ABB 3. Security & IAM

Leadarchitect Security: Maarten Ossevoort

Leadarchitect IAM: John de Boer

Inleiding Security Architectuur

Doel van de RWS Enterprise Security Architectuur (ESA) is om een organisatie brede IT/OT aanpak te hanteren en af te dwingen waarmee een geïntegreerde en veilige infrastructuur kan worden gegarandeerd die alle technologieën en processen van RWS ondersteunt en waarmee de impact van cyberdreigingen en kwetsbaarheden kan worden verminderd. Binnen RWS is ‘IT’ (informatie Technologie) gepositioneerd in het IV (Informatie Voorziening) domein en ‘OT’ (Operationele Technologie) in het IA (Industriële Automatisering) domein. Binnen RWS en daarmee ook in de ESA wordt de term IA gehanteerd. De focus wordt gelegd op Missie Kritiek. Dit kan zowel in het IV als in het IA domein het geval zijn.

Werken onder architectuur

Werken onder architectuur betekent het systematisch toepassen van richtlijnen, principes en standaarden bij het ontwerpen, ontwikkelen en beheren van IV- en IA-systemen. Deze benadering zorgt voor een samenhangende en consistente infrastructuur die voldoet aan de gestelde eisen op het gebied van betrouwbaarheid, beveiliging, schaalbaarheid en efficiëntie. Het doel is om een robuust framework te creëren waarin technologieën en processen optimaal samenwerken om de strategische doelen van RWS te ondersteunen.

De RWS architectuur is voorschrijvend en moet worden gevolgd. RWS-architectuurproducten zijn leidend voor de invulling van het gebruik van technologie, diensten en protocollen. IV en IA voorzieningen moeten zijn ontworpen op basis van een solution architectuur waarin de principes uit deze ESA zijn vertaald en ingevuld en vervolgens kunnen worden geïmplementeerd. Daarmee is het gebruik van deze generieke voorzieningen verplicht gesteld om te borgen dat er niet verschillende soortgelijke gebouwd of ingekocht die in strijd zijn met deze ESA. Ook het zelf inkopen van diensten of software is niet toegestaan ten einde ‘shadow IT’ tegen te gaan.

Aansluiting bij RWS Risicomanagement

RWS doet op verschillende niveaus en onderwerpen aan risicomanagement. Voor cybersecurity risicomanagement is dit proces vastgelegd in het RWS Security Management Proces (SMP). De vorm waarin de risicoanalyses worden uitgevoerd is voor de IV-omgeving anders dan voor de IA-omgeving.

In het SMP, paragraaf 2.3.2 Risicomanagement is dit als volgt beschreven: “Voor de IV-omgeving wordt binnen RWS de Missie Kritieke Ketenanalyse MKK-A uitgevoerd om de meest belangrijkste systemen te identificeren, daaruit volgen de MKS-en. Deze vormen een belangrijk onderhouds- en beheersregime voor het in stand houden van informatiebeveiliging. Daarnaast worden onderkende kwetsbaarheden in de kantoorautomatisering en productie omgevingen via incident- en problem-, change- en/of patchmanagement opgelost. Voor de IA-omgeving worden de belangrijkste objecten van RWS geclassificeerd met behulp van de Infraclassificatie methodiek”.

Security Architectuur principes

• Missie Kritieke (MK) systemen of systemen die onderdeel zijn van de Missie Kritieke Keten (MKK) zijn geïsoleerd en gescheiden van IV-voorzieningen.
  Doel: Technische en functionele scheiding tussen IV en IA behouden.
• Standaardisatie leidt tot robuust ontworpen en beheerbare IA en IV-omgevingen. 
  Doel: Borgen van BIO (IV) en CSIR (IA) vereisten en beheersbaar houden van de primaire functie binnen de MKK. 
• Secure by design / secure by default.
  Doel: Cybersecurity borgen tijdens de idee – en ontwerpfase en operatie
• Risico gebaseerde maatregelen
  Doel: Maatregelen nemen die risico’s wegnemen met oog voor de primaire functie van een omgeving. Impact verschillend tussen IV en IA domein.
• Incident response geborgd en geoefend
  Doel: Preventie kan niet altijd, tijdige detectie en response is daarom steeds belangrijker. Duidelijke beschreven en geoefende procedure noodzaak.
• Continue security monitoring
  Doel: Continu en ononderbroken near-realtime monitoring van security meldingen. Zoveel mogelijk geautomatiseerd. 
• Periodiek testen van beveiliging en configuraties
  Doel: Periodiek controleren van beveiligingsmaatregelen door te testen (pentest, blue/red/purple team of testen configuraties tegen baselines
• Inzicht in netwerkverkeer
  Doel: Het RWS SOC kan alleen monitoren wat ze kunnen zien. Inzicht in netwerkverkeer is cruciaal voor deze taak.