ABB: 2.2.6 Beleidshandhaving

Dienstbeschrijving

De dienst Beleidshandhaving dwingt beveiligings- en compliance-beleid af over Kubernetes/OpenShift-omgevingen in DC, cloud (EU-regio’s) en edge/OT. Centraal staan policy-as-code (OPA/Kyverno) en fleet governance via Red Hat Advanced Cluster Management (ACM). Het platform valideert en enforcet o.a. image-provenance/signing, Pod Security, netwerk/egress-regels, RBAC/SSO, secrets-hygiëne en resource-quota. Alle beslissingen zijn auditbaar en bewijs (evidence) wordt geëxporteerd naar SIEM/auditors. Disconnected scenario’s worden ondersteund via mirrors en vertragingsbestendige sync.

Doel en scope

In scope: policy-bundels (BIO/AVG/CIS), admission/mutation policies (OPA/Kyverno), image signing & attestaties, NetworkPolicies/egress, Pod Security, exception/waiver-beheer, GitOps-integratie, SIEM/audit-exports, multi-cluster governance via ACM, edge/disconnected profielen.

Niet in scope: applicatieontwikkeling, niet-gekwalificeerde K8s-distributies, ad-hoc wijzigingen buiten Git, vulnerability-scans buiten supply-chain-context.

Waardepropositie

• Uniform & aantoonbaar compliant: centrale policies met evidence en auto-remediatie.

• Snel & voorspelbaar: declaratief, ring-gebaseerde rollout en canary-gates.

• Veilig by design: enforce signing/SBOM, least-privilege, netwerk-isolatie.

• Hybride & edge-klaar: werkt in DC/edge/cloud, inclusief offline vensters.

Dienstonderdelen

• Policy-hub (ACM) & engines: OPA/Kyverno, policy-sets en governance.

• Supply chain controls: image signing/attestaties + SBOM-afdwinging.

• Identity & toegang: SSO/RBAC, PAM/MFA, least-privilege.

• Netwerk & Pod Security: default-deny, egress-profielen, PSA/PSP-opvolgers.

• Exceptions & evidence: waiver-workflow met eigenaar/einddatum; SIEM-exports.

• GitOps-koppeling: declaratieve distributie, audittrail commit→runtime.

• Edge/disconnected: mirrors/caches, queue-based sync, veilige resync.

Servicelevels (richtwaarden)

• On-boarding/import cluster: ≤ 30 min

• Doorlooptijd policy-deploy (fleet): ≤ 10 min

• Detectie policy-drift: ≤ 5 min (event-gedreven)

• Admission-beslissing (deny/allow) P95: ≤ 100 ms

• Beschikbaarheid policy-hub: ≥ 99,9% (excl. gepland onderhoud)

Functionele Specificaties (met AC)

• FS-POL-001 Policy-bundels (BIO/AVG/CIS) – Herbruikbare sets per omgeving/tenant.

  AC: Policy-scan slaagt; uitzonderingen met eigenaar + einddatum.

• FS-POL-002 Admission & mutation – OPA/Kyverno voor labels, Pod Security, resources, egress.

  AC: Niet-conforme manifests geweigerd; duidelijke foutmelding + runbook.

• FS-POL-003 Evidence & audit – Onveranderbare logs/artefacten; export naar SIEM/auditors.

  AC: Volledige trace (wie/wat/wanneer/waarom) ≥ 13 mnd.

• FS-POL-004 Auto-remediatie – Standaarddrift automatisch herstellen of isoleren.

  AC: ≥ 95% standaarddrift hersteld; rest met runbook gelogd.

• FS-POL-005 Supply-chain (signing/SBOM/attestaties) – cosign/Notary, SBOM (CycloneDX/SPDX).

  AC: Ongetekende/ongeattesteerde images geweigerd; SBOM vindbaar.

• FS-POL-006 Secrets & PKI – External Secrets/KMS/Vault; rotatie/alerts ≥ 30 dagen.

  AC: 0 plaintext secrets; geen verlopen certificaten in PRD.

• FS-POL-007 SSO/RBAC & PAM/MFA – Least-privilege; break-glass via PAM.

  AC: 100% admin-acties gelogd; periodieke recertificatie.

• FS-POL-008 Netwerk & egress – Default-deny, expliciete allow, gecontroleerde egress.

  AC: Pentest zonder kritieke bevindingen; isolation-tests slagen.

• FS-POL-009 Disconnected handhaving – Mirrors/caches; queue-based sync.

  AC: Geen policy-schending tijdens ≤ 48 uur offline; veilige resync < 15 min.

• FS-POL-010 ITSM/CMDB – Changes, CI-status en compliance-scores.

  AC: CI bijgewerkt ≤ 24 uur; evidence opgeslagen bij change.

• FS-POL-011 GitOps & release-gates – PR-reviews, sync windows, canary/waves.

  AC: Geen deploy tijdens ‘blackout’; rollback < 2 min via Git revert.

• FS-POL-012 Observability & SLO’s – Dashboards: policy-health, denials, drift.

  AC: MTTD < 5 min; retentie ≥ 13 mnd.

• FS-POL-013 Exception/waiver-beheer – Tijdelijke dispensatie met motivaties.

  AC: Einddatum verplicht; automatische herbeoordeling.

• FS-POL-014 DR/backup policy-hub – Back-up/restore van hub-state & policies.

  AC: DR-oefening slaagt ≥ 99%; RTO/RPO conform SLA.

Roadmaps

Mijlpaal 1 – ACM-hub live (Twin-DC); baseline BIO/CIS policy-bundels; OPA/Kyverno rollout; centrale dashboards & SIEM-export.

Mijlpaal 2 – Auto-remediatie standaard; ring-gebaseerde policy-updates; GitOps-gates; exception-workflows.

Mijlpaal 3 – Capaciteit/latency-signalen in policies; federatie over domein-/regiohubs; DR-oefeningen geautomatiseerd.

Mijlpaal 4 – Self-healing governance (drift detect & repair), voorspellende upgrades, standaard evidence-pakketten.

Landingslocaties

Waar de architectuuronderdelen landen binnen de infrastructuur, dit kan bijvoorbeeld een externe commerciële cloud zijn, een private cloud of een Rijkscloud. Hiervoor wordt de definitie in de ICT Strategie gebruikt.

Beschikbare SBBs 

Een overzicht van de oplossingen die beschikbaar zijn vanuit dit ABB en de beschrijving van de diensten die daarmee worden geleverd. Vul dit in wanneer de SBBs bekend zijn.

Koppelvlakken

Interfaces en afhankelijkheden tussen verschillende architectuurelementen. Dit zijn bijvoorbeeld de protocollen die kunnen worden gebruikt door andere bouwblokken die gebruik maken van het ABB.

Afhankelijkheden

Beschrijving waar dit ABB van afhankelijk is of welke ABBs afhankelijk zijn van het ABB. Dit geldt ook voor de verschillende serviceketens. Geef dit aan met links naar de architectuur elementen.

EIRA Koppeling

Dit bouwblok is gekoppeld binnen de EIRA aan: Vul hier de EIRA koppeling in.

Een overzicht van alle relevante EIRA bouwblokken staan hier: EIRA Technology & Physical