L1 BIO 13.01.01 ISO A.12.6.1 CIS Security Controls

Schermopname Beperkt

📅 2025-10-30
•
⏱️ 2 minuten lezen
•
🟢 Should-Have

💼 Management Samenvatting

Schermopname beperking is een essentiële beveiligingsmaatregel in Microsoft Edge die voorkomt dat gebruikers ongeautoriseerde screenshots of schermopnames maken van gevoelige informatie die wordt weergegeven in de browser. Deze maatregel vormt een kritieke verdedigingslinie tegen data-exfiltratie via visuele middelen en beschermt organisatiegegevens tegen onbedoelde of kwaadwillende verspreiding.

Aanbeveling
IMPLEMENT
Risico zonder
Medium
Risk Score
5/10
Implementatie
2u (tech: 1u)
Van toepassing op:
✓ Edge

In moderne organisaties wordt een aanzienlijke hoeveelheid gevoelige informatie via webbrowsers weergegeven, variërend van persoonlijke gegevens en financiële informatie tot strategische bedrijfsgegevens en vertrouwelijke documenten. Zonder beperkingen op schermopname kunnen gebruikers, al dan niet opzettelijk, deze informatie vastleggen via ingebouwde screenshot functionaliteiten, externe schermopname software, of zelfs via het maken van foto's met mobiele apparaten. Dit vormt een significant risico voor data-lekage, vooral in omgevingen waar meerdere personen toegang hebben tot gedeelde werkstations of waar gevoelige informatie wordt weergegeven in openbare of semi-openbare ruimtes. Door schermopname beperkingen in te stellen, wordt voorkomen dat gevoelige informatie wordt vastgelegd en mogelijk wordt gedeeld met onbevoegde partijen, wat bijdraagt aan de algehele beveiligingspostuur van de organisatie en helpt bij het naleven van privacywetgeving zoals de AVG.

PowerShell Modules Vereist
Primary API: Graph
Connection: Connect-MgGraph
Required Modules: Microsoft.Graph.DeviceManagement

Implementatie

Deze beveiligingsmaatregel configureert Microsoft Edge om schermopname functionaliteiten te beperken of volledig uit te schakelen via Microsoft Intune device configuratiebeleidsregels. De implementatie zorgt ervoor dat gebruikers geen screenshots kunnen maken van browserinhoud, noch via ingebouwde browser functionaliteiten noch via externe schermopname applicaties die proberen de browser content vast te leggen. Deze configuratie wordt centraal beheerd via Intune, waardoor consistentie wordt gegarandeerd over alle endpoints en beheerders volledige controle hebben over waar en wanneer deze beperkingen van kracht zijn.

Vereisten

Voor de succesvolle implementatie van schermopname beperkingen in Microsoft Edge zijn verschillende technische en organisatorische vereisten van essentieel belang. Allereerst is een functionerende Microsoft Intune omgeving vereist met de juiste licenties en configuratiemogelijkheden. Organisaties moeten beschikken over Microsoft Intune via device configuratiebeleidsregels, wat betekent dat de Intune-licenties correct zijn geconfigureerd en dat de beheerder over de benodigde rechten beschikt om device configuratiebeleidsregels te maken en toe te wijzen aan gebruikersgroepen of apparaten. Daarnaast is het belangrijk dat alle doelapparaten correct zijn geregistreerd in Intune en dat de Microsoft Edge browser is geïnstalleerd in een ondersteunde versie die de schermopname beperking functionaliteit ondersteunt. De minimale versievereisten variëren per Edge versie, maar over het algemeen wordt aangeraden om de nieuwste stabiele versie van Microsoft Edge te gebruiken om optimale beveiliging en compatibiliteit te garanderen. Vanuit organisatorisch perspectief is het noodzakelijk dat er duidelijke procedures zijn vastgelegd voor het beheer van schermopname beperkingen, inclusief documentatie over welke gebruikers of gebruikersgroepen deze beperkingen nodig hebben en welke uitzonderingen mogelijk zijn voor specifieke use cases. Dit is van cruciaal belang omdat schermopname beperkingen de workflow van gebruikers kunnen beïnvloeden, vooral voor gebruikers die legitiem screenshots nodig hebben voor documentatie, training, of ondersteuningsdoeleinden. Beheerders moeten daarom een inventarisatie hebben van alle use cases waarbij schermopname functionaliteit nodig is, en een proces ontwikkelen voor het aanvragen en goedkeuren van uitzonderingen. Bovendien is het belangrijk dat er een duidelijk communicatieplan is voor eindgebruikers, zodat zij begrijpen waarom deze beperkingen zijn geïmplementeerd, wat de impact is op hun dagelijkse werkzaamheden, en wat zij moeten doen als zij legitiem schermopname functionaliteit nodig hebben. Vanuit technisch oogpunt vereist de implementatie ook dat de netwerkinfrastructuur voldoende is om de policy distributie en verificatie te ondersteunen, en dat er monitoring en logging mogelijkheden zijn om de effectiviteit van de maatregel te kunnen volgen en eventuele problemen tijdig te kunnen identificeren en oplossen. Daarnaast moeten beheerders ervoor zorgen dat er geen conflicterende policies zijn geconfigureerd die de schermopname beperkingen kunnen overschrijven of uitschakelen.

Implementatie

De implementatie van schermopname beperkingen begint met een grondige voorbereiding en planning. Voordat de policy wordt geïmplementeerd, is het essentieel om een volledige inventarisatie te maken van alle Microsoft Edge installaties binnen de organisatie, inclusief de versienummers en de configuraties die momenteel actief zijn. Dit helpt om potentiële compatibiliteitsproblemen te identificeren voordat de wijziging wordt doorgevoerd. Daarnaast moet worden geanalyseerd welke gebruikersgroepen of afdelingen legitiem schermopname functionaliteit nodig hebben voor hun dagelijkse werkzaamheden, zodat uitzonderingen kunnen worden geconfigureerd waar nodig. De daadwerkelijke implementatie verloopt via Microsoft Intune, waarbij een nieuwe device configuratie policy wordt aangemaakt specifiek voor Microsoft Edge. Binnen deze policy wordt de schermopname beperking instelling geconfigureerd en ingesteld op 'ingeschakeld' of 'beperkt', afhankelijk van de gewenste beveiligingsniveau. Het is belangrijk om tijdens de implementatie gebruik te maken van een gefaseerde rollout strategie, waarbij eerst een kleine groep testgebruikers wordt geselecteerd om te valideren dat de configuratie correct werkt en geen onverwachte problemen veroorzaakt met bestaande workflows of applicaties. Na succesvolle validatie kan de policy geleidelijk worden uitgerold naar grotere groepen gebruikers, waarbij telkens wordt gemonitord of er problemen optreden of klachten binnenkomen van gebruikers die legitiem schermopname functionaliteit nodig hebben. Tijdens de implementatie is het cruciaal om nauw samen te werken met de helpdesk en eindgebruikers om snel te kunnen reageren op eventuele vragen of problemen. De technische implementatie zelf wordt ondersteund door geautomatiseerde scripts die de policy configuratie kunnen valideren en monitoren, wat zorgt voor consistentie en betrouwbaarheid in het implementatieproces. Na de implementatie moeten beheerders regelmatig controleren of de policy correct is toegepast op alle doelapparaten en of er geen conflicterende configuraties zijn die de schermopname beperkingen kunnen omzeilen.

Gebruik PowerShell-script screen-capture-restricted.ps1 (functie Invoke-Monitoring) – Monitoren.

Monitoring

Effectieve monitoring van schermopname beperkingen is essentieel om te verzekeren dat de beveiligingsmaatregel correct functioneert en om tijdig te kunnen reageren op eventuele problemen of incidenten. De monitoring moet zich richten op verschillende aspecten van de implementatie, waaronder de policy compliance status, eventuele foutmeldingen of waarschuwingen, en de algemene effectiviteit van de maatregel. Binnen Microsoft Intune kunnen beheerders de compliance status van de policy monitoren via het device configuratie dashboard, waar per apparaat wordt weergegeven of de policy succesvol is toegepast en of er eventuele fouten zijn opgetreden tijdens de policy distributie. Daarnaast is het belangrijk om regelmatig te controleren of er meldingen zijn van eindgebruikers over problemen met schermopname functionaliteit, wat kan duiden op problemen met de policy configuratie of op legitieme use cases die mogelijk uitzonderingen vereisen. Deze meldingen moeten worden geanalyseerd om te bepalen of het gaat om technische problemen die moeten worden opgelost, of om legitieme behoeften die moeten worden geadresseerd via uitzonderingen in de policy configuratie. Monitoring moet ook aandacht besteden aan pogingen om de schermopname beperkingen te omzeilen, zoals het gebruik van externe schermopname software of het maken van foto's met mobiele apparaten. Hoewel deze methoden niet volledig kunnen worden geblokkeerd door browser configuraties alleen, kunnen monitoring tools helpen om verdachte activiteiten te detecteren en te rapporteren. Geautomatiseerde monitoring scripts kunnen worden ingezet om regelmatig de policy status te controleren en waarschuwingen te genereren wanneer er afwijkingen worden gedetecteerd, wat zorgt voor proactief beheer en snelle respons op problemen. Bovendien moeten beheerders regelmatig compliance rapporten genereren die aantonen dat de schermopname beperking policy correct is geïmplementeerd en actief is op alle relevante apparaten, wat belangrijk is voor auditing en compliance doeleinden.

Gebruik PowerShell-script screen-capture-restricted.ps1 (functie Invoke-Monitoring) – Controleren.

Remediatie

Wanneer monitoring aangeeft dat schermopname beperkingen niet correct zijn geconfigureerd of niet actief zijn op bepaalde apparaten, is het belangrijk om snel te kunnen reageren met passende remediatiemaatregelen. De remediatie begint met een grondige analyse van de oorzaak van het probleem, waarbij wordt gekeken naar verschillende mogelijke oorzaken zoals policy distributie fouten, apparaat configuratie problemen, of conflicterende instellingen. Als de policy niet correct is toegepast, kan dit verschillende oorzaken hebben, waaronder netwerkproblemen die de policy distributie hebben verhinderd, apparaat synchronisatie problemen met Intune, of onvoldoende rechten op het apparaat. In dergelijke gevallen moet eerst worden gecontroleerd of het apparaat correct is geregistreerd in Intune en of er voldoende netwerkconnectiviteit is. Vervolgens kan een geforceerde policy synchronisatie worden geïnitieerd vanuit Intune, of kan de gebruiker worden gevraagd om handmatig een synchronisatie uit te voeren vanuit de apparaat instellingen. Als de policy wel is ontvangen maar niet correct wordt toegepast, kan dit duiden op een conflict met andere policies of instellingen, en moet worden onderzocht welke andere configuraties mogelijk interfereren. In sommige gevallen kan het nodig zijn om de Microsoft Edge browser opnieuw te installeren of te updaten naar een nieuwere versie die volledige ondersteuning biedt voor de schermopname beperking functie. Als gebruikers melden dat zij legitiem schermopname functionaliteit nodig hebben, moet worden onderzocht of dit een valide use case is die een uitzondering rechtvaardigt, en indien nodig moet de policy worden aangepast om uitzonderingen toe te staan voor specifieke gebruikersgroepen of scenario's. Geautomatiseerde remediatie scripts kunnen worden gebruikt om veelvoorkomende problemen automatisch op te lossen, wat de efficiëntie verhoogt en de tijd tot resolutie verkort. Daarnaast moeten beheerders een duidelijk proces hebben voor het documenteren van remediatie acties en het bijhouden van incidenten, zodat patronen kunnen worden geïdentificeerd en preventieve maatregelen kunnen worden genomen om toekomstige problemen te voorkomen.

Gebruik PowerShell-script screen-capture-restricted.ps1 (functie Invoke-Remediation) – Herstellen.

Compliance en Auditing

Compliance en auditing vormen kritieke aspecten van de implementatie van schermopname beperkingen, vooral voor organisaties in de publieke sector die moeten voldoen aan strikte beveiligingsstandaarden zoals de BIO normen, ISO 27001, en AVG vereisten. Vanuit compliance perspectief is het essentieel om uitgebreide documentatie bij te houden van alle configuraties, wijzigingen, en de rationale achter de implementatie van deze beveiligingsmaatregel. Deze documentatie moet duidelijk beschrijven waarom schermopname beperkingen zijn geïmplementeerd, welke risico's hiermee worden gemitigeerd, en hoe de maatregel bijdraagt aan de algehele beveiligingspostuur van de organisatie. Bovendien moet de documentatie informatie bevatten over de policy configuratie, de scope van de implementatie, eventuele uitzonderingen of speciale gevallen, en de procedures voor het aanvragen en goedkeuren van uitzonderingen. Voor auditing doeleinden is het belangrijk om regelmatig compliance rapporten te genereren die aantonen dat de schermopname beperking policy correct is geïmplementeerd en actief is op alle relevante apparaten. Deze rapporten moeten worden opgeslagen en beschikbaar zijn voor interne en externe auditors, en moeten historische data bevatten om trends en ontwikkelingen te kunnen analyseren. De audit evidence moet ook logbestanden en eventuele incident rapporten bevatten die gerelateerd zijn aan schermopname beperkingen, inclusief gevallen waarin gebruikers hebben geprobeerd om schermopname functionaliteit te gebruiken en de daaropvolgende acties die zijn ondernomen. Dit helpt auditors om te begrijpen hoe effectief de maatregel is en of er verbeteringen nodig zijn in de implementatie of configuratie. Daarnaast moeten organisaties kunnen aantonen dat zij voldoen aan relevante privacywetgeving, zoals de AVG, door te documenteren hoe schermopname beperkingen bijdragen aan de bescherming van persoonsgegevens en hoe zij omgaan met verzoeken van gebruikers die legitiem schermopname functionaliteit nodig hebben. Compliance monitoring moet ook aandacht besteden aan het regelmatig herzien en bijwerken van de policy configuratie om ervoor te zorgen dat deze blijft voldoen aan veranderende beveiligingsvereisten en best practices.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Edge Security: Screen Capture Restricted .DESCRIPTION CIS - Screen capture/sharing moet restricted worden (security/privacy). .NOTES Filename: screen-capture-restricted.ps1|Author: Nederlandse Baseline voor Veilige Cloud|Registry: HKLM:\SOFTWARE\Policies\Microsoft\Edge\ScreenCaptureAllowed|Expected: 0 #> #Requires -Version 5.1 #Requires -RunAsAdministrator [CmdletBinding()]param([switch]$WhatIf, [switch]$Monitoring, [switch]$Remediation, [switch]$Revert) $ErrorActionPreference = 'Stop'; $RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\Edge"; $RegName = "ScreenCaptureAllowed"; $ExpectedValue = 0 function Connect-RequiredServices { $p = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent()); return $p.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator) } function Test-Compliance { $r = [PSCustomObject]@{ScriptName = "screen-capture-restricted.ps1"; PolicyName = "Screen Capture Restricted"; IsCompliant = $false; CurrentValue = $null; ExpectedValue = $ExpectedValue; Details = @() }; if (-not(Test-Path $RegPath)) { $r.Details += "Niet geconfigureerd"; return $r }; try { $v = Get-ItemProperty -Path $RegPath -Name $RegName -ErrorAction Stop; $r.CurrentValue = $v.$RegName; if ($r.CurrentValue -eq $ExpectedValue) { $r.IsCompliant = $true; $r.Details += "Screen capture blocked" }else { $r.Details += "Screen capture toegestaan" } }catch { $r.Details += "Niet geconfigureerd" }; return $r } function Invoke-Remediation { if (-not(Test-Path $RegPath)) { New-Item -Path $RegPath -Force | Out-Null }; Set-ItemProperty -Path $RegPath -Name $RegName -Value $ExpectedValue -Type DWord -Force; Write-Host "Screen capture restricted" -ForegroundColor Green } function Invoke-Monitoring { $r = Test-Compliance; Write-Host "`n$($r.PolicyName): $(if($r.IsCompliant){'COMPLIANT'}else{'NON-COMPLIANT'})" -ForegroundColor $(if ($r.IsCompliant) { 'Green' }else { 'Red' }); return $r } function Invoke-Revert { Remove-ItemProperty -Path $RegPath -Name $RegName -ErrorAction SilentlyContinue } try { if (-not(Connect-RequiredServices)) { exit 1 }; if ($Monitoring) { $r = Invoke-Monitoring; exit $(if ($r.IsCompliant) { 0 }else { 1 }) }elseif ($Remediation) { if (-not $WhatIf) { Invoke-Remediation } }elseif ($Revert) { Invoke-Revert }else { $r = Test-Compliance; exit $(if ($r.IsCompliant) { 0 }else { 1 }) } }catch { Write-Error $_; exit 1 }

Risico zonder implementatie

Risico zonder implementatie
Medium: Gegevenslekage.

Management Samenvatting

Beperk screen capture mogelijkheden.