Information Sharing Policies En Threat Intelligence Uitwisseling

Zonder duidelijke information sharing policies lopen organisaties het risico dat waardevolle threat intelligence, indicatoren van compromittering en lessons learned niet worden gedeeld met partners, ISAC's en andere relevante stakeholders. Dit kan leiden tot situaties waarin meerdere organisaties slachtoffer worden van dezelfde aanval omdat informatie over eerdere incidenten niet is gedeeld, wat de algehele weerbaarheid van de Nederlandse publieke sector verzwakt. Nederlandse overheidsorganisaties hebben bovendien specifieke verplichtingen op grond van de NIS2 richtlijn en de Baseline Informatiebeveiliging Overheid (BIO) om deel te nemen aan informatie-uitwisseling en samenwerking met andere organisaties en toezichthouders. Het ontbreken van een gestructureerde aanpak voor information sharing kan ertoe leiden dat organisaties niet optimaal profiteren van gedeelde kennis en ervaringen, wat kan resulteren in herhaalde incidenten, langere hersteltijden en hogere kosten. Daarnaast kunnen onduidelijke of inconsistente informatie-uitwisseling leiden tot vertragingen in incident response, gemiste kansen voor preventie en het verlies van vertrouwen bij partners en stakeholders.

Implementatie

Dit artikel beschrijft hoe organisaties information sharing policies kunnen ontwikkelen en implementeren die voldoen aan de samenwerkingsverplichtingen van de NIS2 richtlijn en de BIO, terwijl zij tegelijkertijd de belangen van de organisatie, burgers en stakeholders beschermen. De focus ligt op het opstellen van een gestructureerd kader voor informatie-uitwisseling, het definiëren van verschillende sharing-niveaus op basis van de gevoeligheid en classificatie van informatie, het inrichten van processen voor threat intelligence sharing, en het waarborgen van consistentie en tijdigheid in de informatie-uitwisseling. Het artikel behandelt ook de juridische en ethische aspecten van information sharing, de balans tussen transparantie en beveiliging, en de rol van verschillende stakeholders zoals CISO, threat intelligence analisten, ISAC-coördinatoren en bestuurders in het sharing-proces.

Juridisch kader en sharing-verplichtingen

Nederlandse overheidsorganisaties hebben verschillende juridische verplichtingen om deel te nemen aan informatie-uitwisseling en samenwerking op het gebied van cybersecurity. Deze verplichtingen komen voort uit Europese richtlijnen, Nederlandse wetgeving en sectorspecifieke normenkaders zoals de Baseline Informatiebeveiliging Overheid. Het is essentieel dat organisaties deze verplichtingen begrijpen en vertalen naar concrete information sharing policies en -processen die voldoen aan de letter en geest van de wet, terwijl zij tegelijkertijd de belangen van de organisatie, burgers en stakeholders beschermen.

De NIS2 richtlijn, die sinds oktober 2024 van kracht is, stelt specifieke eisen aan essentiële en belangrijke entiteiten met betrekking tot informatie-uitwisseling en samenwerking. Artikel 11 van de richtlijn verplicht organisaties om deel te nemen aan informatie-uitwisseling met andere organisaties, toezichthouders en bevoegde autoriteiten om gezamenlijk weerbaarder te worden tegen cyberdreigingen. Daarnaast verplicht Artikel 12 organisaties om threat intelligence en indicatoren van compromittering te delen met relevante stakeholders wanneer dit bijdraagt aan de algehele beveiliging. Voor Nederlandse overheidsorganisaties betekent dit dat zij processen moeten hebben voor het identificeren van informatie die gedeeld kan worden, het bepalen van de gevoeligheid en classificatie van informatie, en het tijdig delen van threat intelligence met partners en ISAC's wanneer dit bijdraagt aan de weerbaarheid. Het niet voldoen aan deze verplichtingen kan leiden tot gemiste kansen voor preventie en het verlies van vertrouwen bij partners en stakeholders.

De Baseline Informatiebeveiliging Overheid (BIO) norm 12.06 vereist dat organisaties processen hebben voor het delen van beveiligingsinformatie met betrokken partijen, inclusief andere overheidsorganisaties, leveranciers en toezichthouders. Deze norm benadrukt het belang van tijdige, accurate en gestructureerde informatie-uitwisseling over bedreigingen, kwetsbaarheden en incidenten die de dienstverlening of persoonsgegevens raken, en vereist dat organisaties kunnen aantonen dat zij passende maatregelen hebben genomen om informatie te delen wanneer dit bijdraagt aan de algehele beveiliging. Voor Microsoft 365 omgevingen betekent dit dat organisaties information sharing policies moeten hebben die beschrijven wanneer, hoe en wat wordt gedeeld met partners, en dat deze policies regelmatig worden getest en geëvalueerd om te waarborgen dat zij effectief zijn.

Naast de NIS2 richtlijn en de BIO zijn er verschillende andere juridische kaders die relevant zijn voor information sharing. De Wet openbaarheid van bestuur (Wob) kan bijvoorbeeld van toepassing zijn wanneer informatie wordt gedeeld met externe partijen, en organisaties moeten kunnen beoordelen welke informatie openbaar gemaakt kan worden zonder de beveiliging of privacy te schaden. Daarnaast kunnen organisaties te maken krijgen met internationale informatie-uitwisseling, bijvoorbeeld binnen de Europese Unie of met internationale partners, waarbij aanvullende juridische overwegingen van toepassing kunnen zijn. Het is belangrijk dat organisaties deze juridische kaders begrijpen en integreren in hun information sharing policies om te waarborgen dat informatie-uitwisseling voldoet aan alle relevante wet- en regelgeving.

Sharing-kader en classificatie van informatie

Een effectief information sharing-kader begint met het definiëren van verschillende sharing-niveaus op basis van de gevoeligheid, classificatie en aard van informatie. Deze niveaus helpen organisaties om snel te bepalen welke informatie gedeeld kan worden, met wie deze informatie gedeeld kan worden, en welke beveiligingsmaatregelen nodig zijn om de informatie te beschermen tijdens de uitwisseling. Een veelgebruikt model is het indelen van informatie in vier categorieën: openbare informatie die zonder beperkingen gedeeld kan worden, interne informatie die gedeeld kan worden met vertrouwde partners onder voorwaarden, vertrouwelijke informatie die alleen gedeeld kan worden met geautoriseerde partijen en met strikte beveiligingsmaatregelen, en geheim informatie die alleen gedeeld kan worden met specifieke geautoriseerde partijen en met de hoogste beveiligingsmaatregelen. Door deze categorieën vooraf te definiëren en te koppelen aan concrete criteria zoals de aard van de informatie, de potentiële impact van onbevoegde toegang, en de juridische en ethische overwegingen, kunnen organisaties snel en consistent beslissen over information sharing zonder dat elke situatie opnieuw moet worden beoordeeld.

Het classificeren van informatie voor sharing-doeleinden vereist een gestructureerde aanpak die rekening houdt met verschillende aspecten van de informatie. Technische informatie zoals indicatoren van compromittering, malware signatures en network indicators kunnen meestal worden gedeeld met brede groepen partners omdat deze informatie direct bijdraagt aan detectie en preventie zonder dat gevoelige operationele details worden onthuld. Tactische informatie zoals attack patterns, threat actor TTP's en incident response procedures vereist vaak meer zorgvuldige overweging omdat deze informatie inzicht kan geven in de beveiligingspostuur en operationele capaciteiten van de organisatie. Strategische informatie zoals dreigingsbeelden, risicoanalyses en langetermijn trends kan zeer gevoelig zijn en vereist vaak de hoogste classificatie en de meest strikte sharing-beperkingen. Door deze verschillende typen informatie te onderscheiden en passende classificaties toe te wijzen, kunnen organisaties effectief informatie delen terwijl zij tegelijkertijd gevoelige details beschermen.

Naast het classificeren van informatie moeten organisaties ook duidelijk definiëren met wie informatie gedeeld kan worden en onder welke voorwaarden. Typische sharing-partners zijn andere overheidsorganisaties, ISAC's en sectorale informatie-uitwisselingsplatforms, leveranciers en service providers, toezichthouders en bevoegde autoriteiten, en internationale partners binnen de Europese Unie of andere internationale samenwerkingsverbanden. Voor elke categorie van partners moeten organisaties duidelijk definiëren welke informatie gedeeld kan worden, welke beveiligingsmaatregelen vereist zijn, en welke juridische en contractuele overeenkomsten nodig zijn om de informatie-uitwisseling te formaliseren. Het is belangrijk dat deze definities regelmatig worden geëvalueerd en bijgewerkt op basis van veranderende dreigingsbeelden, nieuwe samenwerkingsverbanden en ervaringen met informatie-uitwisseling.

De keuze van sharing-kanalen en -platforms hangt af van de classificatie van de informatie, de doelgroep en de urgentie van de informatie-uitwisseling. Voor openbare en interne informatie kunnen organisaties gebruik maken van openbare platforms zoals websites, blogs en sociale media, of van gedeelde platforms zoals ISAC-portals en sectorale informatie-uitwisselingsplatforms. Voor vertrouwelijke en geheime informatie moeten organisaties gebruik maken van beveiligde kanalen zoals encrypted e-mail, secure file sharing platforms, of dedicated threat intelligence sharing platforms die voldoen aan hoge beveiligingsstandaarden. Het is belangrijk dat organisaties vooraf sharing-kanalen identificeren en voorbereiden, zodat deze snel kunnen worden geactiveerd wanneer informatie moet worden gedeeld. Daarnaast moeten organisaties processen hebben voor het monitoren van de effectiviteit van sharing-kanalen, het beoordelen van de kwaliteit en relevantie van gedeelde informatie, en het bijwerken van informatie wanneer nieuwe feiten bekend worden.

Threat intelligence sharing processen

Threat intelligence sharing vormt een essentieel onderdeel van effectieve information sharing policies en vereist specifieke processen en procedures om te waarborgen dat informatie tijdig, accuraat en bruikbaar wordt gedeeld met relevante stakeholders. Deze processen omvatten het verzamelen en analyseren van threat intelligence, het beoordelen van de relevantie en gevoeligheid van informatie, het voorbereiden van informatie voor sharing, het selecteren van geschikte sharing-partners en -kanalen, en het monitoren en evalueren van de effectiviteit van sharing-activiteiten. Door deze processen gestructureerd te documenteren en te implementeren kunnen organisaties ervoor zorgen dat threat intelligence effectief wordt gedeeld terwijl gevoelige informatie wordt beschermd.

Het verzamelen en analyseren van threat intelligence begint met het identificeren van relevante bronnen van informatie, zoals interne security logs, incident response rapporten, threat intelligence feeds, open source intelligence, en informatie van partners en ISAC's. Deze informatie moet worden geanalyseerd om te bepalen welke elementen relevant zijn voor sharing, welke context nodig is om de informatie begrijpelijk en bruikbaar te maken, en welke gevoelige details moeten worden verwijderd of geanonimiseerd voordat de informatie wordt gedeeld. Het is belangrijk dat deze analyse wordt uitgevoerd door ervaren threat intelligence analisten die begrijpen welke informatie waardevol is voor partners en welke informatie gevoelig is en beschermd moet worden. Daarnaast moeten organisaties processen hebben voor het valideren van threat intelligence voordat deze wordt gedeeld, om te waarborgen dat gedeelde informatie accuraat is en niet leidt tot valse positieven of onnodige waarschuwingen bij partners.

Het voorbereiden van threat intelligence voor sharing vereist vaak het transformeren van ruwe data naar gestructureerde formats die begrijpelijk en bruikbaar zijn voor partners. Veelgebruikte formats zijn STIX (Structured Threat Information Expression) en TAXII (Trusted Automated Exchange of Indicator Information), die gestandaardiseerde manieren bieden om threat intelligence te representeren en uit te wisselen. Daarnaast kunnen organisaties gebruik maken van IOCs (Indicators of Compromise) zoals IP-adressen, domeinnamen, file hashes en URLs, die direct kunnen worden gebruikt voor detectie en preventie. Het is belangrijk dat gedeelde threat intelligence voldoende context bevat om partners te helpen begrijpen wat de dreiging is, waarom deze relevant is, en welke acties kunnen worden ondernomen om de dreiging te detecteren of te voorkomen. Tegelijkertijd moet de informatie worden geanonimiseerd of gesanitiseerd om gevoelige operationele details te verwijderen die niet relevant zijn voor partners of die de beveiliging van de organisatie kunnen schaden.

Het selecteren van geschikte sharing-partners en -kanalen vereist een goed begrip van de behoeften en capaciteiten van verschillende stakeholders. ISAC's en sectorale informatie-uitwisselingsplatforms zijn vaak geschikt voor het delen van sector-specifieke threat intelligence met een brede groep partners, terwijl bilaterale sharing-overeenkomsten geschikt zijn voor het delen van zeer gevoelige of specifieke informatie met vertrouwde partners. Toezichthouders en bevoegde autoriteiten hebben vaak specifieke informatie nodig voor hun toezichtstaken en vereisen vaak gestructureerde rapportage in plaats van ad-hoc sharing. Het is belangrijk dat organisaties regelmatig evalueren welke partners en kanalen het meest effectief zijn voor verschillende typen threat intelligence, en dat zij hun sharing-strategie aanpassen op basis van feedback en resultaten.

Implementatie en governance van information sharing policies

Gebruik PowerShell-script information-sharing-policies.ps1 (functie Invoke-InformationSharingAssessment) – Voert een beoordeling uit van de governance en processen rondom information sharing, inclusief documentatie, rollen en verantwoordelijkheden, en compliance met NIS2 en BIO-verplichtingen. Ondersteunt DebugMode voor lokaal testen zonder cloudverbinding..

De implementatie van information sharing policies begint met het documenteren van het sharing-kader, de classificatiesystemen, de besluitvormingsprocessen, de rollen en verantwoordelijkheden, en de sharing-processen en -kanalen. Deze documentatie moet toegankelijk zijn voor alle betrokken stakeholders, regelmatig worden geëvalueerd en bijgewerkt, en moet worden getest door middel van oefeningen en simulaties om te waarborgen dat het kader effectief is in de praktijk. Het is belangrijk dat de documentatie niet alleen beschrijft wat de policies zijn, maar ook waarom bepaalde keuzes zijn gemaakt, hoe het kader aansluit bij juridische verplichtingen, en hoe het kader wordt geëvalueerd en verbeterd op basis van ervaringen en feedback.

Een belangrijk onderdeel van de implementatie is het trainen van betrokken stakeholders in het sharing-kader en de bijbehorende processen. CISO, threat intelligence analisten, ISAC-coördinatoren, incident response teams en bestuurders moeten allemaal begrijpen wat hun rol is in het sharing-proces, wanneer zij informatie moeten delen, welke informatie gedeeld kan worden, en hoe zij moeten bijdragen aan besluitvorming en informatie-uitwisseling. Training moet niet alleen theoretisch zijn, maar moet ook praktische oefeningen omvatten waarin stakeholders kunnen oefenen met het doorlopen van het sharing-proces voor verschillende scenario's. Door regelmatig te oefenen kunnen organisaties ervoor zorgen dat het sharing-proces soepel verloopt wanneer informatie moet worden gedeeld, en kunnen zij zwakke punten in het proces identificeren en verbeteren voordat deze in een echte situatie problemen veroorzaken.

Governance van information sharing policies omvat het regelmatig monitoren en evalueren van de effectiviteit van het sharing-kader, het verzamelen van feedback van stakeholders, en het bijwerken van policies en processen op basis van ervaringen en veranderende omstandigheden. Organisaties moeten processen hebben voor het documenteren van sharing-beslissingen en -acties, het evalueren van de effectiviteit van gedeelde informatie en sharing-kanalen, en het identificeren van verbeterpunten. Daarnaast moeten organisaties kunnen aantonen aan toezichthouders en auditors dat zij beschikken over adequate information sharing policies en -processen die voldoen aan juridische verplichtingen, en dat deze policies en processen daadwerkelijk worden gevolgd in de praktijk. Het bijbehorende PowerShell-script ondersteunt deze governance door een gestructureerde beoordeling uit te voeren van de documentatie, rollen en verantwoordelijkheden, en compliance met NIS2 en BIO-verplichtingen, en door aanbevelingen te doen voor verbeteringen waar nodig.

Tot slot moeten organisaties rekening houden met de balans tussen transparantie en beveiliging bij het ontwikkelen en implementeren van information sharing policies. Hoewel het delen van threat intelligence en lessons learned belangrijk is voor het waarborgen van gezamenlijke weerbaarheid en het voldoen aan juridische verplichtingen, kan te veel detail over operationele capaciteiten, beveiligingsarchitecturen of lopende onderzoeken misbruikt worden door aanvallers. Daarom moeten organisaties vooraf bepalen welke informatie gedeeld kan worden zonder de beveiliging te schaden, en moeten zij processen hebben voor het beoordelen van sharing-beslissingen op beveiligingsrisico's voordat informatie wordt gedeeld. Door deze balans zorgvuldig te beheren kunnen organisaties effectief informatie delen terwijl zij tegelijkertijd gevoelige operationele details beschermen.

Monitoring

Gebruik PowerShell-script information-sharing-policies.ps1 (functie Invoke-Monitoring) – Monitort de status van information sharing policies, documentatie en compliance met NIS2 en BIO-verplichtingen, en genereert een rapport met aanbevelingen voor verbeteringen..

Effectieve monitoring van information sharing policies is essentieel om te waarborgen dat het sharing-kader up-to-date blijft, dat policies en processen daadwerkelijk worden gevolgd, en dat organisaties kunnen voldoen aan juridische verplichtingen wanneer informatie moet worden gedeeld. Monitoring omvat het regelmatig controleren van de documentatie, het verifiëren dat rollen en verantwoordelijkheden duidelijk zijn gedefinieerd en bekend zijn bij betrokken stakeholders, en het evalueren van de compliance met NIS2 en BIO-verplichtingen. Het bijbehorende PowerShell-script ondersteunt deze monitoring door een gestructureerde beoordeling uit te voeren en aanbevelingen te doen voor verbeteringen waar nodig.

Remediatie

Gebruik PowerShell-script information-sharing-policies.ps1 (functie Invoke-Remediation) – Genereert een actieplan voor het verbeteren van information sharing policies en -processen op basis van de bevindingen van de beoordeling..

Wanneer monitoring of evaluaties aanwijzingen geven dat information sharing policies of -processen verbetering behoeven, moeten organisaties gerichte acties ondernemen om deze verbeteringen door te voeren. Dit kan bijvoorbeeld betekenen dat documentatie moet worden bijgewerkt, dat rollen en verantwoordelijkheden moeten worden verduidelijkt, dat training moet worden georganiseerd, of dat processen moeten worden aangepast om beter te voldoen aan juridische verplichtingen. Het bijbehorende PowerShell-script ondersteunt deze remediatie door een gestructureerd actieplan te genereren met concrete stappen voor verbetering.

Compliance & Frameworks

• CIS M365: Control 17.3 (L2) - Zorg voor een formeel proces voor het delen van beveiligingsinformatie met betrokken partijen, inclusief andere organisaties, leveranciers en toezichthouders.
• BIO: 12.06, 17.01 - Delen van beveiligingsinformatie met betrokken partijen en incident response planning inclusief informatie-uitwisseling.
• ISO 27001:2022: A.6.1.3, A.16.1.4 - Rollen en verantwoordelijkheden, en incident management inclusief informatie-uitwisseling en samenwerking.
• NIS2: Artikel - Informatie-uitwisseling en samenwerking met andere organisaties, toezichthouders en bevoegde autoriteiten, en het delen van threat intelligence.

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Ontwikkel en implementeer information sharing policies die voldoen aan NIS2 en BIO-verplichtingen, definieer sharing-niveaus en classificatiesystemen, en waarborg tijdige en gestructureerde informatie-uitwisseling met partners en ISAC's. Implementatie: 76 uur.

• Implementatietijd: 76 uur
• FTE required: 0.25 FTE