiliging vr het Management Netwerk is vergelijkbaar met Server back-end. 9 Bedrijfskritisch dmein. 9.1 In het bedrijfskritische dmein bevindt zich die apparatuur die essentieel is vr het in stand huden van de belangrijkste bedrijfsvering van de UT. 9.2 Servers in het bedrijfskritische dmein kennen altijd een back-end, en kunnen tevens een frnt-end hebben. Back-ends liggen binnen het bedrijfskritische dmein zelf. Frnt-ends liggen binnen het prductie dmein, maar nit binnen het Internet dmein. De servers hebben bvendien altijd een kppelvlak met het beheerdmein, en kunnen een kppelvlak hebben met het IDM dmein en het Opslag dmein. SP-6 Server beveiliging is van tepassing p deze servers. 9.3 Er zijn geen werkplekken binnen het bedrijfskritisch dmein anders dan server cnsles. 9.4 Uitsluitend en alleen vanaf het prductiedmein hebben ICT-functinarissen p basis van tegangssleutels tegang tt de server back-ends, vr applicatiebeheer en/f databeheer. Deze tegang verlpt via één f meer beveiligingsmiddelen - het bastin - die het bedrijfskritische dmein afschermen. Per back-end wrdt bepaald wie tegang heeft. Vanuit een back-end kunnen géén andere back-ends bereikt wrden dit kan alleen van buitenaf via het bastin. 9.5 Van buitenaf is er anders dan bedeld in 9.4 geen tegang tt het bedrijfskritische dmein, anders dan tt de server frnt-ends, en dit alleen p basis van tegangssleutels. Vr elke bedrijfskritische dienst die via frnt-ends bereikbaar is, wrdt bepaald wie tegang heeft en vanaf welke dmeinen. De tegang tt frnt-ends wrdt waar ndig extra beveiligd. Security Plicies UNIVERSITEIT TWENTE. Pagina 15 van 31

16 9.6 Ten pzichte van het bven bepaalde en SP-6 Server beveiliging kunnen vr de servers en server cnsles binnen het bedrijfskritische dmein, evenals vr de aldaar tijdelijk aanwezige gebruikers, extra beveiligingsmaatregelen van tepassing wrden verklaard, waarnder fysieke. 10 Prductiedmein In het prductiedmein bevindt zich die apparatuur die wrdt gebruikt vr het primaire en/f secundaire prces van de UT. Dit is inclusief de vergrte meerderheid van alle UT werkplekken, ngeacht de gebruikte netwerktechniek, f dit nu UTnet bedraad f draadls is, f anderszins; en ngeacht de gebruikers, f dit nu werknemers, studenten f gasten zijn. Rechten wrden verleend via tegangssleutels Servers in het prductiedmein kennen altijd een back-end, en kunnen tevens een frnt-end hebben. Frnt-ends liggen binnen het prductie dmein zelf en/f het Internet dmein. Back-ends liggen in beginsel binnen het bedrijfskritische en/f beheerdmein, maar bij wijze van uitzndering k binnen het prductiedmein zelf die uitznderingen wrden dr zrg van de UTSO geregistreerd. De servers kunnen bvendien een kppelvlak hebben met het IDM dmein en/f het Opslag dmein. SP-6 Server beveiliging is van tepassing p deze servers Bij het activeren van werkplekken en minimaal driejaarlijks herhaald wrden de gebruikers expliciet gewezen p de Gedragscde-ICT, p eventuele aanvullende regels, en p de te vlgen prcedure bij mgelijke incidenten Werkplekken binnen het prductiedmein hebben tegang tt de server frnt-ends, al dan niet p basis van tegangssleutels. Vr elke dienst die via frnt-ends bereikbaar is, wrdt bepaald wie tegang heeft en p welke basis. De tegang tt frnt-ends wrdt waar ndig extra beveiligd. Deze werkplekken hebben geen tegang tt verige dmeinen, met uitzndering van het gestelde in 10.5 (systeembeheer e.d.) en 10.6 (Internet tegang). SP-7 Werkplek beveiliging is van tepassing p deze werkplekken Werkplekken binnen het prductiedmein zijn als regel bedeld vr systeemgebruik, niet vr systeem-, applicatie- f databeheer, met de vlgende uitznderingen: ICT-functinarissen met tegang tt het beheerdmein mgen zich die tegang verschaffen vanaf het prductiedmein; Vr servers znder back-end in het beheerdmein, bijvrbeeld servers binnen vakgrepen, f appliance-servers als printers, scanners en kpieermachines, wrdt het systeem-, applicatie- en databeheer wél uitgeverd vanaf werkplekken binnen het prductiedmein. Altijd p basis van tegangssleutels; Hetzelfde geldt in essentie vr het beheer van de werkplekken zelf De werkplekken binnen het prductiedmein hebben vrije tegang tt het Internet dmein, waarbij de UT zich het recht vrbehudt gerichte filtering te verrichten m veiligheidsredenen. Andersm heeft het Internet dmein alleen tegang tt deze werkplekken vr zver ndig in het kader van de vrige zin (stateful filtering genemd). Dit hudt in dat services geïnstalleerd p werkplekken, niet bereikbaar zijn vanaf het Internet Van buitenaf is er verder geen tegang tt het prductiedmein, anders dan tt de server frnt-ends, en dit alleen p basis van tegangssleutels. Per dienst die via een f meer frnt-ends bereikbaar is, wrdt bepaald wie tegang heeft, p welke basis en vanaf welke dmeinen. De tegang tt frnt-ends wrdt waar ndig extra beveiligd Ten pzichte van het bven bepaalde en in SP-6 Server beveiliging, SP-7 Werkplek beveiliging kunnen vr zwel de servers als werkplekken binnen het prductiedmein, Security Plicies UNIVERSITEIT TWENTE. Pagina 16 van 31

17 maar k vr de daar geautriseerde f tijdelijk aanwezige gebruikers, extra beveiligingsmaatregelen van tepassing wrden verklaard, waarnder fysieke. 11 Campusdmein In het campusdmein bevinden zich de thuisaansluitingen p het UTnet van studenten en medewerkers die p de UT campus wnen Om technische redenen is het campusdmein p dit mment een integraal deel van het prductiedmein. Daarmee geldt alles wat in artikel 10 gesteld is k vr het campusdmein, met uitzndering van 10.5 in die zin, dat het Internet dmein vrije tegang heeft tt het campusdmein, waarbij de UT zich het recht vrbehudt gerichte filtering te verrichten m veiligheidsredenen Bij het activeren van thuisaansluitingen en minimaal driejaarlijks herhaald wrdt de campusbewner expliciet gewezen p de Gedragscde-ICT, p de aanvullende regels inzake thuisaansluitingen, en p de te vlgen prcedure bij mgelijke incidenten In de nder 11.3 genemde aanvullende regels inzake thuisaansluitingen wrdt minimaal pgenmen, inclusief tekst, uitleg en cncrete tips: De campusbewner verplicht zich zijn/haar werkplekken qua beveiliging up-t-date te huden, bijvrbeeld dr de standaard beschikbare aut-update faciliteiten te activeren; de campusbewner verplicht zich m de standaard firewall van zijn/haar werkplek(ken) te activeren, f een betere firewall; de campusbewner verplicht zich m up-t-date anti-malware sftware p zijn/haar werkplek(ken) te activeren, teneinde virussen, wrmen en andere infecties zwel inkmend als uitgaand nschadelijk te maken; de campusbewner verplicht zich m hen die geen werknemers f studenten zijn van de UT, geen tegang tt het UTnet te verlenen via de aanwezige werkplek(ken); de UT behudt zich het recht vr de campusbewner te verplichten m p zijn/haar werkplek(ken) aanvullende sftware te installeren ter verbetering van de beveiliging; (ptentiële) security incidenten wrden dr de campusbewner znder uitstel bij CERT-UT gemeld; indien CERT-UT het redelijke vermeden heeft dat de campusbewner zich niet hudt aan de Gedragscde-ICT f de vrnemde regels, zal de thuisaansluiting gedeactiveerd wrden f beperkt in functinaliteit, hangende nader nderzek. De campusbewner wrdt hiervan p de hgte gesteld; de campusbewner wrdt sterk geadviseerd m tussen de werkplek(ken) en de campusaansluiting een hardware firewall te activeren. Daarbij wrdt minimaal 1 mdel firewall, uitgetest dr de UT, cncreet aangeraden. 12 VPN dmein In het VPN dmein bevinden zich de aansluitingen van studenten en medewerkers die via hun (niet-ut) Internet aansluiting een VPN tunnel vanaf thuis f elders pzetten naar het UTnet. Deze tunnels zijn in de regel discntinu: de gebruiker kan ze naar believen aanen uitzetten, bijvrbeeld dr het uitzetten van de werkplek De in het VPN dmein gebruikte VPN technlgie dient minimaal de best practices vr zulke technlgie te ndersteunen. Dit betekent dat de authenticatie zwel als de sessies afdende veilig versleuteld meten zijn Om technische redenen is het VPN dmein p dit mment een integraal deel van het prductiedmein. Daarmee geldt alles wat in artikel 10 gesteld is k vr het VPN dmein, met uitzndering van Internet verkeer dient in principe via de lkale internetverbinding afgehandeld te wrden. Indien tegang tt infrmatiesystemen p Internet gecntrleerd Security Plicies UNIVERSITEIT TWENTE. Pagina 17 van 31

18 wrdt, zijnde vanaf het prductiedmein, dan wrdt bij uitzndering tegestaan het Internet verkeer via de VPN tunnel te laten gaan Bij het activeren van VPN aansluitingen en minimaal driejaarlijks herhaald wrdt de VPN gebruiker expliciet gewezen p de Gedragscde-ICT, p de aanvullende regels inzake VPN aansluitingen, en p de te vlgen prcedure bij mgelijke incidenten In de nder 12.4 genemde aanvullende regels vr VPN aansluitingen wrdt minimaal pgenmen, inclusief tekst, uitleg en cncrete tips: De VPN gebruiker verplicht zich zijn/haar VPN werkplek qua beveiliging up-t-date te huden, bijvrbeeld dr de aut-update faciliteiten te activeren; de VPN gebruiker verplicht zich m de standaard firewall van zijn/haar VPN werkplek te activeren, f een betere firewall; de VPN gebruiker verplicht zich m up-t-date anti-malware sftware p zijn/haar VPN werkplek te activeren, teneinde virussen, wrmen en andere infecties zwel inkmend als uitgaand nschadelijk te maken; de VPN gebruiker verplicht zich m hen die geen werknemers f studenten zijn van de UT, geen tegang tt het UTnet te verlenen via de aanwezige VPN werkplek; de UT behudt zich het recht vr de VPN gebruiker te verplichten m p zijn/haar VPN werkplek aanvullende sftware te installeren ter verbetering van de beveiliging; (ptentiële) security incidenten wrden dr de VPN gebruiker znder uitstel bij CERT-UT gemeld; indien CERT-UT het redelijke vermeden heeft dat de VPN gebruiker zich niet hudt aan de Gedragscde-ICT f de vrnemde regels, zal de VPN aansluiting gedeactiveerd wrden f beperkt in functinaliteit, hangende nader nderzek. De VPN gebruiker wrdt hiervan p de hgte gesteld; de VPN gebruiker wrdt sterk geadviseerd m tussen de VPN werkplek en de Internet aansluiting een hardware firewall te activeren. De relevante ISP heeft daarvr in de regel mgelijkheden en adviezen vr beschikbaar. 13 Internet dmein Het Internet dmein is zelf geen UT dmein maar raakt er wel aan het bevat het hele Internet wereldwijd behalve de UT, met de vlgende aanvullingen: frnt-ends van beheerdmein servers die de UT expliciet tt het Internet dmein rekent (zals de UT - en webservers): de tegang hierte geschiedt al dan niet p basis van tegangssleutels; frnt-ends van prductiedmein servers buiten het beheerdmein die de UT expliciet tt het Internet dmein rekent (zals een vakgrep server met webpages): de tegang hierte geschiedt altijd p basis van tegangssleutels Het Internet dmein heeft binnen de UT uitsluitend tegang tt: in 13.1 genemde frnt-end servers; werkplekken in het prductiedmein p basis van cmmunicatie geïnitieerd vanaf de werkplek (stateful filtering) en mgelijke additinele filtering naar UT keuze; werkplekken in het campusdmein p basis van mgelijke additinele filtering naar UT keuze In heverre UT dmeinen tegang hebben tt het Internet dmein, wrdt per UT dmein expliciet bepaald Security incidenten p de UT met een rsprng p het Internet dmein mgen dr CERT-UT aan SURFcert, de CERT van SURFnet, gerapprteerd wrden. SURFcert neemt daarp actie en hudt CERT-UT p de hgte. Security incidenten p het Internet dmein met een rsprng binnen de UT wrden dr SURFcert gerapprteerd aan CERT-UT. CERT-UT neemt daarp actie en hudt SURFcert p de hgte. Security Plicies UNIVERSITEIT TWENTE. Pagina 18 van 31

19 14 Speciale delen dmeinen Speciale delen dmeinen wrden gecreëerd m cmputer cnfiguraties met een specifiek del af te znderen van andere dmeinen, in al die gevallen wanneer dat nuttig f ndig is vr de beveiliging van die cmputer cnfiguraties, f van andere dmeinen Speciale delen dmeinen wrden geregistreerd en beheerd dr de UTSO. Waar ndig wrden aanvullende richtlijnen ter beschikking gesteld aan de gebruikers Vr elk speciale delen dmein wrdt vastgelegd bij de UTSO he server- en werkplekbeheer wrden uitgeverd, evenals de tekenning van tegangssleutels Binnen alle speciale delen dmeinen is vr servers SP-6 Server beveiliging de richtlijn, en vr werkplekken SP-7 Werkplek beveiliging. Uitznderingen zijn tegelaten vr zver ndig en alleen na testemming van de UTSO Speciale delen dmeinen wrden jaarlijks p initiatief van de UTSO geëvalueerd, en in verleg met de betrkken gebruikers en/f pdrachtgevers aangepast f verwijderd Registratie en beschrijving in dcument: Speciale delen dmeinen. De infrmatie is tevens beschikbaar p de beveiligingswebsite. 15 Quarantaine dmein De apparatuur die zich binnen het quarantaine dmein bevindt is daar in quarantaine geplaatst m (in principe tijdelijk) uitgeslten te zijn van ieder ander dmein. Dit is m de rest van het UTnet veilig, schn en betruwbaar te huden. Er zijn geen eisen gesteld aan apparatuur die in dit dmein geplaatst mag wrden De UTSO hudt een whitelist bij van bedrijfs- f nderzekskritische apparatuur die niet autmatisch in quarantaine geplaatst mgen wrden. Bij ntstentenis van een tijdige en adequate reactie p security incidenten inzake zulke apparatuur, is CERT-UT alsng gemachtigd deze in quarantaine te (laten) plaatsen Zdra de reden vr het in quarantaine plaatsen van bepaalde apparatuur is vervallen, en de betrkken ICT-functinarissen en/f gebruikers vldende maatregelen hebben genmen m herhaling te vrkmen, wrdt de bewuste apparatuur weer uit quarantaine gehaald, ter berdeling van ICTS. Indien hierver een meningsverschil ntstaat tussen belanghebbende en ICTS, dan kunnen beide de kwestie escaleren naar de UTSO, zijn beslissing is vervlgens bindend. 16 Incidenten In het geval van bedeld f nbedeld misbruik dr een gebruiker, in de zin van de Gedragscde-ICT, f in het geval van verdenking van strafbare feiten, wrdt zndig en naar rdeel van CERT-UT, in het kader van deze plicy de betreffende gebruiker znder uitstel in het quarantaine dmein geplaatst. De gebruiker wrdt hiervan p de hgte gesteld In het kader van een nderzek dr CERT-UT f Justitie kan wrden afgeweken van het gestelde in artikel 16.1, in het belang van het desbetreffende nderzek. Security Plicies UNIVERSITEIT TWENTE. Pagina 19 van 31

20 5. SP-5 Netwerk beveiliging 1 Kader Bij het lezen van SP-5 wrdt verwacht dat de lezer de inleidende plicy SP-1 kent en ernaar handelt. 2 Delstelling De ICT infrastructuur van de UT is gebaseerd p actieve netwerkcmpnenten, nderling verbnden dr allerlei srten van verbindingen, kabels zwel als draadls. Daarp aangeslten zijn dan servers, werkplekken enzvrts. Het draait in deze plicy m de actieve netwerkcmpnenten, zals ruters, switches, hubs, access-pints e.d. Deze plicy legt vast welke beveiligingsregels in acht meten wrden genmen ten aanzien van deze actieve netwerkcmpnenten. 3 Aanvullende Definities n.v.t. 4 Reikwijdte & Delgrep. 4.1 Deze plicy heeft betrekking p p alle actieve netwerkcmpnenten binnen de UT, f deze nu centraal beheerd wrden f niet. 4.2 Deze aanvullende plicy is daarentegen alleen bestemd vr de ICT-functinarissen die betrkken zijn bij het beheer actieve netwerkcmpnenten, f bij de cntrle daarp. 5 Uitgangspunten. 5.1 ICTS beheert de ICT infrastructuur van de UT, inclusief de actieve netwerkcmpnenten. 5.2 Uitznderingen p 5.1 wrden dr de UTSO geregistreerd. Tegelaten uitznderingen zijn thans: actieve netwerkcmpnenten dr gebruikers geplaatst binnen het campusdmein, zie SP-4 Security Dmeinen ; actieve netwerkcmpnenten dr gebruikers geplaatst binnen specifieke nderzeksdmeinen f het experimenten dmein. Vr deze gevallen geldt wel nverkrt dat de geplaatste cmpnenten gedgekeurd meten zijn dr de directeur ICTS. 5.3 Ten aanzien van de uitznderingen cnfrm 5.2 wrdt de gebruiker minimaal driejaarlijks gewezen p de Gedragscde-ICT, p eventuele aanvullende handreikingen inzake actieve netwerkcmpnenten, en p de te vlgen prcedure bij veiligheidsincidenten. 5.4 Het gestelde in de Gedragscde-ICT ten aanzien van actieve netwerkcmpnenten is nveranderd van tepassing: Het is de gebruiker niet tegestaan m andere netwerkapparatuur (zals ruters en switches) p het UTnet aan te sluiten dan waarvr de directeur ICTS testemming heeft gegeven. 5.5 Het gestelde in SP-2 Verwerving is nverkrt van tepassing p de verwerving, installatie en beheer van actieve netwerkcmpnenten. 5.6 Het gestelde in SP-3 Tegangssleutels is nveranderd van tepassing p het beheer van actieve netwerkcmpnenten. Dit betreft dus zwel de uitgifte van tegangssleutels tt Security Plicies UNIVERSITEIT TWENTE. Pagina 20 van 31

21 die cmpnenten, als de cntrle erp (met name p de wachtwrdbeveiliging) en de eventuele blkkering ervan. 5.7 Actieve netwerkcmpnenten kunnen in de zin van SP-4 Security Dmeinen beschuwd wrden als servers. 6 Regels. 6.1 Bij de verwerving van actieve netwerkcmpnenten cnfrm SP-2 Verwerving met speciale aandacht besteed wrden aan de beveiliging van de tegang erte en het beheer ervan, dr middel van SNMP f srtgelijke middelen. 6.2 Actieve netwerkcmpnenten wrden zveel mgelijk alleen geplaatst in separaat, afgeslten ruimtes, waarte alleen geautriseerd persneel tegang heeft. Uitznderingen, zals grep switches p de kamers van selecte gebruikers, wrden geregistreerd dr de UTSO. 6.3 Bij de installatie van actieve netwerkcmpnenten cnfrm SP-2 Verwerving met speciale aandacht besteed wrden aan het in een beveiligde mgeving de-installeren, blkkeren f wijzigen van ngewenste standaard accunts/wachtwrden en andere ngewenste instellingen / functinaliteiten. 6.4 Alleen daarte aangewezen ICT-functinarissen krijgen tegang tt actieve netwerkcmpnenten. 6.5 Alleen die prcessen (applicaties) p actieve netwerkcmpnenten die ndzakelijk zijn vr veilig gebruik en beheer zijn gewenst. Alle andere prcessen wrden uitgeschakeld. 6.6 Actieve netwerkcmpnenten wrden in de zin van SP-4 Security Dmeinen zveel mgelijk geplaatst in het beheerdmein, waar ze via hun back-end beheerd wrden dr daarte geautriseerde ICT-functinarissen. Actieve netwerkcmpnenten hebben in de regel geen frnt-end functinaliteit, f deze is uitgeschakeld: de gebruiker heft immers niets te merken van de aanwezigheid en werking van actieve netwerkcmpnenten, aangezien deze transparant zijn vr Internet verkeer. 6.7 De tegang tt actieve netwerkcmpnenten in het beheerdmein vanuit het VPN dmein is bij wijze van uitzndering tegestaan na verleg met pdrachtgever en UTSO, en alleen indien het vr de cntinuïteit van deze cmpnenten ndzakelijk is m k van buiten de UT beheer te kunnen plegen. De UTSO registreert deze uitznderingen. 6.8 Ten aanzien van draadlze netwerken (WLAN, bluetth e.d.) en de daarin gebruikte actieve netwerkcmpnenten en randapparatuur geldt bvendien: alleen ICTS mag binnen de UT campus draadlze netwerken in prductie nemen: uitznderingen alleen in verleg met de UTSO, die deze tevens registreert; draadlze netwerken pereren cnfrm best practices qua beveiliging: authenticatie en verkeer dienen daarbij in beginsel altijd veilig versleuteld te zijn; draadlze netwerken mgen andere netwerken en/f apparatuur niet stren in de zin van functieverlies f aantasting; ICTS heeft te allen tijde het recht draadlze netwerken uit te (laten) schakelen indien deze niet vlden aan de in deze plicy gestelde bepalingen. 6.9 Een actieve netwerkcmpnent, al dan niet centraal beheerd, die de werking van het UTnet f ICT-diensten binnen de UT significant verstrt, f die tt veiligheidsincidenten leidt f kan leiden, wrdt dr ICTS geïsleerd f anderszins uitgeschakeld, tt de rzaak van het prbleem is pgeheven. Security Plicies UNIVERSITEIT TWENTE. Pagina 21 van 31