STD-0004: Centrale logging en auditlogging¶

Documentgegevens¶

Doel en reikwijdte¶

Deze standaard maakt technische analyse, securitydetectie en verantwoording mogelijk zonder onnodige persoonsgegevens te verwerken. Zij geldt voor technische systeemlogs, securitylogs en auditlogs van CIZ-oplossingen en leveranciersdiensten.

Normatieve bepalingen¶

• Technische, security- en auditlogs MOETEN een onderscheiden doel, schema, toegang, retentie en integriteitsniveau hebben, ook wanneer zij hetzelfde platform gebruiken.
• Relevante logs MOETEN centraal worden verzameld en doorzoekbaar worden ontsloten.
• Uitval van de centrale voorziening MAG primaire verwerking niet blokkeren, tenzij een expliciete risicoanalyse fail-closed voorschrijft. Buffering en verliesdetectie MOETEN zijn ingericht.
• Gemeenschappelijke metadata MOET waar relevant UTC-timestamp, service en versie, omgeving, eventtype, resultaat en correlation- of trace-ID bevatten. Tijdregistratie MOET voldoen aan STD-0001.
• Auditgebeurtenissen MOETEN waar noodzakelijk een pseudonieme of technische actoridentifier, actie en doelobject bevatten.
• Namen en e-mailadressen MOGEN NIET standaard als auditveld worden opgenomen. Identificeerbaarheid MOET volgen uit doelbinding, risico- en privacybeoordeling.
• Payloads, tokens, secrets, gezondheidsgegevens en overige persoonsgegevens MOGEN NIET worden gelogd zonder expliciete noodzaak, grondslag, minimale omvang, toegang en retentie.
• Auditlogs MOETEN tegen wijziging en verwijdering worden beschermd; toegang MOET rolgebaseerd, gelogd en periodiek beoordeeld zijn.
• Leveranciersafspraken MOETEN beschikbaarheid, exporteerbaarheid, incidenttoegang, retentie, gegevenslocatie en taakverdeling vastleggen.

Rationale¶

Centrale ontsluiting verbetert correlatie, incidentdetectie en bewijsvoering. Gescheiden logcategorieën voorkomen dat doelen, toegang en bewaartermijnen onnodig worden vermengd. Dataminimalisatie begrenst het privacyrisico van een centrale voorziening.

Uitzonderingen en risicoacceptatie¶

Een afwijking MOET het ontbrekende logdoel, risico, compenserende detectie, eigenaar en herstel- of evaluatiedatum vastleggen. Het loggen van bijzondere of gezondheidsgegevens vereist daarnaast een expliciete privacy- en juridische beoordeling.

Naleving en vereiste bewijslast¶

• logging- en privacyschemareview;
• bewijs van centrale ontvangst, buffering en verliesdetectie;
• RBAC- en integriteitscontrole;
• retentie- en verwijderingstest;
• geteste detectieregels en incidenttoegang;
• contractuele leveranciersafspraken.

Implementatieprofielen¶

Een centraal platform KAN meerdere logcategorieën verwerken wanneer toegang, retentie, integriteit en doelbinding technisch gescheiden blijven. SIEM- en SOC-aansluiting BEHOORT risicogestuurd te worden toegepast. Productspecifieke velden worden in beheerde schemas vastgelegd.

Externe mappings en bronnen¶

Wijzigingshistorie¶