Web Filtering Design

Zonder centrale webfiltering zijn organisaties aangewezen op individuele browserinstellingen, vrijwillige naleving en reactieve incidentrespons. Kwaadwillenden maken juist gebruik van dit gat door phishingdomeinen kortstondig te activeren en door gecompromitteerde legitieme sites te misbruiken. Wanneer medewerkers of leveranciers via onbeveiligde wifi-verbindingen werken, is de kans groot dat drive-by downloads en omleidingen naar command-and-controlinfrastructuur onopgemerkt blijven. Voor Nederlandse overheidsorganisaties betekent dit niet alleen een vergroot risico op ransomware, credential harvesting en gegevenslekken, maar ook mogelijke overtreding van BIO-verplichtingen, ENSIA-afspraken en AVG-vereisten rondom passende technische maatregelen. Webfiltering vormt daarom een verplicht fundament voordat aanvullende detectiemechanismen optimaal rendement leveren.

Implementatie

Deze maatregel beschrijft hoe Defender voor Endpoint, Intune en Microsoft Graph samen zorgen voor gedetailleerde webcategorisatie, indicatorbeheer en rapportage richting SOC- en governance-teams. Via de Graph API worden beleidsprofielen aangemaakt die per apparaatgroep specifieke categorieën blokkeren, toestaan of monitoren. Intune zorgt ervoor dat Windows-, macOS- en mobiele clients dezelfde beleidsregels ontvangen, terwijl Defender voor Endpoint telemetrie terugstuurt over geblokkeerde en toegestane verbindingen. Het resultaat is een geïntegreerde keten: beleidsdefinitie, distributie, afdwinging en rapportage verlopen binnen één beheerplatform en kunnen desgewenst worden verrijkt met Azure Monitor, Microsoft Sentinel of bestaande SIEM-oplossingen. Dit document beschrijft de vereisten, implementatiestappen, monitoring en remediatieprocessen die nodig zijn om webfiltering duurzaam te verankeren.

Vereisten

Een volwassen webfilterstrategie begint met het borgen van de juiste platformcomponenten. Defender voor Endpoint Plan 2 of een gelijkwaardig pakket is noodzakelijk om categoriegebaseerde filtering, indicatorbeheer en real-time rapportages beschikbaar te maken. Alle betrokken endpoints moeten worden geregistreerd in Microsoft Intune of ten minste worden verbonden met een Mobile Device Management-oplossing die beleidsprofielen kan uitrollen en afdwingen. Voor hybride omgevingen waar nog traditionele proxies actief zijn, moet de configuratie expliciet beschrijven hoe verkeer wordt doorgestuurd en hoe dubbele inspectie wordt voorkomen.

Aan de beheerkant zijn rollen nodig met voldoende rechten binnen zowel Intune als Microsoft Defender. Minimaal de rollen Security Administrator, Threat Policy Administrator en Intune Administrator moeten zijn toegewezen aan de medewerkers die beleid ontwerpen en publiceren. In grote uitvoeringsorganisaties wordt vaak gekozen voor een functiescheiding waarbij het architectuurteam categorieën definieert, het implementatieteam deze uitrolt en het SOC toezicht houdt op naleving. Deze rolverdeling moet zijn vastgelegd in het informatiebeveiligingsbeleid en periodiek worden herbevestigd.

Technisch gezien vereisen clients een actuele versie van Windows 10/11 of macOS met ingeschakelde Microsoft Defender Network Protection en SmartScreen. De basislijn moet controleren of TLS-inspectie door andere security gateways de telemetrie niet blokkeert. Wanneer legacy webproxys of SSL-break-and-inspectcomponenten worden gebruikt, dienen certificaten en trustketens op orde te zijn zodat waarschuwingen voor onbetrouwbare certificaten geen oorzaak worden van het uitschakelen van beveiligingsfuncties door eindgebruikers.

Op organisatorisch niveau verlangt de BIO dat maatregelen zijn gebaseerd op risicoanalyses en dat de proportionaliteit van monitoring is afgewogen. Een DPIA voor webfiltering beschrijft waarom bepaalde categorieën, zoals sociale media of cryptomining, standaard worden geblokkeerd en hoe uitzonderingen voor onderzoeksteams of communicatieafdelingen worden afgehandeld. Daarnaast moeten afspraken bestaan over de opslagduur van loggegevens, wie toegang heeft tot detailrapportages en hoe de ondernemingsraad of medezeggenschap is geïnformeerd over het toezichtskarakter.

Tot slot moeten ondersteunende processen staan als een huis. Servicedesks hebben playbooks nodig voor het behandelen van klachten over geblokkeerde sites, inclusief stappen om te controleren of de blokkade terecht is en hoe escalatie naar het SOC of het architectuurteam verloopt. Trainingsmateriaal voor medewerkers legt uit waarom webfiltering noodzakelijk is, hoe blokkades eruitzien en via welke kanalen tijdelijke toegang kan worden aangevraagd. Deze procesbeschrijvingen vormen onderdeel van ENSIA-auditdossiers en tonen aan dat de maatregel niet alleen technisch maar ook organisatorisch is geborgd.

Voor een succesvolle implementatie moeten gegevensstromen uit andere beveiligingstools beschikbaar zijn. Threat intelligence feeds van NCSC, Microsoft en sectorale samenwerkingen leveren context waarmee categorieën fijnmazig kunnen worden afgestemd. Voorzie het projectteam van toegang tot deze bronnen en leg vast hoe vaak nieuwe indicatoren worden geëvalueerd. Wanneer meerdere bestuurslagen of deelnemende organisaties dezelfde tenant delen, is het raadzaam om een gezamenlijke besluitvormingsraad in te richten die wijzigingen autoriseert.

Ten slotte zijn contractuele afspraken met leveranciers noodzakelijk. Zorg dat uitbestedingspartners, shared service centra en beheerde werkplekaanbieders aantoonbaar dezelfde standaarden hanteren. Neem webfiltering op in Service Level Agreements, inclusief eisen rondom beschikbaarheid van rapportages, maximale doorlooptijd voor uitzonderingen en verplichtingen bij incidenten. Deze afspraken voorkomen discussies tijdens calamiteiten en zorgen dat de gehele keten aan de Nederlandse Baseline voor Veilige Cloud voldoet.

Implementatie

De implementatie start met een inventarisatie van apparaatgroepen en gebruikersprofielen. Segmenteer endpoints op basis van functie, gegevensclassificatie en beheerstatus, zodat beleidsregels aansluiten op de dagelijkse werkzaamheden. Werk deze segmenten uit in Azure AD dynamische groepen of Intune filters, zodat nieuw aangesloten apparaten automatisch de juiste webfilterpolicy krijgen. Deze voorbereiding voorkomt ad-hocuitzonderingen en maakt het eenvoudiger om rapportages te koppelen aan specifieke doelgroepen.

Gebruik PowerShell-script web-filtering.ps1 (functie Invoke-Monitoring) – Monitoren.

Met het referentiescript kan de beheerder via Microsoft Graph beleidsprofielen aanmaken, categorieën selecteren en policies toewijzen aan de eerder gedefinieerde groepen. Het script verifieert of de benodigde API-machtigingen aanwezig zijn en of Defender voor Endpoint de juiste tenant-instellingen heeft. Tijdens het uitvoeren van het script wordt een changelog opgebouwd die later als auditbewijs kan dienen. Controleer na iedere run of de policyversies in Intune overeenkomen met het ontwerpdocument.

Vervolgens worden categorieën verfijnd. Start met het blokkeren van hoogrisicodomeinen zoals malware, phishing, cryptomining en adult content. Voeg daarna beleidslagen toe voor productiviteit, bijvoorbeeld sociale media of gaming, afgestemd op de behoeften van specifieke organisatieonderdelen. Maak gebruik van aangepaste indicatorlijsten om domeinen van leveranciers of onderzoeksprojecten tijdelijk toe te staan zonder het volledige beleid open te zetten. Documenteer per uitzondering de reden, de eigenaar en de vervaldatum.

Test elk policyprofiel via een gecontroleerd pilottraject. Laat een representatieve groep gebruikers de nieuwe instellingen ervaren en verzamel feedback over blokkades, prestaties en meldingen. Gebruik browserontwikkeltools en Defender-logs om vast te leggen hoe blokpagina’s worden weergegeven en of waarschuwingen begrijpelijk zijn. Op basis van de resultaten kunnen verbindingsfouten worden opgespoord, bijvoorbeeld wanneer een legacy-applicatie onverwacht een geblokkeerde categorie gebruikt.

Na validatie worden policies gefaseerd uitgerold naar productie. Plan implementatiemomenten buiten kantooruren om verstoring te beperken en zorg dat het SOC verhoogde waakzaamheid toepast in de eerste 48 uur. Communiceer helder met gebruikers over het doel van de maatregel, hoe zij een geblokkeerde site kunnen melden en welke alternatieven beschikbaar zijn. Koppel de uitrol aan trainingsmateriaal zodat medewerkers begrijpen hoe ze verdachte websites kunnen herkennen, zelfs wanneer een site niet direct wordt geblokkeerd.

Tot slot richt u beheer- en onderhoudstaken in. Leg vast hoe vaak categorieën worden herzien, hoe vaak het script wordt gedraaid om configuraties te valideren en wie verantwoordelijk is voor het publiceren van updates. Automatiseer waar mogelijk via Azure Automation of GitHub Actions zodat beleidswijzigingen reproduceerbaar zijn en versiebeheer toepassen. Deze aanpak maakt het eenvoudiger om tijdens audits aan te tonen dat webfilterbeleid niet willekeurig wijzigt maar onderdeel is van een gecontroleerd releaseproces.

Ontwikkel daarnaast fallbackscenario’s voor storingen in cloudbeheer. Documenteer welke cruciale categorieën ook op firewalls of secure web gateways worden afgedwongen en hoe een handmatig noodbeleid wordt geactiveerd wanneer Intune tijdelijk geen updates kan distribueren. Oefen deze procedure minimaal jaarlijks met het SOC en de netwerkploeg, zodat duidelijk is wie beslissingen neemt en hoe communicatie richting eindgebruikers verloopt tijdens een verstoring. Zulke oefeningen tonen volwassenheid aan en voorkomen dat aanvallers een change window misbruiken.

Leg alle stappen vast in een implementatiehandboek en koppel daaraan trainingssessies voor beheerders. Wanneer kennis geborgd is buiten het kernteam, blijft de organisatie ook tijdens vakanties of escalaties in staat om nieuwe policies uit te rollen. Neem in het handboek checklists op voor change boards, zodat implementaties aantoonbaar langs dezelfde kwaliteitscriteria lopen.

Monitoring

Monitoring begint met het valideren dat telemetrie uit Defender voor Endpoint zonder onderbreking terechtkomt in het beveiligingsportaal, het SIEM en eventuele rapportagedashboards. Richt query’s in die dagelijks controleren hoeveel blokkades per categorie plaatsvinden, welke apparaten het vaakst worden getroffen en welke gebruikers herhaaldelijk naar risicovolle domeinen navigeren. Door deze basisstatistieken in Power BI of Microsoft Sentinel vast te leggen, ziet het SOC direct of het beleid effectief is of juist onbedoelde drempels opwerpt.

Gebruik PowerShell-script web-filtering.ps1 (functie Invoke-Monitoring) – Controleren.

Het script ondersteunt beheerders bij het periodiek opvragen van configuratiestatussen. Het controleert of alle beoogde policies aanwezig zijn, of apparaten de laatste versie hebben ontvangen en of uitzonderingslijsten niet ongemerkt zijn gegroeid. Combineer de scriptoutput met Intune compliance-rapporten zodat afwijkingen direct zichtbaar zijn. Deze combinatie maakt het mogelijk om drift te detecteren voordat gebruikers melding maken van ontbrekende blokkades.

SOC-analisten richten use-cases in voor afwijkend gedrag. Signaleer bijvoorbeeld wanneer een gebruiker in korte tijd meerdere geblokkeerde sites benadert, wat kan wijzen op malware die willekeurige domeinen test. Eveneens interessant is het monitoren van plotselinge dalingen in blokkades, omdat dit kan duiden op een gedeactiveerde policy of een fout in de telemetriestroom. Door deze signalen te koppelen aan automatiseringsregels in Sentinel kunnen incidenttickets direct worden aangemaakt.

Naast technische indicatoren verdient gebruikersfeedback aandacht. Verzamel servicedeskregistraties over geblokkeerde sites en analyseer maandelijks welke categorieën de meeste uitzonderingsverzoeken genereren. Hiermee kan het architectuurteam beoordelen of het beleid nog steeds aansluit op de organisatiedoelen of dat processen moeten worden aangepast. Combineer dit met awarenesscampagnes om uit te leggen waarom bepaalde categorieën cruciaal zijn voor BIO-conform gedrag.

Tot slot is er periodieke rapportage nodig richting bestuurders. Stel kwartaalrapportages op waarin blokkadestatistieken worden gekoppeld aan dreigingsinformatie van het NCSC, zodat bestuurders begrijpen welke risico’s daadwerkelijk zijn afgewend. Neem KPI’s op, zoals het percentage apparaten met actuele policies, het aantal unieke gebruikers met blokkades en de gemiddelde behandeltijd van uitzonderingsverzoeken. Deze gegevens vormen tevens de input voor ENSIA-verantwoording en tonen de volwassenheid van de monitoringketen.

Breid monitoring uit met voorspellende analyses. Door machinelearningmodellen in Microsoft Sentinel te koppelen aan de webfilterlogs kunnen trends worden blootgelegd, zoals opkomende phishingcampagnes of geografische herkomst van dreigingen. Deze inzichten helpen beleidsmakers om categorieën proactief aan te scherpen of tijdelijke blokkades in te stellen tijdens verkiezingen en andere gevoelige periodes.

Zorg ten slotte voor een resiliente operationsketen. Beschrijf hoe monitoring doorgaat bij cloudstoringen, welke alternatieve dashboards beschikbaar zijn en hoe lang logretentie in elk systeem bedraagt. Door redundante opslaglocaties en back-ups van rapportages aan te leggen, blijft naleving aantoonbaar, zelfs wanneer primair gereedschap tijdelijk onbeschikbaar is. Zo blijft webfiltering een betrouwbare pijler binnen het beveiligingsraamwerk.

Plan regelmatige sessies waarbij SOC, netwerkbeheer en applicatie-eigenaren gezamenlijk de monitoringresultaten beoordelen. Door context van businessapplicaties te combineren met technische statistieken wordt duidelijk waarom bepaalde categorieën opvallend veel activiteit tonen. Deze multidisciplinaire blik voorkomt dat waarschuwingen onterecht worden genegeerd of dat beleidsaanpassingen uitsluitend vanuit techniek worden bepaald.

Neem monitoringafspraken op in servicecontracten met externe partners. Managed service providers moeten kunnen aantonen hoe zij logbestanden aanleveren, welke responstijden worden gehanteerd en hoe escalatie richting de opdrachtgever verloopt. Door deze verwachtingen contractueel vast te leggen blijft de kwaliteit van monitoring gelijk, ongeacht welke partij operationele taken uitvoert.

Remediatie

Het remediatieproces wordt geactiveerd zodra monitoring uitwijst dat beleid ontbreekt, verouderd is of ongewenste effecten heeft. Start met het vastleggen van het incident in het change- en incidentregistratiesysteem, inclusief betrokken apparaatgroepen, categorieën en tijdstip van ontdekking. Door deze informatie direct te registreren blijft zichtbaar of het om een enkelvoudig probleem gaat of om een structurele trend.

Gebruik PowerShell-script web-filtering.ps1 (functie Invoke-Remediation) – Herstellen.

Gebruik het remediatiescript om configuratiedrift terug te draaien. Het script controleert of beleidsprofielen aanwezig zijn, vergelijkt ze met de referentieversies en herstelt ontbrekende categorieën of indicatoren. Na uitvoering levert het een rapport op met de gedane wijzigingen. Sla dit rapport centraal op zodat auditors kunnen aantonen dat herstelacties controleerbaar en reproduceerbaar zijn.

Wanneer blokkades te strikt blijken, bijvoorbeeld doordat een leverancier een content delivery network gebruikt dat in een geblokkeerde categorie valt, doorloopt u een gecontroleerd uitzonderingsproces. Beoordeel de risico’s, vraag de proceseigenaar om schriftelijke motivatie en leg vast hoe lang de uitzondering geldig blijft. Creëer indien mogelijk een specifieke apparaat- of gebruikersgroep zodat de uitzondering niet breder wordt toegepast dan noodzakelijk.

Als telemetrie of rapportages uitblijven, onderzoek dan of endpoints nog steeds de Defender-sensoren draaien en of firewallregels het uitgaand verkeer blokkeren. Vaak is een netwerk- of proxywijziging de oorzaak. Documenteer welke teams betrokken zijn geweest en welke maatregelen worden genomen om herhaling te voorkomen, bijvoorbeeld het toevoegen van webfiltering aan de standaard regressietests bij netwerkchanges.

Na iedere remediatie volgt een evaluatie met het SOC, de servicedesk en de proceseigenaar. Bespreek of het beleid moet worden aangepast, of trainingen nodig zijn en of aanvullende automatisering het proces kan versnellen. Sluit het incident pas formeel af nadat verificatie heeft bevestigd dat alle relevante apparaten opnieuw compliant zijn en dat rapportages de herstelde situatie tonen. Deze nazorg versterkt het vertrouwen in webfiltering en laat zien dat de maatregel volwassen wordt beheerd.

Voer daarnaast periodiek table-top oefeningen uit waarin realistische scenario’s worden nagespeeld, zoals een grootschalige phishinggolf of een zero-day aanval via kwaadaardige advertenties. Tijdens deze oefeningen worden remediatiebeslissingen, communicatieafspraken en escalatiepaden getest. De uitkomsten leveren verbeterpunten op voor runbooks en vergroten de paraatheid van multidisciplinaire teams.

Meet tenslotte de effectiviteit van remediatie door KPI’s vast te leggen, zoals hersteltijd, aantal terugkerende incidenten en het percentage endpoints dat na een herstelactie direct compliant is. Deze gegevens maken zichtbaar of aanvullende investeringen nodig zijn, bijvoorbeeld in automatisering of opleiding. Door remediatie meetbaar te maken blijft webfiltering een levendig onderdeel van de continue verbetercyclus.

Een volwassen remediatieproces bevat bovendien lessons-learned sessies met communicatie- en juridische teams. Bespreek welke stakeholders wanneer moeten worden geïnformeerd, welke berichten naar medewerkers of inwoners gaan en hoe privacyaspecten worden geborgd. Zo ontstaat een integraal herstelbeeld waarbij techniek, proces en communicatie elkaar versterken.

Documenteer alle remediatiecases in een centraal register met datum, oorzaak, genomen maatregelen en verificatiestappen. Dit register vormt een waardevolle kennisbank voor toekomstige incidenten en laat auditors zien dat beheeracties consistent worden vastgelegd. Het register ondersteunt eveneens trendanalyses waarmee structurele verbeteringen kunnen worden gepland.

Verbind remediatie tenslotte aan het risk management-proces. Koppel iedere herstelactie aan een risico-ID, beoordeel of de restrisico’s moeten worden bijgewerkt en rapporteer de uitkomsten aan de CISO en het managementteam. Hierdoor blijven risicoacceptaties actueel en wordt duidelijk welke middelen nodig zijn om herhaling te voorkomen.

Compliance en Auditing

Webfiltering ondersteunt rechtstreeks BIO 13.01, waarin wordt geëist dat netwerkcommunicatie wordt afgeschermd tegen ongeautoriseerde toegang. Door beleid en uitzonderingen te documenteren tonen organisaties aan dat zij passende technische en organisatorische maatregelen hebben getroffen. Deze documentatie omvat het architectuurontwerp, het changelog van scripts en de gestructureerde aanpak voor uitzonderingen. Tijdens een audit kan hiermee worden aangetoond dat beleid consistent wordt toegepast.

Voor ENSIA-verantwoording moet het college van B&W of het bestuur kunnen aantonen dat maatregelen effectief zijn. Rapporteer daarom jaarlijks over blokkadestatistieken, incidenten waarbij webfiltering een aanval voorkwam en over verbetermaatregelen. Koppel deze rapportages aan de verplichte zelfevaluatie en borg dat de FG en CISO de resultaten ondertekenen. Hiermee wordt zichtbaar dat toezicht en governance niet op afstand staan van de technische uitvoering.

Ook de AVG stelt eisen. Artikel 32 verlangt passende beveiliging van persoonsgegevens, en webfiltering draagt bij aan de preventie van datalekken door malafide uploads en downloads te blokkeren. Leg in de DPIA vast welke categorieën persoonsgegevens hierdoor worden beschermd en hoe lang loggegevens over geblokkeerde verzoeken worden bewaard. Zorg dat betrokkenen worden geïnformeerd over de inzet van webfiltering via privacyverklaringen en interne communicatie.

Met de komst van NIS2 en de Wet beveiliging netwerk- en informatiesystemen (Wbni) wordt verwacht dat vitale aanbieders en belangrijke entiteiten aantonen dat zij proactieve detectie- en preventiemaatregelen hebben ingericht. Webfiltering vormt een concreet voorbeeld van zo’n maatregel en kan worden gekoppeld aan de verplichting om risico’s in de toeleveringsketen te beheersen. Wanneer leveranciers gebruik maken van externe dienstverleners, kan het beleid worden uitgebreid met specifieke categorieën voor leveranciersportalen om ketenverkeer te bewaken.

Auditbewijs bestaat uit exports van beleid, screenshots van blokmeldingen, rapportages uit Defender voor Endpoint en de output van het validatiescript. Bewaar deze stukken minimaal één jaar, conform de bewaartermijn voor operationele logging, en langer wanneer ENSIA of interne regels dit vereisen. Zorg dat auditors eenvoudig kunnen herleiden welke policyversie actief was tijdens een incident en welke maatregelen naar aanleiding daarvan zijn genomen. Dit versterkt de controlestaat en verkleint de doorlooptijd van audittrajecten.

Veranker webfiltering bovendien in het bredere compliance managementsysteem. Leg vast hoe bevindingen uit interne audits worden opgevolgd, hoe lessons learned worden gedeeld met andere overheidsorganisaties en hoe verbetermaatregelen worden geprioriteerd binnen de roadmap van de Nederlandse Baseline voor Veilige Cloud. Een centraal register met maatregelen, eigenaars en deadlines voorkomt dat afspraken versnipperen.

Wanneer organisaties samenwerken binnen regionale uitvoeringsdiensten of shared service centra, moet duidelijk zijn wie verantwoordelijk is voor naleving. Stel gezamenlijke toetsingscriteria op, voer steekproeven uit bij aangesloten gemeenten en deel resultaten in het governance-overleg. Zo blijft webfiltering consistent toegepast binnen de volledige keten en sluit de naleving aan op de verwachtingen van toezichthouders en accountants.

Integreer webfiltering eveneens met het interne controleplan. Laat de tweedelijnsfunctie halfjaarlijks toetsen of policies overeenkomen met de laatste risicobeoordeling, en leg bevindingen vast in het controleregister. Door de verantwoordelijkheid voor toetsing buiten het operationele team te plaatsen, blijft de onafhankelijkheid geborgd en worden blinde vlekken sneller ontdekt.

Tot slot ondersteunt webfiltering de rapportage richting volksvertegenwoordiging en toezichthouders. Door concrete cijfers te delen over geblokkeerde dreigingen, trends en verbeteracties kunnen bestuurders verantwoorden dat publieke middelen worden ingezet voor aantoonbaar effectieve beveiliging. Deze transparantie versterkt het vertrouwen in de Nederlandse Baseline voor Veilige Cloud en stimuleert verdere samenwerking tussen organisaties.

Compliance & Frameworks

• BIO: 13.01 - BIO Baseline Informatiebeveiliging Overheid - 13.01 - Netwerkbeveiliging

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Webfiltering combineert categorieblokkades, reputatiesturing via SmartScreen en maatwerkinidicatoren in één beheerketen. Door beleid via Intune te distribueren en telemetrie vanuit Defender in het SOC te analyseren, dalen webgebaseerde dreigingen en blijft productiviteit beheersbaar.

• Implementatietijd: 16 uur
• FTE required: 0.2 FTE