Waarschuwing Niet-Ondersteund Besturingssysteem Ingeschakeld

Het uitschakelen van deze waarschuwing kan leiden tot verhoogde beveiligingsrisico's binnen de organisatie. Wanneer gebruikers niet worden geïnformeerd over het gebruik van niet-ondersteunde besturingssystemen, blijven zij mogelijk onbewust werken op systemen die kwetsbaar zijn voor bekende beveiligingslekken. Deze systemen ontvangen namelijk geen beveiligingspatches meer van de leverancier, waardoor organisaties blootgesteld worden aan aanvallen die gebruik maken van bekende kwetsbaarheden. Voor Nederlandse overheidsorganisaties is het daarom essentieel om deze waarschuwing actief in te schakelen, zodat gebruikers tijdig worden gewaarschuwd en IT-afdelingen proactief kunnen handelen om deze beveiligingsrisico's te mitigeren.

Implementatie

Dit beveiligingsbeleid configureert de instelling voor de waarschuwing bij niet-ondersteunde besturingssystemen via Microsoft Intune device configuratiebeleidsregels. Door dit beleid correct in te stellen, zorgt u ervoor dat gebruikers van Microsoft Edge altijd worden geïnformeerd wanneer zij het browserplatform gebruiken op een besturingssysteem dat niet langer ondersteuning ontvangt van de leverancier. Dit maakt deel uit van een bredere strategie voor endpointbeveiliging en risicobeheer binnen de organisatie.

Vereisten

Voor het implementeren van het beveiligingsbeleid voor de waarschuwing bij niet-ondersteunde besturingssystemen in Microsoft Edge zijn verschillende technische en organisatorische vereisten van toepassing. Ten eerste is Microsoft Intune vereist als centrale beheeroplossing voor het configureren van Edge-beleid via device configuratiebeleidsregels. Dit betekent dat de organisatie beschikt over een actieve Microsoft Intune-licentie en dat alle doelapparaten correct zijn ingeschreven in het Intune-beheersysteem. Zonder deze infrastructuur kan het beleid niet worden toegepast op de endpoints binnen de organisatie.

Naast de technische vereisten zijn er ook functionele vereisten die moeten worden vervuld. De IT-afdeling moet beschikken over de juiste Intune-beheerrechten om device configuratiebeleidsregels te kunnen maken, aanpassen en implementeren. Dit vereist doorgaans de rol van Intune Administrator of Global Administrator binnen het Microsoft 365-omgeving. Bovendien moeten de doelapparaten zijn uitgerust met Microsoft Edge versie 88 of hoger, aangezien deze functionaliteit pas sinds die versie beschikbaar is.

Vanuit organisatorisch perspectief is het essentieel dat er een duidelijke beleidsstructuur bestaat voor endpointbeveiliging en risicobeheer. De organisatie moet beslissingen hebben genomen over welke besturingssystemen worden ondersteund en welke niet meer in gebruik mogen zijn. Dit betekent dat er een inventarisatie moet worden gemaakt van alle actieve besturingssystemen binnen de organisatie en dat er een migratieplan bestaat voor verouderde systemen. Zonder deze context heeft het inschakelen van de waarschuwing weinig zin, omdat gebruikers dan wel gewaarschuwd worden, maar er geen actieplan bestaat voor het adresseren van de onderliggende problematiek.

Tevens is het belangrijk dat er communicatie- en ondersteuningsprocessen zijn ingericht voor het omgaan met gebruikers die de waarschuwing ontvangen. Gebruikers moeten weten wat zij moeten doen wanneer zij worden geconfronteerd met een waarschuwing over een niet-ondersteund besturingssysteem, wie zij kunnen contacteren voor ondersteuning, en wat de verwachte tijdlijn is voor het oplossen van het probleem. Dit voorkomt onnodige paniek en zorgt voor een gestructureerde aanpak van endpointmodernisering binnen de organisatie.

Implementatie

De implementatie van het beveiligingsbeleid voor de waarschuwing bij niet-ondersteunde besturingssystemen begint met het configureren van een device configuratiebeleid binnen Microsoft Intune. Dit proces vereist een gestructureerde aanpak waarbij eerst de huidige staat van de omgeving wordt geïnventariseerd, vervolgens het beleid wordt geconfigureerd en getest, en uiteindelijk het beleid wordt gerold naar de productieomgeving. Het is belangrijk om deze stappen zorgvuldig uit te voeren om te voorkomen dat gebruikers onnodig worden gestoord of dat er beveiligingsgaten ontstaan tijdens de implementatieperiode.

De eerste stap in het implementatieproces is het identificeren van alle apparaten binnen de organisatie die Microsoft Edge gebruiken en het bepalen welke besturingssystemen actief zijn op deze apparaten. Dit kan worden gedaan met behulp van Intune-rapportagefunctionaliteiten of door gebruik te maken van het PowerShell-script dat beschikbaar is voor monitoring. Door deze inventarisatie krijgt de IT-afdeling een duidelijk beeld van de omvang van het probleem en kan er een realistische tijdlijn worden opgesteld voor het volledig implementeren van het beleid. Het is belangrijk om niet alleen te kijken naar het aantal verouderde systemen, maar ook naar de kritiekheid van de apparaten en de gebruikers die erop werken.

Vervolgens wordt een nieuw device configuratiebeleid aangemaakt binnen de Microsoft Intune-portal onder de sectie Apps en vervolgens Edge-beleid. In dit beleid wordt de specifieke instelling voor de waarschuwing bij niet-ondersteunde besturingssystemen geconfigureerd. De instelling moet worden ingesteld op 'Inschakelen' of 'Niet geconfigureerd' om ervoor te zorgen dat gebruikers altijd worden gewaarschuwd wanneer zij Edge gebruiken op een niet-ondersteund besturingssysteem. Het is belangrijk om te begrijpen dat wanneer deze instelling op 'Uitgeschakeld' wordt gezet, gebruikers geen waarschuwingen meer ontvangen, wat niet de bedoeling is voor organisaties die beveiligingsbewustzijn willen bevorderen.

Het nieuwe beleid moet worden toegewezen aan relevante gebruikersgroepen of apparaatgroepen binnen de organisatie. Het is verstandig om te beginnen met een pilotgroep van technisch onderlegde gebruikers of IT-medewerkers om te valideren dat het beleid correct werkt en de waarschuwingen op de verwachte momenten worden getoond. Tijdens deze pilotfase kunnen eventuele problemen worden geïdentificeerd en opgelost voordat het beleid wordt uitgerold naar alle gebruikers binnen de organisatie. Dit vermindert het risico op onvoorziene problemen en gebruikersontevredenheid.

Na de succesvolle validatie in de pilotfase kan het beleid gefaseerd worden uitgerold naar alle gebruikers binnen de organisatie. Het is aan te raden om dit te doen in meerdere golven, waarbij eerst gebruikersgroepen met lagere kritiekheid worden voorzien van het beleid, gevolgd door steeds kritiekere groepen. Deze gefaseerde aanpak maakt het mogelijk om eventuele problemen te identificeren en op te lossen voordat ze impact hebben op de gehele organisatie. Gedurende de implementatie moet er continue monitoring plaatsvinden om te verifiëren dat het beleid correct wordt toegepast en dat gebruikers de waarschuwingen daadwerkelijk ontvangen wanneer zij Edge gebruiken op een niet-ondersteund besturingssysteem.

Tijdens de implementatie is het ook belangrijk om gebruikers te informeren over het nieuwe beleid en wat zij kunnen verwachten. Communicatie naar gebruikers moet uitleggen wat de waarschuwing betekent, waarom deze wordt getoond, en wat de verwachte acties zijn wanneer een waarschuwing wordt getoond. Dit voorkomt verwarring en zorgt ervoor dat gebruikers begrijpen dat de waarschuwing deel uitmaakt van de organisatie-brede beveiligingsstrategie en niet een technische fout of bug in de browser is.

Gebruik PowerShell-script unsupported-os-warning-disabled.ps1 (functie Invoke-Monitoring) – Monitoren.

Bewaking

Continue bewaking van het beveiligingsbeleid voor de waarschuwing bij niet-ondersteunde besturingssystemen is essentieel om te verifiëren dat het beleid correct wordt toegepast en dat gebruikers de waarschuwingen daadwerkelijk ontvangen wanneer zij Edge gebruiken op verouderde systemen. Bewaking maakt het mogelijk om trends te identificeren, problemen vroegtijdig te detecteren, en de effectiviteit van het beleid te meten. Zonder adequate bewaking is het onmogelijk om te bepalen of het beleid zijn beoogde doelstellingen behaalt en of er aanvullende maatregelen nodig zijn. Een gestructureerde bewakingsaanpak zorgt ervoor dat IT-afdelingen proactief kunnen reageren op veranderingen in de endpointomgeving en tijdig kunnen ingrijpen wanneer beveiligingsrisico's worden geïdentificeerd.

De primaire bewakingsmethode voor dit beveiligingsbeleid is het gebruik van Microsoft Intune-rapportagefunctionaliteiten. Binnen de Intune-portal kunnen beheerders rapporten genereren die aangeven welke apparaten het beleid hebben ontvangen, of het beleid correct is toegepast, en of er compliantieproblemen zijn geïdentificeerd. Deze rapporten moeten regelmatig worden gecontroleerd, bij voorkeur wekelijks of maandelijks, afhankelijk van de grootte van de organisatie en de volatiliteit van de endpointomgeving. Door deze rapporten te analyseren, kunnen IT-afdelingen snel identificeren welke apparaten niet compliant zijn en welke acties moeten worden ondernomen. Het is belangrijk om niet alleen te kijken naar de huidige status, maar ook naar trends over tijd om te begrijpen of het aantal niet-compliant apparaten toeneemt of afneemt, wat kan wijzen op effectiviteit van het beleid of op nieuwe uitdagingen in de omgeving.

Naast de standaard Intune-rapportage kan er gebruik worden gemaakt van het specifieke PowerShell-script dat beschikbaar is voor het bewaken van deze instelling. Dit script verbindt met de Microsoft Graph API via de Microsoft.Graph.DeviceManagement module en haalt informatie op over de configuratiestatus van Edge-beleid op alle beheerde apparaten. Het script kan worden geautomatiseerd om periodiek te draaien, bijvoorbeeld als onderdeel van een geplande taak of via Azure Automation, zodat er continue zichtbaarheid is op de compliance-status van het beleid. De output van het script kan worden gebruikt om gedetailleerde rapporten te genereren die verder gaan dan de standaard Intune-rapportage. Deze geautomatiseerde bewaking maakt het mogelijk om real-time inzicht te krijgen in de status van het beleid zonder handmatige interventie, wat vooral waardevol is voor grote organisaties met duizenden endpoints die continu moeten worden gemonitord.

Bewaking moet niet alleen focussen op of het beleid correct is toegepast, maar ook op de impact die het beleid heeft op gebruikers en de organisatie. Het is belangrijk om bij te houden hoeveel gebruikers daadwerkelijk waarschuwingen ontvangen, welke besturingssystemen het meest voorkomen in deze waarschuwingen, en wat de reactietijd is van gebruikers en IT-afdelingen op deze waarschuwingen. Deze metingen maken het mogelijk om de effectiviteit van het beleid te evalueren en aanpassingen te maken waar nodig. Bijvoorbeeld, als blijkt dat een groot aantal gebruikers waarschuwingen ontvangt maar er geen actie wordt ondernomen, dan kan dit wijzen op een probleem met de communicatie of het ondersteuningsproces. Daarnaast is het waardevol om te meten hoeveel tijd er gemiddeld nodig is om een niet-ondersteund besturingssysteem te upgraden of te vervangen nadat een waarschuwing is ontvangen, omdat dit inzicht geeft in de efficiëntie van het remediatieproces en kan helpen bij het identificeren van knelpunten in de endpointmodernisering.

Gedurende de bewakingsperiode moeten er ook beveiligingsgebeurtenissen worden bijgehouden die gerelateerd zijn aan het gebruik van niet-ondersteunde besturingssystemen. Wanneer gebruikers Edge blijven gebruiken op verouderde systemen ondanks waarschuwingen, kan dit wijzen op een verhoogd beveiligingsrisico. Deze gebeurtenissen moeten worden gecorreleerd met andere beveiligingsgebeurtenissen om een compleet beeld te krijgen van de beveiligingsstatus van de endpointomgeving. Bijvoorbeeld, als een apparaat met een niet-ondersteund besturingssysteem wordt gecompromitteerd, is het belangrijk om te begrijpen of dit verband houdt met de ontbrekende beveiligingsupdates die typisch gepaard gaan met niet-ondersteunde systemen. Deze correlatie-analyse maakt het mogelijk om patronen te identificeren en proactieve maatregelen te nemen om vergelijkbare incidenten in de toekomst te voorkomen. Het is daarom aan te raden om beveiligingsgebeurtenissen te integreren met Security Information and Event Management (SIEM) systemen voor geavanceerde analyse en detectie van bedreigingen.

Ten slotte is het belangrijk om periodieke compliance-audits uit te voeren om te verifiëren dat het beleid nog steeds voldoet aan de organisatorische en regelgevende vereisten. Deze audits moeten worden uitgevoerd door onafhankelijke partijen of interne auditafdelingen en moeten niet alleen kijken naar de technische implementatie van het beleid, maar ook naar de processen rondom bewaking, incident response, en remediatie. De resultaten van deze audits moeten worden gedocumenteerd en gebruikt om verbeteringen door te voeren in de beveiligingsstrategie en -processen van de organisatie. Regelmatige audits helpen organisaties om te voldoen aan compliance-vereisten zoals BIO, AVG en ISO 27001, en zorgen ervoor dat beveiligingsmaatregelen effectief blijven in een continu veranderende bedreigingsomgeving. Auditrapporten moeten worden gedeeld met relevante stakeholders, waaronder management, security officers en compliance officers, om transparantie te waarborgen en continue verbetering te faciliteren.

Gebruik PowerShell-script unsupported-os-warning-disabled.ps1 (functie Invoke-Monitoring) – Controleren.

Remediatie

Wanneer monitoring aangeeft dat het beveiligingsbeleid voor de waarschuwing bij niet-ondersteunde besturingssystemen niet correct wordt toegepast, of wanneer gebruikers waarschuwingen ontvangen, moeten er gerichte remediatiemaatregelen worden genomen om het probleem op te lossen. Remediatie is een kritiek onderdeel van het beveiligingsproces omdat het ervoor zorgt dat beveiligingsrisico's daadwerkelijk worden geadresseerd en niet alleen worden geïdentificeerd. Zonder effectieve remediatieprocessen blijven beveiligingsproblemen bestaan, waardoor organisaties blootgesteld blijven aan potentiële aanvallen en datalekken.

De eerste stap in het remediatieproces is het identificeren van de onderliggende oorzaak van het probleem. Wanneer een apparaat niet compliant is met het beleid, kan dit verschillende oorzaken hebben. Mogelijk is het beleid niet correct toegepast op het apparaat, het apparaat heeft niet gecontroleerd met Intune waardoor het beleid niet is ontvangen, of het beleid is handmatig gewijzigd door een gebruiker met lokale beheerrechten. Door de onderliggende oorzaak te identificeren, kan er een gerichte oplossing worden geïmplementeerd in plaats van generieke maatregelen die mogelijk niet effectief zijn.

Voor apparaten waarbij het beleid niet correct is toegepast, kan er gebruik worden gemaakt van het PowerShell-remediatiescript dat beschikbaar is voor dit beveiligingsbeleid. Dit script verbindt met de Microsoft Graph API en kan het beleid opnieuw toepassen op niet-compliant apparaten, controleert de configuratiestatus van Edge, en rapporteert over de resultaten van de remediatie-actie. Het script kan worden uitgevoerd als onderdeel van een geautomatiseerd remediatieproces, bijvoorbeeld via Azure Automation of als scheduled task, waardoor niet-compliant apparaten automatisch worden gerepareerd zonder handmatige interventie van IT-personeel.

Wanneer gebruikers waarschuwingen ontvangen over het gebruik van een niet-ondersteund besturingssysteem, moet er een gestructureerd proces zijn voor het adresseren van het onderliggende probleem. Het beste scenario is dat het besturingssysteem wordt geüpgraded naar een ondersteunde versie, maar dit is niet altijd direct mogelijk. In dergelijke gevallen moeten er tijdelijke maatregelen worden genomen om het beveiligingsrisico te mitigeren totdat een permanente oplossing kan worden geïmplementeerd. Deze maatregelen kunnen bestaan uit het isoleren van het apparaat op het netwerk, het implementeren van aanvullende beveiligingscontroles, of het beperken van toegang tot kritieke systemen en gegevens.

Voor organisaties die werken met verouderde besturingssystemen die niet direct kunnen worden geüpgraded, is het belangrijk om een migratieplan op te stellen dat een realistische tijdlijn bevat voor het moderniseren van de endpointomgeving. Dit migratieplan moet rekening houden met de kosten, de impact op gebruikers en bedrijfsprocessen, en de technische uitdagingen die gepaard gaan met het upgraden of vervangen van verouderde systemen. Tijdens de migratieperiode moeten er extra beveiligingsmaatregelen worden geïmplementeerd om het verhoogde risico te compenseren dat voortkomt uit het gebruik van niet-ondersteunde besturingssystemen.

Het is ook belangrijk om gebruikers te ondersteunen tijdens het remediatieproces. Gebruikers die waarschuwingen ontvangen kunnen verward of bezorgd zijn, vooral als zij niet bekend zijn met de technische achtergrond van het probleem. IT-afdelingen moeten duidelijke communicatie naar gebruikers verzorgen waarin wordt uitgelegd wat het probleem is, waarom het belangrijk is om het op te lossen, en wat de verwachte stappen zijn voor remediatie. Bovendien moeten er ondersteuningskanalen beschikbaar zijn waar gebruikers terecht kunnen met vragen of problemen tijdens het remediatieproces. Dit voorkomt frustratie en zorgt ervoor dat gebruikers actief meewerken aan het oplossen van beveiligingsproblemen.

Gebruik PowerShell-script unsupported-os-warning-disabled.ps1 (functie Invoke-Remediation) – Herstellen.

Compliance en Audit

Compliance en audit zijn kritieke aspecten van het beveiligingsbeleid voor de waarschuwing bij niet-ondersteunde besturingssystemen in Microsoft Edge. Voor Nederlandse overheidsorganisaties is het essentieel om te demonstreren dat er adequate maatregelen zijn genomen om endpointbeveiligingsrisico's te mitigeren en te voldoen aan de relevante regelgevende vereisten zoals de Baseline Informatiebeveiliging Overheid (BIO), de Algemene Verordening Gegevensbescherming (AVG), en de ISO 27001-normen. Zonder adequate compliance-documentatie en audit-traceerbaarheid kunnen organisaties moeite hebben om te demonstreren dat zij voldoen aan hun beveiligingsverplichtingen.

De eerste stap in het complianceproces is het documenteren van het beveiligingsbeleid en de daarbij behorende procedures. Deze documentatie moet duidelijk beschrijven wat het beleid is, waarom het is geïmplementeerd, hoe het werkt, en wat de verwachte resultaten zijn. De documentatie moet ook beschrijven wie verantwoordelijk is voor het beheren en bewaken van het beleid, welke procedures moeten worden gevolgd wanneer er problemen worden geïdentificeerd, en hoe het beleid wordt geëvalueerd en bijgewerkt. Deze documentatie vormt de basis voor compliance-audits en kan worden gebruikt om te demonstreren aan interne en externe auditors dat de organisatie proactief werkt aan endpointbeveiliging.

Vanuit BIO-perspectief is dit beleid gerelateerd aan controle 13.01.01, die vereist dat organisaties technische beveiligingsmaatregelen implementeren om kwetsbaarheden te beperken. Door gebruikers te waarschuwen wanneer zij Edge gebruiken op niet-ondersteunde besturingssystemen, draagt dit beleid bij aan het beperken van het risico dat voortkomt uit verouderde systemen die geen beveiligingsupdates meer ontvangen. De implementatie van dit beleid moet worden gedocumenteerd als onderdeel van de BIO-compliance-documentatie, waarbij wordt aangegeven hoe dit beleid bijdraagt aan het bereiken van de beveiligingsdoelstellingen van de organisatie.

Voor AVG-compliance is het belangrijk om te documenteren hoe dit beleid bijdraagt aan de bescherming van persoonsgegevens. Niet-ondersteunde besturingssystemen vormen een verhoogd risico voor datalekken omdat deze systemen kwetsbaar zijn voor bekende beveiligingslekken die niet meer worden gepatcht. Door gebruikers te waarschuwen en te stimuleren om te upgraden naar ondersteunde systemen, draagt dit beleid bij aan de bescherming van persoonsgegevens en aan de naleving van artikel 32 van de AVG, die vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen.

Audit moet regelmatig plaatsvinden om te verifiëren dat het beleid correct wordt geïmplementeerd en dat de organisatie voldoet aan de relevante compliance-vereisten. Deze audits moeten worden uitgevoerd door onafhankelijke partijen of interne auditafdelingen en moeten niet alleen kijken naar de technische implementatie van het beleid, maar ook naar de processen rondom bewaking, incident response, en remediatie. De resultaten van deze audits moeten worden gedocumenteerd en gebruikt om verbeteringen door te voeren in de beveiligingsstrategie en -processen van de organisatie. Auditrapporten moeten worden bewaard voor de vereiste bewaartermijn, die doorgaans minimaal één jaar is, zodat zij beschikbaar zijn voor toekomstige audits en compliance-controles. Het is belangrijk dat auditprocessen transparant zijn en dat bevindingen worden gecommuniceerd naar alle relevante stakeholders, zodat er tijdig actie kan worden ondernomen op geïdentificeerde verbeterpunten en dat de organisatie kan leren van auditbevindingen om de beveiligingspostuur continu te verbeteren.

Naast formele audits is het ook belangrijk om regelmatige self-assessments uit te voeren om te verifiëren dat het beleid nog steeds effectief is en voldoet aan de veranderende beveiligingsvereisten van de organisatie. Deze self-assessments kunnen worden uitgevoerd door IT-beheerders of security officers en moeten worden gedocumenteerd als onderdeel van de continue verbeteringscyclus. De resultaten van deze assessments kunnen worden gebruikt om het beleid bij te werken, nieuwe maatregelen te implementeren, of bestaande maatregelen aan te passen wanneer de beveiligingsomgeving verandert.

Ten slotte is het belangrijk om auditbewijs te verzamelen en te bewaren die aantoont dat het beleid correct is geïmplementeerd en dat de organisatie voldoet aan de compliance-vereisten. Dit bewijs kan bestaan uit configuratieschermafbeeldingen van het Intune-beleid, rapportages van bewakingsactiviteiten, documentatie van remediatie-acties, en verslagen van compliance-audits. Deze informatie moet worden opgeslagen in een veilige en gecontroleerde omgeving, zodat deze beschikbaar is voor toekomstige audits en compliance-controles. De bewaartermijn voor dit bewijs moet voldoen aan de relevante regelgevende vereisten, die doorgaans minimaal één jaar is, maar kan langer zijn afhankelijk van de specifieke compliance-vereisten van de organisatie. Het is essentieel dat auditbewijs wordt beveiligd tegen ongeautoriseerde toegang en wijziging, en dat er duidelijke procedures zijn voor het beheren en archiveren van dit bewijs. Dit zorgt ervoor dat organisaties kunnen aantonen dat zij voldoen aan hun beveiligingsverplichtingen en dat auditbewijs betrouwbaar en traceerbaar is voor externe auditors en regelgevende instanties.

Compliance & Frameworks

• CIS M365: Control Security Controls (L1) - Security hardening
• BIO: 13.01.01 - Technical security measures
• ISO 27001:2022: A.12.6.1 - Technical vulnerability management

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Schakel de waarschuwing voor niet-ondersteunde besturingssystemen in via Microsoft Intune om gebruikers te informeren wanneer zij Edge gebruiken op verouderde systemen. Dit draagt bij aan endpointbeveiliging en compliance met BIO-controles en AVG-vereisten.

• Implementatietijd: 2 uur
• FTE required: 0.01 FTE