Kwetsbaarheidsbeheer en patching bij ISO 27001 (A.8.8)
Kwetsbaarheidsbeheer is het vaste proces waarmee je zwakke plekken in je software en systemen opspoort, beoordeelt en oplost, meestal door updates te installeren. In ISO/IEC 27001:2022 is dit beheersmaatregel A.8.8 “Management of technical vulnerabilities” uit Annex A. Patching, het installeren van beveiligingsupdates, is het belangrijkste onderdeel.
Het NCSC rekent tijdig updaten tot de basisprincipes van digitale weerbaarheid en publiceert dagelijks beveiligingsadviezen over actuele kwetsbaarheden. Voor ISO 27001 vertaal je dat naar afspraken over termijnen, verantwoordelijken en bewijs. Dat begint bij je assetregister: je kunt alleen patchen wat je kent.
Kort antwoord: voor ISO 27001 A.8.8 heb je een overzicht van je systemen, een manier om te horen over nieuwe kwetsbaarheden, vaste patchtermijnen per ernst en registratie van wat je hebt gedaan. De norm noemt geen termijnen. Een gangbare keuze is kritieke lekken binnen enkele dagen, hoge binnen twee weken en overige binnen een maand.
Wat eist A.8.8 kwetsbaarheidsbeheer?
ISO 27002:2022 werkt de maatregel uit. Samengevat vraagt A.8.8 dat je informatie over technische kwetsbaarheden verzamelt, beoordeelt hoe kwetsbaar je bent, en passende maatregelen neemt. Dat zijn drie werkzaamheden:
| Stap | Vraag | Voorbeeld |
|---|---|---|
| Opsporen | Welke kwetsbaarheden spelen er bij ons? | Leveranciersmeldingen, NCSC-adviezen, automatische scans |
| Beoordelen | Hoe ernstig is het voor ons? | Internet-bereikbare VPN met actief misbruikt lek: kritiek |
| Oplossen | Wat doen we en wanneer? | Update installeren, of tijdelijk de functie uitzetten |
A.8.8 werkt samen met andere maatregelen. Configuratiebeheer (A.8.9) zorgt dat systemen veilig zijn ingesteld. Bescherming tegen malware (A.8.7) vangt op wat toch binnenkomt. Verandermanagement (A.8.32) zorgt dat een update gecontroleerd in productie gaat.
Patchtermijnen bepalen per ernst
ISO 27001 laat de termijnen aan jou. Onderbouw ze vanuit je risicoanalyse. Veel organisaties gebruiken de CVSS-score als startpunt. Het Common Vulnerability Scoring System geeft elke kwetsbaarheid een score van 0 tot 10. Kijk daarnaast naar je eigen situatie: is het systeem vanaf internet bereikbaar, en wordt het lek al actief misbruikt?
Dit is een voorbeeld van een termijnentabel. Het zijn keuzes, geen normeisen.
| Ernst | Wanneer | Termijn | Voorbeeld |
|---|---|---|---|
| Kritiek | CVSS 9,0 of hoger, of actief misbruikt op een internet-bereikbaar systeem | Binnen 72 uur, of direct tijdelijke maatregel | Lek in de VPN-gateway |
| Hoog | CVSS 7,0 tot 8,9 | Binnen 14 dagen | Lek in de browser op alle laptops |
| Midden | CVSS 4,0 tot 6,9 | Binnen 30 dagen | Lek in een interne applicatie |
| Laag | Lager dan 4,0 | Bij de volgende reguliere update | Lek dat alleen lokaal te misbruiken is |
Kun je niet op tijd patchen, bijvoorbeeld omdat de leverancier nog geen update heeft? Neem dan een tijdelijke maatregel, zoals het systeem afschermen van internet, en leg het vast als bewuste uitzondering met een einddatum.
Patchproces in vijf stappen
Houd je systemen bij
Gebruik je assetregister en je apparaatbeheer als bron. Elk systeem heeft een eigenaar die verantwoordelijk is voor de updates.
Volg nieuwe kwetsbaarheden
Abonneer je op beveiligingsberichten van je belangrijkste leveranciers en op de NCSC-adviezen. Laat een kwetsbaarheidsscanner periodiek je internet-bereikbare systemen controleren.
Beoordeel en plan
Bepaal per melding de ernst voor jouw situatie en de termijn uit de tabel. Plan de update in.
Installeer en controleer
Zet automatische updates aan waar het kan, zoals op laptops en browsers. Controleer na installatie of de update echt is geïnstalleerd, met een rapport of een nieuwe scan.
Registreer en rapporteer
Leg vast wat je hebt gedaan en wanneer. Rapporteer maandelijks hoeveel kwetsbaarheden binnen de termijn zijn opgelost.
Voorbeeld kwetsbaarhedenregister
Automatische updates op laptops hoef je niet per stuk te registreren: een compliance-rapport uit je beheersysteem is dan het bewijs. Voor handmatige of risicovolle patches houd je een register bij. Dit fictieve voorbeeld hoort bij een webwinkel met eigen servers.
| Nr. | Gemeld | Systeem | Kwetsbaarheid | Bron | Ernst | Deadline | Actie | Afgerond |
|---|---|---|---|---|---|---|---|---|
| KW-26-031 | 06-05-2026 | Firewall | Lek in VPN-component, actief misbruikt | NCSC-advies en leverancier | Kritiek | 08-05-2026 | Firmware bijgewerkt, logs gecontroleerd op misbruik | 07-05-2026 |
| KW-26-032 | 12-05-2026 | Webwinkelplatform | Lek in betaalplug-in | Leverancier | Hoog | 26-05-2026 | Plug-in bijgewerkt na test in acceptatieomgeving | 19-05-2026 |
| KW-26-033 | 14-05-2026 | Oude voorraadserver | Besturingssysteem krijgt geen updates meer | Scan | Hoog | 28-05-2026 | Uitzondering tot 30-09-2026: server van internet gehaald, vervanging gepland | Open |
De derde regel laat zien hoe je een uitzondering vastlegt. De auditor accepteert een open punt, mits het risico is beoordeeld, er een tijdelijke maatregel is en er een datum staat.
Wat vraagt de auditor als bewijs voor A.8.8?
Tijdens de ISO 27001-audit kun je deze verzoeken verwachten:
- De procedure of het beleid met patchtermijnen per ernst.
- Een rapport uit je beheersysteem: welk deel van de apparaten is volledig bijgewerkt?
- Het kwetsbaarhedenregister of de tickets van de laatste maanden.
- Een recent, bekend lek: “Hoe hebben jullie dit opgepakt?”
- De resultaten van de laatste kwetsbaarheidsscan of pentest, met opvolging.
Systemen waarvoor de leverancier geen updates meer levert, zoals een oude Windows-server of een verouderde NAS, zijn een vaste bron van bevindingen. Inventariseer ze vóór de audit en leg per systeem een besluit vast: vervangen, afschermen of risico accepteren met handtekening van de directie.
Veelgemaakte fouten bij kwetsbaarheidsbeheer
Alleen laptops patchen. Firewalls, printers, NAS-apparaten en webplug-ins worden vaak vergeten, terwijl ze vanaf internet bereikbaar zijn.
Updates aan, maar niet gecontroleerd. Een update die op 10 procent van de laptops faalt, zie je alleen in een rapport.
Geen termijnen. “Zo snel mogelijk” is niet toetsbaar. Leg concrete termijnen vast.
SaaS-leverancier niet gevraagd. Bij clouddiensten patcht de leverancier. Leg in je leveranciersbeheer vast hoe hij dat doet en hoe hij je informeert.
Na het patchen niet kijken of je al geraakt was. Bij actief misbruikte lekken is de update niet genoeg. Controleer in je logging of er al misbruik was.
Kwetsbaarheidsbeheer bij de overheid
Overheidsorganisaties die de BIO2 volgen, hebben een harde termijn: is bij een kwetsbaarheidswaarschuwing zowel de kans op misbruik als de verwachte schade hoog, dan nemen ze uiterlijk binnen een week passende maatregelen. Internet-bereikbare systemen worden daarnaast minimaal jaarlijks getest op kwetsbaarheden.
Meer informatie
- Assetregister: het overzicht van systemen dat je moet bijwerken
- Logging en monitoring: ontdekken of een lek al is misbruikt
- Back-upbeleid: je vangnet als het toch misgaat
- Thuiswerken en BYOD-beleid: updates op privéapparaten
- Annex A: alle 93 maatregelen, inclusief A.8.7 tot en met A.8.9
- NCSC-beveiligingsadviezen : actuele kwetsbaarheden en hun ernst