Het Security Service Center heeft tijdelijk behoefte aan aanvullende capaciteit voor het vaststellen en documenteren van security baselines voor IT-componenten en applicaties binnen CBS. De professional ondersteunt het SSC bij het uitvoeren van het proces voor het vaststellen van security baselines conform het CBS Security Baseline beleid. De werkzaamheden worden uitgevoerd in samenwerking met de dienst-/producteigenaar, technische specialisten en het Security Service Center.

De werkzaamheden bestaan uit:

• het inventariseren en afbakenen van de scope van de betreffende security baseline;
• het bepalen van de relevante beveiligingseisen en configuratie-instellingen;
• het opstellen en/of bijstellen van security baselines;
• het toepassen van CIS Security Benchmarks Level 1 als uitgangspunt waar beschikbaar;
• het toepassen van andere relevante security baselines (NIST e.d.) of leveranciersspecifieke hardeningrichtlijnen indien geen passende CIS-baseline beschikbaar is;
• het meenemen van relevante verplichtingen en aanbevelingen vanuit Forum Standaardisatie;
• het vertalen van relevante beveiligingseisen naar concrete en toetsbare baseline-eisen;
• het afstemmen van de voorgestelde baseline met technische specialisten en de dienst-/producteigenaar;
• het afstemmen van de baseline met het SOC, onder andere met betrekking tot de mogelijkheden voor monitoring en controle van de opgenomen beveiligingsmaatregelen;
• het identificeren, bespreken en documenteren van afwijkingen volgens het comply or explain-principe;
• het opstellen en bijwerken van de bijbehorende security baseline-/hardeningdocumentatie;
• het verwerken van feedback en het gereedmaken van de baseline voor formele beoordeling en accordering.

De implementatie en operationalisering van de security baseline vallen buiten de scope van deze opdracht. De verantwoordelijkheid hiervoor ligt bij de betreffende dienst-/producteigenaar en de technische beheerorganisatie.

Achtergrond opdracht
De professional levert gedurende de opdracht zelfstandig een bijdrage aan het vaststellen van security baselines voor de door het SSC toegewezen IT-componenten en/of applicaties.

Per toegewezen component wordt minimaal het volgende resultaat opgeleverd:

• Een duidelijk afgebakende scope van de security baseline.
• Een onderbouwde security baseline, gebaseerd op de voor het component relevante securitystandaarden en hardeningrichtlijnen.
• Concrete en toetsbare beveiligingseisen en configuratie-instellingen.
• Een overzicht van eventuele afwijkingen ten opzichte van de gedefinieerde baseline.
• Een onderbouwing van afwijkingen volgens het comply or explain-principe.
• Afstemming met de relevante technische specialisten en dienst-/producteigenaar.
• Afstemming met het SOC over de relevante mogelijkheden voor monitoring en controle.
• Complete baseline-/hardeningdocumentatie, gereed voor formele beoordeling en accordering.

Een security baseline wordt als vastgesteld beschouwd wanneer deze inhoudelijk is afgestemd met de relevante technische specialisten, dienst-/producteigenaar en het SOC, eventuele afwijkingen zijn vastgelegd, het baseline-document formeel is geaccordeerd. Implementatie, operationalisering, monitoring en periodieke controle van de vastgestelde baseline maken geen onderdeel uit van deze opdracht.