3.2.5 Netwerkvoorziening voor Security Monitoring (SOC)

Doel

Deze bouwsteen levert een veilige, gecontroleerde en betrouwbare netwerkvoorziening die benodigd is voor het verzamelen, transporteren en aanbieden van beveiligingsinformatie aan het Security Operations Center (SOC). De bouwsteen borgt dat events, logs, netwerkstromen en statusinformatie volledig, tijdig en beschermd bij het SOC aankomen.

Functionele Beschrijving

De netwerkvoorziening verbindt systemen, applicaties, netwerkcomponenten en monitoring‑sensoren met het SOC.
De functionaliteit omvat:

• Transport van audit‑logs, events, netwerkflowdata en telemetrie naar het SOC.
• Afgeschermde en gereguleerde communicatiestromen tussen bronsystemen en SOC‑infrastructuur.
• Bescherming van vertrouwelijkheid, integriteit en beschikbaarheid van monitoring‑gegevens.
• Scheiding tussen SOC‑datastromen en reguliere bedrijfs- of IA‑functionaliteit.
• Observability: detecteren en melden van afwijkingen in SOC‑datastromen.
• Geen afhankelijkheid van specifieke technologie (zoals TAP, SPAN, VPN, appliances): uitsluitend functionele eisen.

Reikwijdte

Deze bouwsteen is van toepassing op:

• IT‑ en IA‑systemen die security logging of monitoring vereisen
• netwerkcomponenten (routers, switches, firewalls etc.)
• sensoren / agents / detectiecomponenten
• interfaces naar het SOC (intern, extern, hybride)
• zowel RWS‑kantoor‑IT als RWS‑IA/SCADA‑omgevingen

Functionele eisen (op basis van NIST 800‑53)

Gecontroleerde informatiestromen naar het SOC

(Bron: AC‑4)

• Alleen vooraf geautoriseerde datastromen mogen het SOC bereiken.
• Richtingen, protocollen en inhoud van SOC‑datastromen zijn restrictief gedefinieerd.
• Afwijkende of ongeautoriseerde stromen worden geblokkeerd of gemeld.

 Zonescheiding & isolatie

(Bron: SC‑7, SC‑32)

• De SOC‑omgeving vormt een afzonderlijke beveiligingszone.
• SOC‑verkeer moet gescheiden zijn van reguliere bedrijfs‑ of procesnetwerken.
• Communicatie verloopt uitsluitend via gecontroleerde grenspunten.

Betrouwbare overdracht van logs en events

(Bron: AU‑4, AU‑9)

• Alle relevante security‑informatie moet volledig en tijdig bij het SOC worden aangeleverd.
• Verlies of vervorming van logs moet worden voorkomen.
• Logs moeten beschermd zijn tegen wijziging of verwijdering tijdens transport.

Vertrouwelijkheid & integriteit tijdens transport

(Bron: SC‑8)

• SOC‑datastromen mogen niet inzichtelijk zijn voor onbevoegden.
• De integriteit van de data moet tijdens transport gewaarborgd blijven.
• Beveiligingsmaatregelen mogen IA‑processen niet verstoren.

Continuïteit & DoS‑weerbaarheid

(Bron: SC‑5)

• De voorziening moet bestand zijn tegen overbelasting en verstoringen.
• SOC‑verkeer mag niet negatief worden beïnvloed door ander netwerkverkeer.
• Er moeten functionele voorzieningen zijn voor alternatieve datapaden of buffermechanismen.

Monitoring van SOC‑datastromen

(Bron: SI‑4)

• SOC‑relevante datastromen moeten worden bewaakt op afwijkingen.
• Monitoring moet adequaat zijn geconfigureerd voor het risiconiveau van de omgeving.
• De monitoring mag primaire bedrijfsvoering niet verstoren.

Architectuurdocumentatie & governance

(Bron: PL‑8)

• Alle SOC‑datastromen, grensvlakken en verbindingen worden in de architectuur vastgelegd.
• Toegestane stromen moeten worden onderhouden en herzien via change‑procedures.
• De inrichting moet aantoonbaar voldoen aan geldende beveiligingskaders (SAKs).

Kwaliteitscriteria

De bouwsteen is effectief indien:

• het SOC volledige, tijdige en betrouwbare security‑data ontvangt;
• alle SOC‑datastromen gedocumenteerd en geautoriseerd zijn;
• afwijkingen in SOC‑verkeer worden gedetecteerd;
• zonescheiding en informatiestroomregels zijn nageleefd;
• de architectuur up‑to‑date is.

Compliance

Deze bouwsteen ondersteunt naleving t.o.v.:

• NIST 800‑53 (SC‑7, AC‑4, AU‑4, AU‑9, SI‑4, SC‑8, SC‑5, PL‑8)
• ISO 27001 (A.5, A.12, A.13)
• SAKs/BIO hoofdstukken 9 t/m 12
• NIS2 monitoring‑ en detectievereisten
• IEC 62443 (Security Levels en requirements voor monitoring)

 Dienstbeschrijving

De SOC‑netwerkvoorziening levert een beveiligde en betrouwbare verbinding tussen IT‑ en OT‑systemen en het Security Operations Center (SOC). Deze dienst zorgt ervoor dat loggegevens, events, netwerkflows en andere security‑relevante signalen tijdig, volledig en beschermd bij het SOC worden aangeleverd.
De dienst ondersteunt het SOC bij:

• Detectie en analyse van beveiligingsincidenten
• Monitoring van de staat en veiligheid van systemen en netwerken
• Inzicht in afwijkingen of dreigingen via gecontroleerde datastromen
• Continuïteit door stabiel en gescheiden transport van security‑informatie

De SOC‑netwerkvoorziening omvat logische of fysieke netwerkpaden, beveiligingsmechanismen en scheiding tussen reguliere bedrijfsprocessen en SOC‑verkeer. De dienst is technologie‑onafhankelijk, en richt zich op het mogelijk maken van security‑monitoring binnen alle relevante RWS‑domeinen.

Roadmaps

Fase 1 – Stabiliseren en uniformeren van SOC‑datastromen

Doel: Het neerzetten van een stabiele basis die het SOC voorziet van betrouwbare, integrale en beveiligde datastromen vanuit alle relevante IT‑ en IA‑systemen.

Functionele resultaten:

• Formele definitie van toegestane datastromen tussen systemen en SOC.
• Baseline zonescheiding voor SOC‑zone versus IT/IA‑zones.
• Borging van volledige, tijdige en consistente log- en eventlevering.
• Afstemming van logformaten op minimumeisen van het SOC (semantisch niveau).

Doel: Het SOC ontvangt data uit alle (kritieke) IT‑ en OT‑componenten, met verbeterde dekking en datakwaliteit.

Functionele resultaten:

• Gefaseerde opname van aanvullende IA‑locaties, assets en IA‑netwerksegmenten.
• Standaardisatie van telemetriestromen voor SCADA, PLC’s en netwerkapparatuur.
• Verdere harmonisatie van logstructuren, metadata en classificatie.
• Opname van cloud‑omgevingen waar relevant binnen RWS (hybride monitoring).

Fase 3 – Versterking van beveiliging en gecontroleerde cross‑domain flows

Doel: SOC‑datastromen worden weerbaarder, beter gecontroleerd en veiliger, aansluitend op BIO‑ en NIS2‑verplichtingen.

Functionele resultaten:

• Versterkte integriteitsborging van event- en logtransport.
• Afgedwongen zonescheiding met functionele handhaving van toegestane flows.
• Uitbreiding van monitoring van netwerkverkeer dat gerelateerd is aan SOC‑stroompaden.
• In aansluiting op EIRA: aligneren met Secure Communication Services en Infrastructure Security Services.

Fase 4 – Integratie van cloud‑, hybride en ketenmonitoring

Doel: SOC kan betrouwbaar data ontvangen uit externe cloud‑diensten, ketenpartners en hybride operationele landschappen.

Functionele resultaten:

• Uniforme beveiligings- en transportmechanismen voor cloud-logging.
• Uitbreiding van SOC‑connectiviteit naar ketenpartners via gecontroleerde interconnecties.
• Implementatie van standaard governance voor cross‑domain monitoring en datadeling.
• Formele architectuurinpassing binnen EIRA Technical Infrastructure View.

Fase 5 – Doorontwikkeling naar geavanceerde SOC‑dataverwerking en AI‑ondersteunde detectie

Doel: De SOC‑netwerkvoorziening ondersteunt toekomstgerichte analyse, patroonherkenning en voorspellende detectie.

Functionele resultaten:

• Standaardisatie van telemetrie‑typen voor geavanceerde correlatie.
• Uitbreiding van datamodel voor AI/ML‑gebaseerde detectiescenario’s.
• Opschaling van netwerkvoorziening voor hogere volumes en verschillende datatypen.
• Richting naar voorspellende monitoring (anomaly detection, gedragsanalyse).

Afbakening Roadmap

Deze roadmap beschrijft de architectuurmatige richting voor de verdere ontwikkeling van de SOC-netwerkvoorziening. Het betreft geen project- of implemen­tatieplanning, geen resourceplanning en geen programmatische tijdlijn. Operationele roadmaps worden beheerd binnen het relevante RWS-portfolioproces.

Landingslocaties

RWS intern, zou moeten volgen uit de eisen van deze ABB.

Beschikbare SBBs 

Een overzicht van de oplossingen die beschikbaar zijn vanuit dit ABB en de beschrijving van de diensten die daarmee worden geleverd. Vul dit in wanneer de SBBs bekend zijn.

Koppelvlakken

Interfaces en afhankelijkheden tussen verschillende architectuurelementen. Dit zijn bijvoorbeeld de protocollen die kunnen worden gebruikt door andere bouwblokken die gebruik maken van het ABB.

Afhankelijkheden

ABB Zonescheiding

ABB Logging & Monitoring

ABB Identiteit & Toegang

ABB IA‑Netwerkbeveiliging

ABB Beheerzonering

ABB Encryptie & Databeveiliging

EIRA Koppeling

Relevante EIRA ABB’s: