Logging en monitoring bij ISO 27001 (A.8.15 en A.8.16)

Logging betekent dat je systemen automatisch vastleggen wie wat wanneer deed. Monitoring betekent dat je die gegevens actief bekijkt om afwijkend gedrag op tijd te zien. In ISO/IEC 27001:2022  zijn dit twee aparte maatregelen uit Annex A: A.8.15 “Logging” en A.8.16 “Monitoring activities”. A.8.16 is nieuw in de versie van 2022.

Het NCSC  benadrukt dat je zonder loginformatie na een cyberaanval niet kunt achterhalen wat er is gebeurd. Logging is daarmee de basis onder je incidentmanagement. In de zorg gelden met NEN 7513 nog strengere eisen voor het loggen van toegang tot patiëntdossiers.

Wat is het verschil tussen A.8.15 en A.8.16?

De twee maatregelen worden vaak samen genoemd, maar ze vragen iets anders. Logging is vastleggen, monitoring is kijken en handelen.

A.8.17 “Clock synchronization” hoort er ook bij. Als de klokken van je systemen niet gelijk lopen, kun je logs van verschillende systemen niet aan elkaar koppelen.

Wat moet je loggen voor ISO 27001?

ISO 27002:2022  noemt voorbeelden van gebeurtenissen die je logt. In de praktijk komen ze neer op: wie meldt zich aan, wie verandert rechten of instellingen, wie benadert gevoelige gegevens, en wat doen de beveiligingssystemen zelf.

Een bruikbare logregel bevat minimaal zes elementen. De Nederlandse overheid heeft die in de BIO2 als verplichte overheidsmaatregel vastgelegd, en de lijst is ook buiten de overheid een goede maatstaf:

Log geen wachtwoorden of andere gegevens waarmee iemand de beveiliging kan omzeilen. En bedenk dat logs zelf persoonsgegevens bevatten: ze laten zien wat medewerkers doen.

Voorbeeld logoverzicht ISO 27001

Begin met een overzicht van welke systemen wat loggen, waar de logs staan en hoe lang je ze bewaart. Dit voorbeeld hoort bij een SaaS-bedrijf met 25 medewerkers.

De getallen zijn keuzes, geen normeisen. Waarom een jaar en niet drie maanden? Omdat aanvallers soms maanden binnen zijn voordat je het merkt. Leg die afweging vast bij je risicoanalyse.

Hoe lang moet je logs bewaren voor ISO 27001?

ISO 27001 noemt geen termijn. Je weegt twee belangen af. Lang bewaren helpt bij onderzoek naar incidenten die pas laat worden ontdekt. Kort bewaren past beter bij de AVG, omdat logs persoonsgegevens bevatten. Het NCSC wijst op dezelfde afweging.

Er zijn sectoren met een wettelijke ondergrens. In de zorg bewaar je logs van toegang tot patiëntdossiers minimaal vijf jaar, zie NEN 7513. Overheidsorganisaties bepalen onder BIO2 de bewaartermijn op basis van risico, met het scenario dat een aanvaller lang ongemerkt binnen is.

Monitoring inrichten zonder eigen SOC

Een Security Operations Center (SOC) is een team dat dag en nacht logs bewaakt. Voor de meeste mkb-bedrijven is dat te zwaar. Je kunt A.8.16 ook kleiner invullen:

• Begin met de ingebouwde waarschuwingen van je cloudplatform, zoals verdachte aanmeldingen of massaal verwijderen van bestanden.
• Stel maximaal tien regels op die echt tellen, en wijs per regel iemand aan die opvolgt.
• Besteed het uit aan een managed detection-dienst als je geen eigen capaciteit hebt. Het NCSC noemt dat expliciet als optie.
• Leg de opvolging vast. Elke alert krijgt een korte notitie: vals alarm, of doorgezet als incident.

Wat vraagt de auditor als bewijs voor A.8.15 en A.8.16?

Tijdens de ISO 27001-audit kun je deze verzoeken verwachten:

• Het logoverzicht met bronnen, opslag en bewaartermijnen.
• Een live voorbeeld: “Laat zien wie gisteren beheerrechten kreeg.”
• Hoe logs zijn beschermd tegen wijzigen of verwijderen, ook door beheerders.
• Een lijst met recente alerts en hoe die zijn opgevolgd.
• Hoe de klokken van systemen zijn gesynchroniseerd.

Veelgemaakte fouten bij logging en monitoring

Logging staat standaard uit. Veel systemen loggen niet uit zichzelf, of bewaren maar een paar dagen. Controleer elke bron.

Beheerders kunnen hun eigen sporen wissen. Sla logs op in een aparte omgeving waar dezelfde beheerders geen schrijfrechten hebben.

Alles loggen, niets vinden. Meer data is niet beter. Kies wat je nodig hebt om de vragen uit je risicoanalyse te beantwoorden.

SaaS vergeten. Bij clouddiensten liggen de logs bij de leverancier. Leg in je leveranciersbeheer vast welke logs je kunt opvragen en hoe lang ze bestaan.

Veelgestelde vragen over logging en monitoring

Is een SIEM verplicht voor ISO 27001?

Nee. Een SIEM (Security Information and Event Management) is software die logs centraal verzamelt en analyseert. Het helpt, maar A.8.15 en A.8.16 kun je ook invullen met de ingebouwde logging en waarschuwingen van je cloudplatform.

Moet ik de ondernemingsraad informeren over logging?

Logging van medewerkersactiviteiten raakt aan privacy. Heb je een ondernemingsraad, overleg dan over het doel van de logging en wie de logs mag inzien. Leg dat vast in je logbeleid.

Hoe vaak moet ik logs bekijken?

Alerts volg je op zodra ze binnenkomen. Daarnaast is een periodieke review zinvol, bijvoorbeeld wekelijks voor beheeracties. Leg de frequentie vast en houd bij dat de review heeft plaatsgevonden.

Meer informatie

• Annex A: alle 93 maatregelen, inclusief A.8.15 tot en met A.8.17
• Incidentmanagement: van alert naar afgehandeld incident
• Kwetsbaarheidsbeheer en patching: de andere technische basismaatregel
• NEN 7513 logging: logging-eisen in de zorg
• Toegangsrechtenmatrix: wie mag wat, zodat je afwijkingen herkent
• ISO 27002:2022 : de implementatierichtlijn bij A.8.15 en A.8.16