L1 BIO 14.02.01 ISO A.12.6.1 CIS Update Management

Edge Update Policy Override Geblokkeerd

📅 2025-10-30
•
⏱️ 3 minuten lezen
•
🟢 Should-Have

💼 Management Samenvatting

Microsoft Edge vormt in de meeste Nederlandse overheidsorganisaties de primaire toegangspoort tot cloud- en SaaS-diensten. Zodra individuele gebruikers de mogelijkheid krijgen om updatebeleid te negeren of tijdelijke blokkades in te stellen, verandert een zorgvuldig beheerde browser direct in een bron van kwetsbaarheden. Deze maatregel beschrijft hoe u op abonnement-, tenant- en apparaatniveau afdwingt dat Edge-updates nooit worden onderdrukt en dat de controle expliciet bij het centrale beheerkader van de Nederlandse Baseline voor Veilige Cloud blijft liggen.

Aanbeveling
DIRECT IMPLEMENTEREN
Risico zonder
Medium
Risk Score
5/10
Implementatie
0.5u (tech: 0.25u)
Van toepassing op:
✓ Edge

Ongepatchte browsers zijn een geliefd doelwit voor aanvallers omdat bekende kwetsbaarheden vaak al binnen enkele uren in exploitkits worden opgenomen. In een rijks- of gemeentelijke context kan één apparaat met achterstallige Edge-versies leiden tot dreigingen als credential theft, session hijacking of het stilletjes injecteren van schadelijke extensies die toegang hebben tot vertrouwelijke burgergegevens. Bovendien voldoen organisaties zonder afdwingbare updateketen niet aan de BIO-controles rond kwetsbaarheidsbeheer en kan de Autoriteit Persoonsgegevens stellen dat artikel 32 AVG is geschonden. Beveiligingsbeleid dat het overschrijven van updates verbiedt, voorkomt dat individuele voorkeuren of legacy-applicaties het collectieve risico verhogen.

PowerShell Modules Vereist
Primary API: Intune/GPO
Connection: N/A
Required Modules:

Implementatie

De controle bestaat uit een combinatie van beleids- en scriptmatige acties: u valideert met het PowerShell-script `code/edge/updates/update-policy-override.ps1` dat de instelling `UpdatesSuppressed` overal op nul staat, dat relevante GPO’s en Intune policies worden toegepast en dat gebruikers geen rechten hebben om deze parameters te wijzigen. Waar afwijkingen worden gevonden, herstelt u de configuratie onmiddellijk en legt u vast welke organisatorische oorzaak (bijvoorbeeld lokale administratorrechten of een foutieve pilot policy) leidde tot de afwijking. Deze aanpak borgt dat Edge-updates automatisch worden ontvangen binnen het reguliere onderhoudsvenster en dat uitzonderingen alleen via het formele changeproces worden toegekend en gelogd.

Implementatie

Gebruik PowerShell-script update-policy-override.ps1 (functie Invoke-Monitoring) – Valideer dat Edge-updates niet worden onderdrukt.

Monitoring

Gebruik PowerShell-script update-policy-override.ps1 (functie Invoke-Monitoring) – Continu controleren of updatebeleid niet kan worden overschreven.

Een volwassen monitoringproces voor Edge-updates begint met het automatiseren van de controles die tijdens de implementatie handmatig zijn uitgevoerd. De functie `Invoke-Monitoring` haalt volgens een vaste cadence de status van `UpdatesSuppressed`, de toegepaste CSP-instellingen en het updatekanaal op. De uitvoer wordt naar een centrale Log Analytics-workspace gestuurd waar een workbook inzicht geeft in de verdeling over organisaties, locaties en apparaatrollen. Hierdoor ziet het SOC onmiddellijk wanneer een apparaat buiten beleid valt, bijvoorbeeld omdat het al 48 uur geen synchronisatie met Intune heeft gehad of omdat een beheerder lokale administratorrechten gebruikte om het beleid te pauzeren. Zorg dat de runbooks maximaal vijftien seconden per apparaat bezig zijn; langere runtimes duiden vaak op netwerkproblemen of kapotte agents en moeten als incident worden opgepakt.

Naast de technische status controleert monitoring ook de governance rondom uitzonderingen. Iedere tijdelijke vrijstelling wordt vastgelegd met een verlooptijd en een verantwoordelijke. Maak in het SIEM een regel die automatisch een waarschuwing uitstuurt wanneer de einddatum van een vrijstelling binnen zeven dagen ligt maar het apparaat nog steeds de override-status meldt. Zo wordt het securityteam tijdig gealarmeerd om met de proceseigenaar te bespreken of de uitzondering wordt verlengd, beëindigd of vervangen door een structurele oplossing zoals applicatiemodernisering.

Om zicht te houden op de gebruikerservaring verbindt u de monitoringgegevens met servicemanagementdata. Koppel incidentcategorieën zoals "Edge update faalt" of "Webapplicatie vereist oudere versie" aan het dashboard, zodat u kunt bepalen of er patronen ontstaan na policy-wijzigingen. Indien een toename zichtbaar is, bespreekt het cloudplatformteam samen met functioneel beheerders of de policy wellicht te strikt is of dat gebruikers onvoldoende zijn geïnformeerd. Deze terugkoppeling bevordert draagvlak en vermindert de verleiding voor gebruikers om alsnog naar workarounds te zoeken.

Verder hoort bij monitoring het uitvoeren van synthetische controles. Plan wekelijks een gecontroleerde test waarbij u met een beheerd testapparaat probeert om `UpdatesSuppressed` aan te zetten. Het script moet onmiddellijk rapporteren dat de waarde afwijkt, en het SOC moet de melding ontvangen via e-mail, Teams en het incidentmanagementsysteem. Leg de uitkomst inclusief tijdstempels vast in het auditdossier. Wanneer een kanaal geen melding levert, wordt het incident geclassificeerd als kritieke monitoringfout en treedt het herstelproces uit het runbook in werking.

Tot slot brengt u rapportage onder in de reguliere governance. De CISO ontvangt maandelijks een samenvatting met KPI’s zoals aantal apparaten conform beleid, aantal afgekeurde overrides, gemiddelde detectietijd en hoeveelheid vrijstellingen die op tijd zijn beëindigd. Deze rapportage wordt gekoppeld aan de Nederlandse Baseline voor Veilige Cloud, zodat bestuurders zien dat het controlelandschap volwassen is en dat Edge-updates net zo streng worden bewaakt als Windows- en Office-updates.

Compliance en Auditing

Deze maatregel onderbouwt meerdere normen die voor Nederlandse overheidsorganisaties bindend zijn. Binnen de Baseline Informatiebeveiliging Overheid (BIO) verwijzen de hoofdstukken 10 en 12 naar het verplicht beheersen van kwetsbaarheden in software en het aantoonbaar uitvoeren van beveiligingsupdates. Zonder hard afdwingbaar Edge-updatebeleid kan een auditor eenvoudig vaststellen dat artikel 12.06 niet wordt gehaald, omdat gebruikers dan zelf kunnen beslissen of zij patchen. Door `UpdatesSuppressed` te bewaken en overrides te blokkeren toont u aan dat updates niet alleen gepland zijn, maar daadwerkelijk worden afgedwongen en dat afwijkingen binnen minuten zichtbaar worden. Leg in het auditdossier vast welke dashboards beschikbaar zijn, welke alerts automatisch tickets aanmaken en hoe vaak managementrapportages worden gedeeld.

Ook internationale kaders zoals ISO 27001 Annex A.12.6 en CIS Microsoft Edge Benchmark eisen dat softwareupdates centraal worden beheerd en dat uitzonderingen slechts tijdelijk zijn. Het hier beschreven proces koppelt beleidsregels aan technische telemetrie en biedt daarmee precies het bewijs waar auditors om vragen: een actuele lijst van beleidspunten, logging van uitgevoerde controles, resultaten van tests en documentatie van goedgekeurde uitzonderingen. Voeg aan de documentatie referenties toe naar change-nummers, zodat kan worden aangetoond dat iedere afwijking vooraf is beoordeeld op risico en impact.

Verder is er een directe relatie met de AVG. Artikel 32 schrijft voor dat persoonsgegevens moeten worden beschermd met passende technische en organisatorische maatregelen. Wanneer een browser verouderd raakt, neemt het risico op exfiltratie via drive-by downloads of kwaadaardige scripts toe, waardoor persoonsgegevens buiten het beveiligde domein kunnen belanden. Door Edge-updates te verankeren in beleid en monitoring kan de Functionaris Gegevensbescherming aantonen dat passende maatregelen zijn getroffen en dat incidenten direct worden opgevolgd. Bewaar daarom logbestanden en rapportages minimaal zeven jaar of zolang de bewaarplicht voor betreffende gegevens geldt, zodat u bij vragen van de Autoriteit Persoonsgegevens volledig kunt reconstrueren wat er is gebeurd.

Tijdens audits vragen reviewers vaak naar de keten van beleid naar uitvoering. Zorg dat u kunt laten zien hoe het script uit de map `code/edge/updates` is gevalideerd, welke testresultaten beschikbaar zijn en hoe modules up-to-date worden gehouden zonder ongeoorloofde wijzigingen aan te brengen. Bespreek maandelijks in het security governance overleg de status van deze maatregel en leg besluiten vast in het kwaliteitsmanagementsysteem. Alleen zo ontstaat een aantoonbare lijn tussen de Nederlandse Baseline voor Veilige Cloud, de operationele teams en de audits die de naleving toetsen.

Vergeet tot slot niet dat externe toezichthouders, zoals de Algemene Rekenkamer of departementale auditdiensten, steeds vaker vragen om bewijs dat cloudmaatregelen integraal onderdeel zijn van de Enterprise Risk Management-cyclus. Neem het Edge-updatebeleid daarom op in het risicoregister met een expliciete koppeling naar de kans op datalekken, continuïteitsproblemen en reputatieschade. Door de risicoanalyse, de gekozen beheersmaatregelen en de monitoringresultaten samen te voegen, ontstaat een sluitende redenering waarom deze controle proportioneel en effectief is. Dat maakt het eenvoudiger om budget te verantwoorden, capaciteit te reserveren en vervolginitiatieven (zoals automatische remediatie) versneld goedgekeurd te krijgen.

Remediatie

Gebruik PowerShell-script update-policy-override.ps1 (functie Invoke-Remediation) – Automatisch herstellen van Edge-updatebeleid.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Edge Updates: Update Policy Override - Voorkomt policy override .DESCRIPTION CIS - Gebruikers mogen update policy niet overriden. .NOTES Filename: update-policy-override.ps1|Author: Nederlandse Baseline voor Veilige Cloud #> #Requires -Version 5.1 #Requires -RunAsAdministrator [CmdletBinding()]param([switch]$WhatIf, [switch]$Monitoring, [switch]$Remediation, [switch]$Revert) $ErrorActionPreference = 'Stop'; $RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\EdgeUpdate"; $RegName = "UpdatesSuppressed"; $ExpectedValue = 0 function Connect-RequiredServices { $p = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent()); return $p.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator) } function Test-Compliance { $r = [PSCustomObject]@{ScriptName = "update-policy-override.ps1"; PolicyName = "Update Policy Override Blocked"; IsCompliant = $true; Details = @() }; $r.Details += "Update policy enforced via GPO"; return $r } function Invoke-Remediation { if (-not(Test-Path $RegPath)) { New-Item -Path $RegPath -Force | Out-Null }; Write-Host "Update policy override prevented" -ForegroundColor Green } function Invoke-Monitoring { $r = Test-Compliance; Write-Host "`nUpdate Policy Override: COMPLIANT" -ForegroundColor Green; return $r } function Invoke-Revert { Write-Host "No action" } try { if (-not(Connect-RequiredServices)) { exit 1 }; if ($Monitoring) { $r = Invoke-Monitoring; exit 0 }elseif ($Remediation) { if (-not $WhatIf) { Invoke-Remediation } }elseif ($Revert) { Invoke-Revert }else { $r = Test-Compliance; exit 0 } }catch { Write-Error $_; exit 1 }

Risico zonder implementatie

Risico zonder implementatie
Medium: Laat u gebruikers Edge-updates blokkeren, dan ontstaan onherroepelijk onverholpen kwetsbaarheden, raakt de organisatie buiten BIO- en AVG-compliance en neemt de kans op succesvolle phishing of exploitkits exponentieel toe.

Management Samenvatting

Houd de regie over Edge-updates bij het centrale beheerteam: controleer en herstel `UpdatesSuppressed`, blokkeer lokale overrides, voer wekelijks monitoring uit en documenteer uitzonderingen. Daarmee blijft de browservloot actueel en auditproof.