Voorstel SC21: voorstel voor beheer van de integriteit van logboeken is aangenomen

Met een meerderheid van stemmen heeft het CA/B Forum (de SSL-regulator) voorstel SC21 aangenomen, een voorstel om het beheer van de integriteit van logboeken te verbeteren. Het hoofddoel van het voorstel is het afronden van het document Network and Certificate System Security Requirements (Eisen voor netwerk- en certificaatsysteembeveiliging) dat op 3 augustus 2012 is goedgekeurd, waarvan de implementatie begint op 1 januari 2013.

Experts hebben specifiek voorgesteld de automatisering en voortdurende bewaking van systeemnetwerken en certificaten te verbeteren. In de meeste gevallen zijn handmatige acties minder efficiënt en vergen ze meer middelen dan automatische bewaking.

Het SC21-voorstel introduceert ook specifieke eisen voor het tijdig oplossen van meldingen die worden ontvangen van geautomatiseerde bewakingssystemen. Dit zorgt ervoor dat automatisering niet leidt tot een potentieel probleem dat niet wordt opgelost.

De nieuwe bepalingen, die werden geïntroduceerd in sectie 3 van het document Network and Certificate System Security Requirements:

• 3.e. Bewaking van de integriteit van systeem- en toepassingslogboeken wordt uitgevoerd door continue bewaking en meldingen of het gebruik van handmatige analyses om de effectiviteit van logboeken te verzekeren en de juiste werking van de functies voor het bewaken van de integriteit van logboeken. Als handmatige verificatie wordt gebruikt en het systeem is verbonden met het web moet het proces minstens eenmaal per 31 dagen worden uitgevoerd.
• 3.f. Bewaken van archivering en opslag van logboeken om te verzekeren dat alle logboeken worden opgeslagen gedurende een voldoende lange periode conform bestaande bedrijfsvoering en wettelijke regelgeving.
• 3.g. Als continue automatische bewaking en meldingen worden gebruikt voor het doel van sectie 1.h of 3.e van deze eisen (https://cabforum.org/wp-content/uploads/CABForum-Network-Security-Controls-1.2.pdf), moet u reageren op meldingen en binnen 24 uur een actieplan ontwerpen.

Schrijf u in voor onze nieuwsbrief om op de hoogte te blijven van het laatste nieuws uit de wereld van SSL en onlinebeveiliging.